| Cel | Dostarczanie platformy GRC SaaS: tworzenie kont Dzierżawców, zarządzanie uwierzytelnianiem i autoryzacją, realizacja logiki przepływów pracy KSC/NIS2, generowanie dzienników audytu, tworzenie raportów. |
| Podstawa prawna | Art. 6 ust. 1 lit. b RODO — niezbędne do wykonania umowy subskrypcyjnej. |
| Kategorie danych osobowych | Adres e-mail; imię (opcjonalne); skrót hasła (Argon2id); sekret TOTP (zaszyfrowany AES); identyfikator i klucz publiczny WebAuthn; tokeny sesji; adres IP przy logowaniu; user-agent; preferencje języka i strefy czasowej; przypisania ról; dane kontaktowe do subskrypcji (NIP, e-mail rozliczeniowy). |
| Kategorie podmiotów danych | Dyrektorzy szkół, koordynatorzy IT, pracownicy JST i instytucji podległych zarejestrowani jako Użytkownicy; kontakty rozliczeniowe Dzierżawcy. |
| Odbiorcy | Pracownicy Operatora z dostępem do produkcji (MFA, dostęp rejestrowany, wiedza konieczna); Cloudflare, Inc. (CDN/WAF); Microsoft Corporation (powiadomienia e-mail). Pełna lista: /legal/subprocessors. |
| Miejsce i region | VPS w OVHcloud, Warszawa (Polska) dla Dzierżawców CyberZgodność EDU. Dane nie opuszczają UE i pozostają w Polsce. |
| Okres retencji | Dane konta: czas trwania subskrypcji + 30 dni po rozwiązaniu. Dane rozliczeniowe: 5 lat (Ustawa o rachunkowości, art. 74). Tokeny sesji: unieważniane przy wylogowaniu. |
| Przekazywanie do państw trzecich | Brak dla danych biznesowych. SCC dla podwykonawców spoza UE/EOG. Szczegóły: /legal/subprocessors. |
| TOMs | Argon2id; szyfrowanie LUKS i Vault; TLS 1.3; obowiązkowe MFA; FORCE RLS PostgreSQL; cookie Secure; HttpOnly; SameSite=Lax. |
| Wymagana DPIA | Nie — standardowe zarządzanie kontami B2B/B2G SaaS; brak danych szczególnych kategorii. Weryfikacja corocznie. |
| Cel | Prowadzenie odpornego na manipulacje, append-only dziennika audytu per Dzierżawca dla: (a) wspierania obowiązków compliance KSC/NIS2; (b) umożliwienia dochodzenia incydentów; (c) zapewnienia audytorom i organom nadzorczym weryfikowalnych dowodów. |
| Podstawa prawna | Art. 6 ust. 1 lit. f RODO — uzasadniony interes Operatora i Dzierżawcy. |
| Ocena uzasadnionego interesu (LIA) | Test celu: Operator i Dzierżawca (szkoła / JST) mają rzeczywisty interes regulacyjny (KSC, NIS2) w odpornym na manipulacje rejestrze. Test konieczności: łańcuch skrótów SHA-256 jest minimum koniecznym. Test ważenia: podmioty danych to pracownicy w roli zawodowej — rozsądnie oczekiwaliby rejestrowania działań służbowych; interes Operatora i Dzierżawcy przewyższa interesy prywatności podmiotów. |
| Kategorie danych osobowych | Identyfikator Użytkownika; adres e-mail; adres IP; user-agent; kod działania; typ i identyfikator obiektu; podsumowania stanu; znacznik czasu; skrót SHA-256. |
| Kategorie podmiotów danych | Użytkownicy platformy (pracownicy Dzierżawcy) wykonujący działania w systemie. |
| Odbiorcy | Dzierżawca (własny dziennik audytu); organy nadzorcze (CSIRT, UODO) na żądanie; pracownicy Operatora przy incydentach. |
| Okres retencji | 5 lat od daty zdarzenia (wymogi KSC/NIS2); lub dłużej jeśli wymagane przepisami szczególnymi. |
| TOMs | Rola DB audit_writer (INSERT-only); FORCE RLS; łańcuch SHA-256; pseudonimizacja przy prawach RODO. |
| Wymagana DPIA | Na granicy — systematyczne monitorowanie pracowników (art. 35 ust. 3 lit. c). Przeprowadzona LIA powyżej. Coroczna rewizja. |
| Cel | Wysyłanie powiadomień transakcyjnych: zaproszenia do platformy, alerty o terminie zadania kontrolnego, powiadamianie o incydencie (24h/72h/30d timer), weryfikacja e-mail, reset hasła, alerty bezpieczeństwa. |
| Podstawa prawna | Art. 6 ust. 1 lit. b RODO — niezbędne do wykonania umowy. |
| Kategorie danych osobowych | Adres e-mail odbiorcy; imię (jeśli dostępne); treść powiadomienia. |
| Kategorie podmiotów danych | Użytkownicy platformy. |
| Odbiorcy | Microsoft Corporation (Graph API — wysyłka e-mail); serwer pocztowy odbiorcy. |
| Okres retencji | Logi wysyłki: 30 dni; treść wiadomości nie jest przechowywana przez Operatora po wysyłce. |
| Wymagana DPIA | Nie. |
| Cel | Wystawianie faktur, kontrola płatności, obsługa zamowień publicznych (JST/szkoły), korespondencja rozliczeniowa. |
| Podstawa prawna | Art. 6 ust. 1 lit. c RODO — obowiązek prawny (Ustawa o rachunkowości, Ustawa o podatku od towarów i usług). |
| Kategorie danych osobowych | NIP Dzierżawcy; adres e-mail do faktury; imię, nazwisko i funkcja osoby kontaktowej; adres siedziby; kwoty transakcji. |
| Kategorie podmiotów danych | Kontakty rozliczeniowe Dzierżawcy (osoby fizyczne lub reprezentanci osób prawnych). |
| Odbiorcy | Pracownicy Operatora (księgowość); biuro księgowe [DO UZUPEŁNIENIA: jeśli zewnętrzne]; urzędy skarbowe na żądanie. |
| Okres retencji | 5 lat od końca roku obrotowego (Ustawa o rachunkowości art. 74). |
| Wymagana DPIA | Nie. |
| Cel | Wysyłanie biuletynu produktowego, informacji o aktualizacjach, zaprosień na webinary. |
| Podstawa prawna | Art. 6 ust. 1 lit. a RODO — zgoda; można wycofać w dowolnym momencie przez link unsubscribe lub e-mail do Operatora. |
| Kategorie danych osobowych | Adres e-mail; imię (opcjonalne); preferencje komunikacji. |
| Kategorie podmiotów danych | Subskrybenci biuletynu (Użytkownicy platformy lub osoby z formularza na stronie marketingowej). |
| Odbiorcy | Microsoft Corporation (wysyłka e-mail przez Graph API). |
| Okres retencji | Do wycofania zgody; dane usuwane w ciągu 30 dni od rezygnacji. |
| Wymagana DPIA | Nie. |
| Cel | Wykrywanie i zapobieganie nieautoryzowanemu dostępowi, atakom brute-force, nadwużyciom API, incydentom bezpieczeństwa. |
| Podstawa prawna | Art. 6 ust. 1 lit. f RODO — uzasadniony interes (ochrona systemu i danych Dzierżawców). |
| Kategorie danych osobowych | Adres IP, user-agent, znaczniki czasu, kody błędów, próby logowania (nieudane i udane). |
| Kategorie podmiotów danych | Wszystkie osoby wysyłające żądania do platformy (Użytkownicy + potencjalni atakujący). |
| Odbiorcy | Cloudflare (WAF / rate limiting); pracownicy Operatora przy analizie incydentów. |
| Okres retencji | Logi techniczne: 90 dni. Zdarzenia bezpieczeństwa (incydenty): 5 lat. |
| Wymagana DPIA | Nie — minimalizacja danych; brak profilowania; dane techniczne. |
| ID | Czynność | Podstawa prawna | Retencja | DPIA |
|---|---|---|---|---|
CZ-001 | Świadczenie Usługi | Art. 6(1)(b) | Czas subskrypcji + 30 dni | Nie |
CZ-002 | Dziennik audytu | Art. 6(1)(f) | 5 lat | Na granicy — LIA przeprowadzona |
CZ-003 | Powiadomienia e-mail | Art. 6(1)(b) | 30 dni (logi) | Nie |
CZ-004 | Rozliczenia | Art. 6(1)(c) | 5 lat | Nie |
CZ-005 | Marketing | Art. 6(1)(a) | Do wycofania zgody | Nie |
CZ-006 | Bezpieczeństwo systemu | Art. 6(1)(f) | 90 dni / 5 lat | Nie |