Załącznik nr 2 do DPA - Środki techniczne i organizacyjne Akta CRM
Wersja: 1.4
Data aktualizacji: 5 sierpnia 2026 r.
Podmiot przetwarzający: Yaraslau Lahinouski, osoba fizyczna świadcząca usługę Akta CRM
Kontakt: loginovskiy8@gmail.com
Niniejszy dokument stanowi Załącznik nr 2 do Umowy powierzenia przetwarzania danych osobowych zawartej pomiędzy Yaraslau Lahinouski a Kancelarią. Jest doręczany elektronicznie przy zawarciu umowy i publikowany pod adresem aktacrm.com/dpa/annex-2.
Zgodnie z art. 30 ust. 2 lit. d RODO jest to ogólny opis środków technicznych i organizacyjnych. Szczegóły konfiguracji zabezpieczeń nie są ujawniane, ponieważ ich publikacja sama w sobie obniżałaby poziom ochrony. Na uzasadnione żądanie Administrator może otrzymać dodatkowe informacje w trybie art. 28 ust. 3 lit. h RODO.
1. Izolacja danych Kancelarii
Dane każdej Kancelarii są odseparowane na poziomie bazy danych, a nie tylko interfejsu. Każdy rekord należy do jednej Przestrzeni Roboczej, a reguły bezpieczeństwa bazy danych uniemożliwiają odczyt i zapis poza własną Przestrzenią. Separacja jest weryfikowana automatycznymi testami przed każdym wdrożeniem.
2. Uwierzytelnianie i uprawnienia
Każdy użytkownik ma indywidualne konto. Dostęp do danych wynika z roli nadanej przez Kancelarię (właściciel, administrator, prawnik, asystent, dostęp tylko do odczytu), a uprawnienia są sprawdzane po stronie serwera i bazy danych, niezależnie od interfejsu. Operacje o podwyższonym ryzyku wymagają ponownego uwierzytelnienia.
3. Szyfrowanie i przechowywanie
Transmisja odbywa się wyłącznie kanałem szyfrowanym. Dane w bazie i pliki w magazynie obiektowym są szyfrowane w spoczynku po stronie dostawców infrastruktury. Dokumenty nie są dostępne publicznie — udostępniane są wyłącznie przez krótko ważne, podpisane odnośniki wydawane po sprawdzeniu uprawnień.
4. Rozliczalność i rejestr działań
System prowadzi rejestr zdarzeń w trybie wyłącznie dopisywania: zapisów nie można zmienić ani usunąć. Dowody zawarcia umowy — treść zaakceptowanych dokumentów, ich sumy kontrolne, znacznik czasu i metoda uwierzytelnienia — są niezmienne i przechowywane jako realizacja obowiązku z art. 5 ust. 2 RODO.
5. Usuwanie i potwierdzenie usunięcia
Usunięcie Przestrzeni Roboczej obejmuje bazę danych, magazyn plików, kopie w zasobniku zapasowym oraz odwołanie powiązanych integracji. Każdy etap jest weryfikowany, a zakończenie procesu potwierdzane trwałym znacznikiem, który blokuje przypadkowe odtworzenie danych. Administrator otrzymuje potwierdzenie usunięcia zgodnie z DPA.
Prawidłowość tego procesu jest monitorowana automatycznie w obu kierunkach: zarówno zatrzymanie usuwania, jak i jego uruchomienie przed właściwym terminem powodują alert wymagający interwencji człowieka.
6. Kopie zapasowe i ciągłość działania
Kopie zapasowe bazy danych są tworzone i przechowywane przez dostawcę bazy. Kopie dokumentów są przechowywane w odrębnym zasobniku w tej samej jurysdykcji i usuwane po 90 dniach. Znacznik usunięcia Przestrzeni Roboczej jest odtwarzany po każdym odtworzeniu danych, aby usunięta Kancelaria nie wróciła do systemu wraz z kopią.
7. Bezpieczny rozwój i zmiany
Zmiany w systemie przechodzą automatyczne testy obejmujące izolację danych i uprawnienia, a wdrożenie produkcyjne jest możliwe wyłącznie po ich pomyślnym zakończeniu. Zmiany w strukturze bazy danych są wersjonowane i porównywane ze stanem produkcyjnym przed wdrożeniem.
8. Organizacja dostępu i poufność
Dostęp administracyjny do środowiska produkcyjnego ma wyłącznie Usługodawca i jest ograniczony do czynności niezbędnych do świadczenia usługi. Każda operacja administracyjna wymaga podwyższonego uwierzytelnienia, potwierdzenia i pozostawia niezmienny wpis w rejestrze. Osoby upoważnione przez Kancelarię zobowiązują się do zachowania poufności przy przyjęciu zaproszenia, zgodnie z art. 28 ust. 3 lit. b RODO.
9. Obsługa incydentów
Zgłoszenia i podejrzenia naruszenia ochrony danych są przyjmowane pod adresem loginovskiy8@gmail.com oraz przez dedykowany formularz w systemie. Usługodawca zawiadamia Administratora bez zbędnej zwłoki po stwierdzeniu naruszenia i udziela pomocy w wykonaniu obowiązków z art. 33 i 34 RODO. W razie potrzeby dostęp do Przestrzeni Roboczej może zostać czasowo ograniczony na czas wyjaśnienia.
10. Podprocesorzy
Lista podprocesorów, zakres powierzonych im danych, lokalizacje przetwarzania i podstawy transferu znajdują się w Załączniku nr 1. Zmiana składu podprocesorów wymaga uprzedniego powiadomienia Administratora z prawem sprzeciwu.