ŚRODKI TECHNICZNE I ORGANIZACYJNE OCHRONY DANYCH

Wersja dokumentu: 1.0
Data obowiązywania: 01.01.2026

§1. Cel dokumentu

  1. Dokument opisuje podstawowe środki techniczne i organizacyjne stosowane przez ROVENS w celu ochrony danych przetwarzanych w ramach usługi ROVENS Integracja Wapro.
  2. Środki te mają na celu zapewnienie poufności, integralności, dostępności i odporności systemów oraz usług przetwarzania.
  3. Dokument może być aktualizowany wraz z rozwojem Usługi, zmianami technologicznymi, zmianami organizacyjnymi lub zmianami poziomu ryzyka.

§2. Kontrola dostępu

  1. Dostęp do systemów ROVENS jest ograniczony do osób upoważnionych.
  2. Konta administracyjne są nadawane zgodnie z zasadą minimalnych uprawnień.
  3. Dostęp administracyjny jest ograniczany do zakresu niezbędnego do realizacji obowiązków.
  4. Dostęp do Panelu wymaga uwierzytelnienia.
  5. ROVENS może stosować dodatkowe mechanizmy ochrony kont, w szczególności silne hasła, uwierzytelnianie wieloskładnikowe, ograniczenia dostępu, logowanie zdarzeń oraz monitorowanie nietypowej aktywności.
  6. Dostęp do kont administracyjnych oraz kont posiadających dostęp do danych osobowych, konfiguracji integracji, tokenów API lub funkcji eksportu danych może wymagać uwierzytelniania wieloskładnikowego albo innego równoważnego mechanizmu podwyższonego poziomu bezpieczeństwa.

§3. Bezpieczeństwo transmisji

  1. Komunikacja pomiędzy Connectorem a Usługą odbywa się z wykorzystaniem szyfrowanego połączenia HTTPS/TLS, o ile nie uzgodniono inaczej.
  2. Connector autoryzuje się przy użyciu tokena API lub innego mechanizmu dostępowego.
  3. Tokeny i klucze dostępowe powinny być chronione przez Klienta przed dostępem osób nieuprawnionych.
  4. W przypadku podejrzenia ujawnienia tokena Klient powinien niezwłocznie unieważnić token lub skontaktować się z ROVENS.

§4. Separacja danych

  1. ROVENS stosuje logiczną separację danych klientów.
  2. Dostęp do danych klienta jest ograniczony do uprawnionych użytkowników i procesów technicznych.
  3. Dane klientów nie są wykorzystywane do celów innych niż świadczenie Usługi, chyba że Klient wyraził zgodę lub wynika to z przepisów prawa.

§5. Logowanie i monitoring

  1. ROVENS może prowadzić logi techniczne, aplikacyjne i bezpieczeństwa.
  2. Logi mogą obejmować w szczególności:
    a) datę i godzinę zdarzenia,
    b) identyfikator konta,
    c) adres IP,
    d) identyfikator integracji,
    e) informacje o błędach synchronizacji,
    f) informacje o użyciu tokena,
    g) zdarzenia administracyjne,
    h) zdarzenia bezpieczeństwa.
  3. Logi są wykorzystywane do diagnostyki, zapewnienia ciągłości działania, wykrywania nadużyć, analizy incydentów oraz ochrony Usługi.

§6. Kopie zapasowe

  1. ROVENS może wykonywać kopie zapasowe systemów i danych niezbędnych do świadczenia Usługi.
  2. Kopie zapasowe są przechowywane przez okres zgodny z przyjętą retencją backupów.
  3. Dostęp do kopii zapasowych jest ograniczony do osób upoważnionych.
  4. Dane znajdujące się w kopiach zapasowych są usuwane zgodnie z cyklem retencji, chyba że dłuższe przechowywanie jest wymagane prawem lub konieczne ze względów bezpieczeństwa.

§7. Aktualizacje i utrzymanie

  1. ROVENS podejmuje działania mające na celu utrzymanie aktualności i bezpieczeństwa wykorzystywanych systemów.
  2. Aktualizacje mogą obejmować system operacyjny, komponenty aplikacyjne, biblioteki, konfigurację serwera, zabezpieczenia i elementy infrastruktury.
  3. W przypadku wykrycia podatności ROVENS podejmuje działania adekwatne do poziomu ryzyka.

§8. Ochrona przed nadużyciami

  1. ROVENS może stosować mechanizmy ochrony przed nadużyciami, w szczególności:
    a) ograniczenia liczby zapytań,
    b) blokady kont lub tokenów,
    c) filtrowanie ruchu,
    d) monitoring błędów,
    e) analizę logów,
    f) reguły bezpieczeństwa,
    g) alertowanie o nietypowych zdarzeniach.
  2. ROVENS może czasowo ograniczyć dostęp do Usługi, jeżeli działanie konta, Connectora lub integracji może zagrażać bezpieczeństwu Usługi lub danych.

§9. Poufność i upoważnienia

  1. Osoby mające dostęp do danych są zobowiązane do zachowania poufności.
  2. Dostęp do danych jest nadawany wyłącznie w zakresie niezbędnym do realizacji zadań.
  3. ROVENS ogranicza dostęp do danych produkcyjnych, jeżeli nie jest on konieczny do obsługi Usługi, diagnostyki lub usunięcia awarii.

§10. Incydenty bezpieczeństwa

  1. ROVENS posiada procedurę reagowania na incydenty bezpieczeństwa.
  2. W przypadku stwierdzenia naruszenia ochrony danych osobowych dotyczącego danych powierzonych przez Klienta, ROVENS informuje Klienta bez zbędnej zwłoki.
  3. ROVENS podejmuje działania mające na celu ograniczenie skutków incydentu, zabezpieczenie dowodów, usunięcie przyczyny oraz zmniejszenie ryzyka ponownego wystąpienia.

§11. Minimalizacja danych

  1. ROVENS przetwarza dane w zakresie niezbędnym do świadczenia Usługi.
  2. Zakres danych przesyłanych do Usługi zależy od konfiguracji integracji oraz danych przekazywanych przez Klienta.
  3. Klient powinien konfigurować integrację w sposób ograniczający przekazywanie danych nadmiarowych.

§12. Usuwanie danych

  1. Po zakończeniu korzystania z Usługi dane Klienta mogą zostać usunięte albo zwrócone zgodnie z Umową powierzenia.
  2. Usuwanie danych z kopii zapasowych odbywa się zgodnie z cyklem retencji backupów.
  3. ROVENS może zachować dane, których dalsze przechowywanie jest wymagane przez prawo lub konieczne do obrony przed roszczeniami.

Średnia ocen użytkowników 0 na podstawie 0 głosów