Bezpieczeństwo
Bezpieczeństwo i ochrona danych
Deweloper360 przetwarza dane nabywców lokali i dokumenty transakcyjne — traktujemy to jak obsługę kancelarii: dane w UE, szyfrowanie, kontrola dostępu i udokumentowane procedury. Ta strona opisuje stan faktyczny i jest aktualizowana przy każdej zmianie.
Kto odpowiada za dane
- Operatorem serwisu jest polski przedsiębiorca: Paweł Skrodzki Doradztwo Gospodarcze (JDG), z siedzibą w Polsce.
- Dane nabywców wprowadzane przez deweloperów i kancelarie przetwarzamy jako podmiot przetwarzający na podstawie umowy powierzenia (art. 28 RODO). Umowę zawiera się w serwisie, zanim trafią do niego pierwsze dane nabywcy — do tego czasu serwis ich nie przyjmie. Datę, wersję i treść zawartej umowy każda organizacja widzi w swoim koncie.
- Dane użytkowników serwisu (konta, rozliczenia) przetwarzamy jako administrator — zasady opisuje polityka prywatności.
Gdzie są dane
- Serwery w Unii Europejskiej (centrum danych w Niemczech, operator home.pl). Nie przekazujemy danych poza Europejski Obszar Gospodarczy.
- Środowisko produkcyjne i testowe są rozdzielone. Jedyny wyjątek to okresowy test odtworzenia kopii zapasowej: sprawdzamy go na prawdziwych danych, bo test na danych wymyślonych nie dowodzi, że kopia działa. Środowisko testowe jest wtedy zamknięte hasłem i niewidoczne dla wyszukiwarek, a dane kasujemy po zakończeniu testu.
Jak chronimy dane
- Szyfrowanie transmisji TLS 1.2+ (HSTS), nagłówki bezpieczeństwa (CSP, X-Frame-Options, Referrer-Policy).
- Szyfrowanie w bazie danych nabywcy: imienia i nazwiska, adresu oraz adresu e-mail — w doręczeniach, w odbiorach i w zamówieniach, a także danych nabywcy na fakturach.
- Uwierzytelnienie dwuskładnikowe kodem SMS, obowiązkowe dla ról Właściciel, Administrator i Weryfikator; hasło co najmniej 12 znaków z wymaganiami złożoności; sesje ról administracyjnych wygasają po godzinie bezczynności.
- Kontrola dostępu oparta na rolach (Właściciel, Administrator, Redaktor, Weryfikator, Tylko odczyt, Gość-klient); konto klienta kancelarii widzi wyłącznie inwestycje tego jednego klienta; dziennik zdarzeń dostępny dla właściciela i administratora organizacji.
- Ograniczanie liczby prób logowania (osobne progi dla konta i dla adresu IP), fail2ban na serwerze, automatyczne aktualizacje bezpieczeństwa systemu.
Kopie zapasowe i ciągłość
- Codzienne, zaszyfrowane kopie zapasowe przechowywane poza serwerem produkcyjnym; retencja 30 dni.
- Okresowy test odtworzenia kopii — ostatni: 22.09.2026.
- Cele: RPO 24 h, RTO 8 h.
Skanowanie i testy
- Cotygodniowe skanowanie aplikacji, obrazów i zależności (npm audit, Trivy (zależności), Semgrep, Trivy (obraz), OWASP ZAP) — ostatni skan: dziś (2026-10-19), ze znaleziskami wysokiej wagi w obsłudze; 41 uwag niższej wagi do przeglądu.
- Poprawki podatności krytycznych w 72 h. Zewnętrzny test penetracyjny planowany po pierwszych wdrożeniach produkcyjnych; wynik zostanie opublikowany tutaj (data i zakres).
Twoje dane: zabranie i usunięcie
- Eksport wszystkich danych organizacji pobierasz sam, w każdej chwili, z konta: archiwum ZIP z plikami JSON (inwestycje, lokale z historią cen, wersje dokumentów, doręczenia, odbiory, zgłoszenia, rozliczenia, zgody, dziennik zdarzeń). Komplet wygenerowanych dokumentów DOCX/PDF pobiera się osobno przy każdej inwestycji.
- Usunięcie danych organizacji zgłasza właściciel — również z konta. Przez 7 dni żądanie można cofnąć, potem dane znikają bezpowrotnie. Zostają wyłącznie faktury i zamówienia, bo wymaga tego prawo podatkowe (art. 17 ust. 3 lit. b RODO); listę tego, co znika i co zostaje, pokazujemy przed potwierdzeniem.
Incydenty
- Procedura zarządzania incydentami jest spisana i zawiera konkretne kroki, terminy i wzory powiadomień: zapis godziny stwierdzenia → ograniczenie szkody → zabezpieczenie dowodów → ocena, czy doszło do naruszenia → powiadomienia → działania naprawcze i wnioski.
- Naruszenie ochrony danych zgłaszamy administratorowi (organizacji) w ciągu 48 h od stwierdzenia, a organowi nadzorczemu — gdy wymagane — w 72 h (art. 33 RODO).
Podprocesorzy
- home.pl S.A. — hosting (UE); dostawca poczty transakcyjnej (UE) — w trakcie wyboru; dostawca kopii zapasowych poza VPS (UE) — w trakcie wyboru; operator płatności (Tpay / Przelewy24, Polska) — odrębny administrator danych płatniczych.
- O zmianie podprocesora informujemy organizacje e-mailem z 14-dniowym wyprzedzeniem.
Zgłaszanie podatności (responsible disclosure)
- Podatności prosimy zgłaszać na security@deweloper360.com (plik /.well-known/security.txt). Odpowiadamy w 2 dni robocze; nie podejmujemy kroków prawnych wobec badaczy działających w dobrej wierze, bez naruszania danych innych użytkowników.
Dokumenty: Regulamin · Polityka prywatności · Umowa powierzenia · security.txt. Ostatnia aktualizacja strony: 2026-09-11.