# Bezpieczeństwo i RODO Source: https://ordergroup.co/pl/firma/bezpieczenstwo/ Last updated: 2026-10-12 > Jak Order Group chroni Twoje dane i kod jako podmiot przetwarzający: umowa powierzenia, kontrola dostępu, gdzie są dane, zgłoszenie incydentu w 24 h, własność kodu. # Bezpieczeństwo i ochrona danych w Order Group Od 2013 roku zrealizowaliśmy ponad 160 projektów w ponad 15 branżach, między innymi dla firm z energetyki, fintechu i IoT. Ich działy compliance przed podpisaniem umowy pytają o to samo: kto widzi nasze dane, gdzie są przechowywane, co się dzieje, gdy coś pójdzie nie tak, i do kogo należy kod. Co znajdziesz poniżej - Nasza rola w świetle RODO - Gdzie są Twoje dane - Kto ma dostęp - Jak chronimy systemy - Gdy coś pójdzie nie tak - Kod należy do Ciebie - Dokumenty na życzenie [Poproś o dokumenty bezpieczeństwa!](https://ordergroup.co/pl/kontakt/) ![Order Group team photo outdoors in matching black branded t-shirts](https://ordergroup.co/media/images/cover_company_about_us_1x.format-webp.width-1600.webp) ## Nasza rola w świetle RODO: podmiot przetwarzający i umowa powierzenia Gdy budujemy lub utrzymujemy system z danymi osobowymi, Ty jesteś administratorem, a my podmiotem przetwarzającym. Dane osobowe przetwarzamy wyłącznie na Twoje udokumentowane polecenie i nigdy do własnych celów. Dla każdego projektu podpisujemy osobną umowę powierzenia przetwarzania danych (DPA). Zaczynamy od naszego wzoru opartego na art. 28 ust. 3 RODO i dopasowujemy go do projektu: zakres usług, kategorie danych i osób, których dane dotyczą, oraz obowiązujące środki bezpieczeństwa. Każdy projekt ma też wpis w naszym rejestrze kategorii czynności przetwarzania, którego wymaga art. 30 ust. 2 RODO. Wymienia on kategorie danych i osób, środki bezpieczeństwa, miejsce przetwarzania oraz ewentualne inne podmioty przetwarzające. Naszą politykę ochrony danych i procedury zatwierdził i podpisał zarząd. Obejmują upoważnienia i prawa dostępu, naruszenia ochrony danych, uwzględnianie ochrony danych w fazie projektowania i domyślną ochronę danych (privacy by design i by default), ocenę ryzyka i DPIA, retencję i usuwanie danych, prawa osób, których dane dotyczą, oraz relacje z dostawcami. Procedury przeglądamy co najmniej raz na 12 miesięcy. ## Gdzie są Twoje dane ### Produkcja: Twoje konto chmurowe W większości projektów środowisko produkcyjne działa na Twoim koncie chmurowym, na przykład w AWS, w regionie UE, który wybierasz. To Ty jesteś stroną umowy z dostawcą chmury, więc nie jest on dla nas innym podmiotem przetwarzającym. Dostęp do tego środowiska mamy po to, żeby wykonywać pracę. Twoje dane produkcyjne nie są kopiowane na nasze serwery. ![Data centre hall with rows of server cabinets and overhead cable trays](https://ordergroup.co/media/images/photo-1564457461758-8ff96e439e83.format-webp.width-1200.webp) ### Środowiska testowe: Polska Środowiska testowe, które sami hostujemy, działają na serwerach w Polsce. Dane przetwarzamy w Europejskim Obszarze Gospodarczym. Poza EOG trafiają tylko wtedy, gdy zdecydujesz o tym jako administrator. Jako podmiot przetwarzający nie podejmujemy takiej decyzji. ![Smartphone with a padlock security screen on a desk (Unsplash, Dan Nelson)](https://ordergroup.co/media/images/photo-1584433144859-1fc3ab64a957.format-webp.width-1200.webp) ![Data centre hall with rows of server cabinets and overhead cable trays](https://ordergroup.co/media/images/photo-1564457461758-8ff96e439e83.format-webp.width-1800.webp) ![Smartphone with a padlock security screen on a desk (Unsplash, Dan Nelson)](https://ordergroup.co/media/images/photo-1584433144859-1fc3ab64a957.format-webp.width-1800.webp) ## Kto ma dostęp i na jak długo ### Tylko konta imienne Każda osoba w Twoim projekcie ma własne konto. Dostęp do infrastruktury chmurowej odbywa się przez role (AWS IAM Identity Center), zgodnie z zasadą minimalnych uprawnień. Konta współdzielone są niedozwolone, chyba że przemawia za nimi powód techniczny. ### Uprawnienia na wniosek i upoważnienia Uprawnienia nadajemy na wniosek zatwierdzony przez kierownika właściwego działu, a nikt nie przetwarza danych osobowych bez pisemnego lub elektronicznego upoważnienia. Dostęp czasowy ma datę wygaśnięcia. Prowadzimy ewidencję osób upoważnionych. ### Uwierzytelnianie wieloskładnikowe Stosujemy zależnie od roli i ryzyka. ### Dostęp kończy się razem z rolą Gdy ktoś odchodzi z zespołu, jego konta usuwamy bez zwłoki. Okresowo sprawdzamy też, kto ma dostęp do infrastruktury projektu. ### Poufność bez daty końcowej Każdą osobę upoważnioną do przetwarzania danych wiąże poufność, która trwa także po zakończeniu umowy. ## Jak chronimy systemy Chronimy systemy na poziomie sieci, aplikacji i stanowisk pracy. ### Sieć i ruch - Serwery i bazy danych nie są wystawione na publiczny internet. Można się do nich dostać tylko przez load balancer lub VPN, a ruch filtrują reguły zapory sieciowej. - TLS jest wymuszony dla całego ruchu, który opuszcza wewnętrzną sieć serwerową. - Jeśli projekt tego wymaga, aplikacja stoi za proxy Cloudflare, które chroni przed atakami DDoS i filtruje ruch, a cały ruch z internetu przechodzi przez Cloudflare. ### Kopie zapasowe i logi - Bazy danych mają automatyczne kopie zapasowe. Typowa konfiguracja to pełna kopia dzienna przechowywana przez 14 dni. Dokładne parametry zależą od projektu: w jednym projekcie wykonujemy na przykład kopię tygodniową przechowywaną przez 28 dni. - Logi aplikacyjne przechowujemy zwykle przez 30 dni, choć w niektórych projektach są rotowane według dostępnego miejsca na dysku. Nasze narzędzie do śledzenia błędów domyślnie usuwa z logów wrażliwe wartości, takie jak numery kart i dane uwierzytelniające. ### Stanowiska pracy Komputery używane do pracy dla klientów mają szyfrowanie dysku zarządzane centralnie przez administratora systemów, a do tego ochronę punktów końcowych, zaporę i bieżące aktualizacje. Dane klienta nie trafiają na prywatne konta e-mail ani komunikatory bez zatwierdzenia. ## Privacy by design w praktyce ### Osobne środowiska Osobne środowiska deweloperskie, testowe i produkcyjne. ### Dane testowe Dane testowe zanonimizowane lub spseudonimizowane, zależnie od tego, na co pozwala projekt. ### Dostęp według ról Dostęp w aplikacji oparty na rolach, z rozdzieleniem funkcji administracyjnych i operacyjnych. ### Przetwarzanie opcjonalne wyłączone Przetwarzanie opcjonalne, na przykład profilowanie czy marketing, domyślnie wyłączone. ### Tylko potrzebne pola Tylko te pola, których potrzebuje cel przetwarzania. ### Przykład z praktyki Użytkownicy potwierdzają tożsamość skanem dokumentu i numerem PESEL, a dochód weryfikują przez swój bank. Ekrany z numerem PESEL, numerem karty i innymi poufnymi danymi są maskowane w analityce i nagraniach sesji, więc numer PESEL i numer karty nigdy nie trafiają do zewnętrznych narzędzi, a analityka startuje dopiero po zgodzie użytkownika. ## Gdy coś pójdzie nie tak Każda osoba w zespole musi niezwłocznie zgłosić wewnętrznie podejrzenie naruszenia. Następnie zabezpieczamy dowody (logi, konfigurację), oceniamy ryzyko i rejestrujemy zdarzenie. Odnotowujemy każdy incydent i każde podejrzenie. Gdy działamy jako Twój podmiot przetwarzający, nasz standardowy wzór DPA zobowiązuje nas do poinformowania Cię bez zbędnej zwłoki, nie później niż w ciągu 24 godzin od powzięcia wiadomości o incydencie. To ostrzejszy termin niż w RODO i daje Ci czas na dotrzymanie własnego 72-godzinnego terminu wobec organu nadzorczego. ![Shield icon representing security and reliability](https://ordergroup.co/media/images/security_reliability_1x.format-webp.width-2880.webp) Zgłoszenie wewnętrzne bez zwłoki. Zabezpieczenie dowodów i ocena ryzyka. Informacja dla Ciebie w ciągu 24 godzin. ## Nasze zobowiązania w skrócie Terminy i okresy przechowywania z tej strony w jednym miejscu. Okresy dla kopii zapasowych i logów zależą od projektu. | Zobowiązanie | Nasz standard | |---|---| | Powiadomienie Ciebie o incydencie | W ciągu 24 godzin od powzięcia wiadomości (standardowy wzór DPA) | | Pomoc przy kontroli organu nadzorczego | W ciągu 2 dni roboczych | | Usunięcie lub zwrot Twoich danych po zakończeniu umowy | W ciągu 10 dni roboczych | | Pisemne potwierdzenie usunięcia lub zwrotu | W ciągu 7 dni roboczych od tego momentu | | Kopie zapasowe baz danych | Zwykle dzienne, przechowywane 14 dni (zależnie od projektu) | | Logi aplikacyjne | Zwykle przechowywane 30 dni (zależnie od projektu) | | Przegląd naszych procedur | Co najmniej raz na 12 miesięcy | ## Audyty i zakończenie projektu ### Audyty i kontrole Nasza umowa powierzenia daje Ci prawo do audytu i kontroli sposobu, w jaki przetwarzamy Twoje dane. Jeśli organ nadzorczy kontroluje Ciebie, pomagamy w przekazaniu potrzebnych informacji w ciągu 2 dni roboczych. ### Gdy projekt się kończy W ciągu 10 dni roboczych od zakończenia umowy głównej usuwamy lub zwracamy Twoje dane wraz z kopiami. Wybór należy do Ciebie. W ciągu kolejnych 7 dni roboczych potwierdzamy to na piśmie. Kopie zapasowe są usuwane po upływie cyklu ich retencji. ## Kod należy do Ciebie ### Prawa majątkowe przechodzą na Ciebie z każdą płatnością Autorskie prawa majątkowe do kodu przechodzą na Ciebie wraz z każdą płatnością, na polach eksploatacji wskazanych w umowie. Nie czekasz do końca projektu, żeby przejąć prawa do tego, co już opłacone, i otrzymujesz kod źródłowy. Robocze repozytorium zostaje w naszym kontrolowanym środowisku, gdzie dostęp mają tylko osoby z Twojego projektu. ![Business meeting in a glass-walled conference room](https://ordergroup.co/media/images/cover_services_consulting_discov.format-webp.width-1200.webp) ![Business meeting in a glass-walled conference room](https://ordergroup.co/media/images/cover_services_consulting_discov.format-webp.width-1800.webp) ## SLA, hypercare i dokumenty [SLA i hypercare Z każdym klientem uzgadniamy SLA i zapisujemy je w umowie. Po wdrożeniu możemy zapewnić okres wzmożonego wsparcia (hypercare). Jego zakres i długość ustalamy z Tobą przed startem.](https://ordergroup.co/pl/firma/o-nas/nasze-podejscie/) [Dokumenty na życzenie Twój zespół ds. bezpieczeństwa lub zakupów może poprosić nas o umowę powierzenia przygotowaną pod Twój projekt, opis stosowanych przez nas środków technicznych i organizacyjnych oraz odpowiedzi na Twój kwestionariusz bezpieczeństwa. Napisz na hello@ordergroup.co, a wyślemy to, czego potrzebujesz.](mailto:hello@ordergroup.co) [Case studies Zobacz nasze case studies z branż regulowanych.](https://ordergroup.co/pl/case-studies/) Rok założenia **2013** Rok, w którym pięciu współzałożycieli zarejestrowało firmę i wspólnie zaczęło realizować projekty dla klientów. Zrealizowane projekty **160+** Projekty programistyczne dostarczone klientom od 2013 roku. Obsługiwane branże **15+** Od energetyki i fintechu po ochronę zdrowia i przemysłowe IoT. Ocena na Clutch **5,0** Ocena na Clutch na podstawie 18 zweryfikowanych opinii klientów. ## Dlaczego warto z nami pracować: co zyskujesz Twoje dane zostają na Twoim koncie chmurowym, dostajesz umowę powierzenia na projekt i powiadomienie o incydencie w 24 godziny, a kod jest Twój. [Poproś o dokumenty bezpieczeństwa!](https://ordergroup.co/pl/kontakt/) ![Two people in the foreground, black dry-erase board with colorful sticky notes visible in the background.](https://ordergroup.co/media/images/workshop_photo.2e16d0ba.format-webp.fill-2880x1620.webp) ## Pytania o bezpieczeństwo, które słyszymy od zespołów zakupowych ![Business meeting in a glass-walled conference room](https://ordergroup.co/media/images/tumbnail_services_consulting_discovery_1x_P.format-webp.webp) [Poproś o dokumenty bezpieczeństwa!](https://ordergroup.co/pl/kontakt/) ### Czy jesteście procesorem (podmiotem przetwarzającym), czy administratorem danych? W systemach, które dla Ciebie budujemy i utrzymujemy, jesteśmy podmiotem przetwarzającym, a Ty administratorem. Dane osobowe przetwarzamy wyłącznie na Twoje udokumentowane polecenie i nigdy do własnych celów. ### Gdzie są przechowywane nasze dane? Produkcja działa zwykle na Twoim koncie chmurowym, w regionie UE, który wybierasz. Środowiska testowe, które sami hostujemy, są na serwerach w Polsce. Dane przetwarzamy w EOG i opuszczają go tylko wtedy, gdy tak zdecydujesz. ### Jak szybko poinformujecie nas o incydencie? Bez zbędnej zwłoki, nie później niż w ciągu 24 godzin od powzięcia wiadomości, żeby został Ci czas na dotrzymanie 72-godzinnego terminu wobec organu nadzorczego. ### Do kogo należy kod źródłowy? Do Ciebie. Autorskie prawa majątkowe przechodzą na Ciebie z każdą płatnością, na polach eksploatacji wskazanych w umowie, a my przekazujemy kod źródłowy. ### Co dzieje się z naszymi danymi po zakończeniu umowy? W ciągu 10 dni roboczych usuwamy lub zwracamy Twoje dane wraz z kopiami, zgodnie z Twoim wyborem. W ciągu kolejnych 7 dni roboczych potwierdzamy to na piśmie. Kopie zapasowe są usuwane po upływie cyklu retencji. ### Czy dla każdego projektu podpisujecie osobną umowę powierzenia? Tak. Każdy projekt ma własną umowę powierzenia i własny wpis w naszym rejestrze kategorii czynności przetwarzania.