Bezpieczeństwo i ochrona danych w Order Group
Od 2013 roku zrealizowaliśmy ponad 160 projektów w ponad 15 branżach, między innymi dla firm z energetyki, fintechu i IoT. Ich działy compliance przed podpisaniem umowy pytają o to samo: kto widzi nasze dane, gdzie są przechowywane, co się dzieje, gdy coś pójdzie nie tak, i do kogo należy kod.
Nasza rola w świetle RODO: podmiot przetwarzający i umowa powierzenia
Gdy budujemy lub utrzymujemy system z danymi osobowymi, Ty jesteś administratorem, a my podmiotem przetwarzającym. Dane osobowe przetwarzamy wyłącznie na Twoje udokumentowane polecenie i nigdy do własnych celów.
Dla każdego projektu podpisujemy osobną umowę powierzenia przetwarzania danych (DPA). Zaczynamy od naszego wzoru opartego na art. 28 ust. 3 RODO i dopasowujemy go do projektu: zakres usług, kategorie danych i osób, których dane dotyczą, oraz obowiązujące środki bezpieczeństwa.
Każdy projekt ma też wpis w naszym rejestrze kategorii czynności przetwarzania, którego wymaga art. 30 ust. 2 RODO. Wymienia on kategorie danych i osób, środki bezpieczeństwa, miejsce przetwarzania oraz ewentualne inne podmioty przetwarzające.
Naszą politykę ochrony danych i procedury zatwierdził i podpisał zarząd. Obejmują upoważnienia i prawa dostępu, naruszenia ochrony danych, uwzględnianie ochrony danych w fazie projektowania i domyślną ochronę danych (privacy by design i by default), ocenę ryzyka i DPIA, retencję i usuwanie danych, prawa osób, których dane dotyczą, oraz relacje z dostawcami. Procedury przeglądamy co najmniej raz na 12 miesięcy.
Gdzie są Twoje dane
Produkcja: Twoje konto chmurowe
Środowiska testowe: Polska
Kto ma dostęp i na jak długo
Tylko konta imienne
Uprawnienia na wniosek i upoważnienia
Uwierzytelnianie wieloskładnikowe
Dostęp kończy się razem z rolą
Poufność bez daty końcowej
Jak chronimy systemy
Chronimy systemy na poziomie sieci, aplikacji i stanowisk pracy.
Sieć i ruch
- Serwery i bazy danych nie są wystawione na publiczny internet. Można się do nich dostać tylko przez load balancer lub VPN, a ruch filtrują reguły zapory sieciowej.
- TLS jest wymuszony dla całego ruchu, który opuszcza wewnętrzną sieć serwerową.
- Jeśli projekt tego wymaga, aplikacja stoi za proxy Cloudflare, które chroni przed atakami DDoS i filtruje ruch, a cały ruch z internetu przechodzi przez Cloudflare.
Kopie zapasowe i logi
- Bazy danych mają automatyczne kopie zapasowe. Typowa konfiguracja to pełna kopia dzienna przechowywana przez 14 dni. Dokładne parametry zależą od projektu: w jednym projekcie wykonujemy na przykład kopię tygodniową przechowywaną przez 28 dni.
- Logi aplikacyjne przechowujemy zwykle przez 30 dni, choć w niektórych projektach są rotowane według dostępnego miejsca na dysku. Nasze narzędzie do śledzenia błędów domyślnie usuwa z logów wrażliwe wartości, takie jak numery kart i dane uwierzytelniające.
Stanowiska pracy
Komputery używane do pracy dla klientów mają szyfrowanie dysku zarządzane centralnie przez administratora systemów, a do tego ochronę punktów końcowych, zaporę i bieżące aktualizacje. Dane klienta nie trafiają na prywatne konta e-mail ani komunikatory bez zatwierdzenia.
Privacy by design w praktyce
Osobne środowiska
Dane testowe
Dostęp według ról
Przetwarzanie opcjonalne wyłączone
Tylko potrzebne pola
Przykład z praktyki
Gdy coś pójdzie nie tak
Każda osoba w zespole musi niezwłocznie zgłosić wewnętrznie podejrzenie naruszenia. Następnie zabezpieczamy dowody (logi, konfigurację), oceniamy ryzyko i rejestrujemy zdarzenie. Odnotowujemy każdy incydent i każde podejrzenie.
Gdy działamy jako Twój podmiot przetwarzający, nasz standardowy wzór DPA zobowiązuje nas do poinformowania Cię bez zbędnej zwłoki, nie później niż w ciągu 24 godzin od powzięcia wiadomości o incydencie. To ostrzejszy termin niż w RODO i daje Ci czas na dotrzymanie własnego 72-godzinnego terminu wobec organu nadzorczego.
Audyty i zakończenie projektu
Audyty i kontrole
Gdy projekt się kończy
Kod należy do Ciebie
Prawa majątkowe przechodzą na Ciebie z każdą płatnością
SLA, hypercare i dokumenty
SLA i hypercare
Dokumenty na życzenie
Case studies
Dlaczego warto z nami pracować: co zyskujesz
Twoje dane zostają na Twoim koncie chmurowym, dostajesz umowę powierzenia na projekt i powiadomienie o incydencie w 24 godziny, a kod jest Twój.
Pytania o bezpieczeństwo, które słyszymy od zespołów zakupowych
-
W systemach, które dla Ciebie budujemy i utrzymujemy, jesteśmy podmiotem przetwarzającym, a Ty administratorem. Dane osobowe przetwarzamy wyłącznie na Twoje udokumentowane polecenie i nigdy do własnych celów.
-
Produkcja działa zwykle na Twoim koncie chmurowym, w regionie UE, który wybierasz. Środowiska testowe, które sami hostujemy, są na serwerach w Polsce. Dane przetwarzamy w EOG i opuszczają go tylko wtedy, gdy tak zdecydujesz.
-
Bez zbędnej zwłoki, nie później niż w ciągu 24 godzin od powzięcia wiadomości, żeby został Ci czas na dotrzymanie 72-godzinnego terminu wobec organu nadzorczego.
-
Do Ciebie. Autorskie prawa majątkowe przechodzą na Ciebie z każdą płatnością, na polach eksploatacji wskazanych w umowie, a my przekazujemy kod źródłowy.
-
W ciągu 10 dni roboczych usuwamy lub zwracamy Twoje dane wraz z kopiami, zgodnie z Twoim wyborem. W ciągu kolejnych 7 dni roboczych potwierdzamy to na piśmie. Kopie zapasowe są usuwane po upływie cyklu retencji.
-
Tak. Każdy projekt ma własną umowę powierzenia i własny wpis w naszym rejestrze kategorii czynności przetwarzania.