Bezpieczeństwo
Security by design
Jesteśmy młodą, zwinną firmą. Zamiast najpierw wydawać na audytorów, nasze zasoby trafiają bezpośrednio w bezpieczeństwo techniczne. Nasze środki orientujemy na ISO 27001 i BSI IT-Grundschutz — i dokumentujemy je tu otwarcie, abyś mógł je zweryfikować.
Bez odznak certyfikacyjnych — jasna lista tego, co naprawdę robimy, abyś mógł porównać ją z własnymi wymaganiami. Te same środki są częścią naszej umowy powierzenia przetwarzania danych i stanowią wobec Ciebie zobowiązanie umowne.
Tożsamość i dostęp
- Uwierzytelnianie dwuskładnikowe (TOTP) z kodami odzyskiwania dla każdego konta
- Logowanie przez Google lub Apple albo e-mail + hasło haszowane bcrypt
- Sesje w ciasteczkach HttpOnly, Secure, SameSite; o każdym nowym logowaniu jesteś informowany
- Role — właściciel, admin, edytor, przeglądający — nikt nie ma więcej uprawnień, niż wymaga jego zadanie
Zasada najmniejszych uprawnień
- Klucze API sięgają tylko wybranych workspace’ów, mogą wygasać, są pokazywane raz i przechowywane jako hash
- Usługi działają jako nieuprzywilejowani użytkownicy w osobnych kontenerach; renderer rozmawia z aplikacją tylko przez wspólny sekret
- Do bazy danych prowadzi ograniczona rola; zabezpieczenia na poziomie wierszy w Postgresie blokują odczyty między kontami nawet przy błędzie aplikacji
- Każda akcja administracyjna trafia do dziennika audytu
Ochrona i izolacja danych
- Hosting w UE (Hetzner, Norymberga); umowa powierzenia ze środkami technicznymi i organizacyjnymi
- Przechowywane sekrety — klucze podpisu webhooków, dane rejestru i kopii zapasowych, sekrety 2FA, hasła szablonów — są szyfrowane AES-256-GCM
- Dokumenty są prywatne; pobieranie odbywa się przez krótkotrwałe podpisane linki
- Ty decydujesz o retencji i możesz wszystko wyeksportować lub usunąć; usunięcia mają okres karencji
- Dokumenty i baza danych działają na serwerach Hetzner w Niemczech; codzienne kopie zapasowe bazy trafiają do magazynu obiektowego Hetzner w UE, przechowywane 30 dni, oddzielnie od danych aplikacji
Integralność dokumentów
- Każdy ukończony dokument e-podpisu jest blokowany przed edycją, pieczętowany certyfikatem cyfrowym i otrzymuje odcisk SHA-256
- Podpisujący potwierdzają oświadczenie o zgodzie; ścieżka audytu jest powiązana hashami, więc nic nie zmieni się niezauważenie
- Każdy, kto ma PDF, może zweryfikować go na naszej publicznej stronie weryfikacji — bez przesyłania Otwórz stronę weryfikacji →
- Webhooki są podpisane (HMAC-SHA256) i ponawiane automatycznie
Odporność i ochrona przed nadużyciami
- Limity żądań na plan i ograniczanie rejestracji
- Twarde limity rozmiaru i liczby stron; renderer działa w izolacji z limitami czasu, więc wadliwy dokument nigdy nie wyłączy usługi
- Pobrania wychodzące (obrazy w szablonach) są ograniczone do dozwolonych hostów — brak SSRF
- Monitorowanie błędów i codzienne kopie zapasowe z kopiami poza siedzibą
- Ścisła Content Security Policy: bez skryptów inline, bez eval na stronach publicznych, skrypty tylko z naszej domeny i dozwolonych usług
- Reagowanie na incydenty: zgłoszenia są oceniane w ciągu jednego dnia roboczego; poszkodowani klienci są powiadamiani w ciągu 48 godzin od potwierdzonego naruszenia, zgodnie z naszą umową powierzenia
Standardy, do których się odnosimy
- Środki bezpieczeństwa oparte na ISO 27001 i BSI IT-Grundschutz, zapisane w umowie powierzenia przetwarzania danych jako zobowiązanie umowne
- Kryptografia zgodna z wytyczną techniczną BSI TR-02102: AES-256-GCM, SHA-256, pieczęcie RSA-3072, TLS 1.2 lub nowszy
- Stan techniki wymagany przez art. 32 RODO
- Zwykłe podpisy elektroniczne w rozumieniu eIDAS — mówimy wprost, czym są, a czym nie
Czego nie twierdzimy
Nie mamy jeszcze certyfikatu ISO 27001 ani SOC 2 i nie twierdzimy inaczej. Do tego czasu publikujemy tu nasze środki i aktualizujemy tę stronę, gdy się zmieniają.
Odpowiedzialne ujawnianie
Znalazłeś lukę? Napisz do nas — czytamy każde zgłoszenie i nie podejmujemy kroków prawnych wobec badań w dobrej wierze. Nasz security.txt wskazuje ten sam adres. [email protected]
Potrzebujesz więcej szczegółów?
Nasza umowa powierzenia przetwarzania danych wymienia środki techniczne i organizacyjne jako zobowiązanie umowne, a zespół ds. bezpieczeństwa odpowiada na pytania bezpośrednio.