Środki techniczne i organizacyjne bezpieczeństwa (TOMs)

Załącznik nr 1 do DPA opisujący środki bezpieczeństwa stosowane w architekturze MigraDesk.

Ostatnia aktualizacja wersji roboczej: 2026-08-31

Dokument DRAFT – nie jest finalnym dokumentem prawnym

Treść została dopracowana po konsultacji prawnej, ale pozostaje wersją roboczą do czasu utworzenia podmiotu prowadzącego usługę, uzupełnienia danych przedsiębiorcy oraz zakończenia audytu technicznego dostawców, regionów, retencji i technologii sesyjnych.

1. Logiczna izolacja danych (RLS)

Dane poszczególnych Organizacji są logicznie izolowane na poziomie bazy danych przy wykorzystaniu mechanizmów Row Level Security (RLS), zapewniających kontrolę dostępu na poziomie zapytań dla każdego tenanta.

2. Szyfrowanie transmisji (In-Transit)

Transmisja pomiędzy wspieranymi komponentami produkcyjnymi odbywa się z wykorzystaniem szyfrowanych protokołów transportowych, w szczególności TLS 1.2 lub nowszych, zgodnie z konfiguracją dostawców infrastruktury.

3. Szyfrowanie danych spoczynkowych (At-Rest)

Infrastruktura dostawcy bazy danych i storage wykorzystuje wbudowane mechanizmy szyfrowania danych przechowywanych na dyskach i w kopiach zapasowych, zgodnie z aktualnymi standardami i konfiguracją danego dostawcy, w tym mechanizmy klasy AES-256 tam, gdzie są przez dostawcę stosowane.

4. Kontrola dostępu i uwierzytelnianie

Dostęp do Platformy jest chroniony mechanizmami uwierzytelniania i sesjami tokenowymi. Uprawnienia wewnątrz Organizacji są ograniczane zgodnie z rolami (RBAC) oraz mechanizmami kontroli dostępu. Organizacja odpowiada za prawidłowe zarządzanie uprawnieniami własnych Użytkowników.

5. Logowanie i audyt

MigraDesk rejestruje wybrane zdarzenia istotne dla bezpieczeństwa i audytu, w szczególności operacje administracyjne oraz zdarzenia wymagane do diagnostyki i wykrywania nadużyć. Zakres i retencja logów podlegają Polityce Retencji.

6. Obsługa incydentów

Incydenty bezpieczeństwa są obsługiwane według wewnętrznej procedury. W przypadku naruszenia danych powierzonych Organizacja jest informowana zgodnie z DPA, a zdarzenie jest dokumentowane i analizowane w zakresie adekwatnym do ryzyka.