1. Zakres i odpowiedzialność
Polityka dotyczy portalu viatend.com i wszystkich danych w nim przetwarzanych. Odpowiadają za nią Tomasz Kasprzyk oraz Budoteka Sp. z o.o. jako operator i administrator. Środki bezpieczeństwa dobieramy do ryzyka, stanu techniki i charakteru danych, w tym tajemnicy przedsiębiorstwa uczestników postępowań, i regularnie je przeglądamy.
2. Szyfrowanie i infrastruktura
Cała komunikacja odbywa się wyłącznie przez HTTPS (TLS 1.2+). Dane są przechowywane w zarządzanej infrastrukturze chmurowej w UE, szyfrowanej w spoczynku, z automatycznymi kopiami zapasowymi i odtwarzaniem do punktu w czasie. Hasła są przechowywane wyłącznie w postaci skrótów kryptograficznych — nikt, także administrator, nie zna Twojego hasła.
3. Kontrola dostępu
Dostęp do danych jest ograniczony zasadą najmniejszych uprawnień i wymuszany w bazie danych regułami bezpieczeństwa wierszy (RLS) dla każdej tabeli. Role (Zarządca, Wykonawca/Projektant, Administrator, DEMO) są przechowywane oddzielnie od profilu i mogą być przydzielane tylko przez administratora. Sesja wygasa po 30 minutach bezczynności. Działania administracyjne są rejestrowane w niezmiennym dzienniku audytu.
4. Elektroniczny Sejf i poufność ofert
Oferty w trybie Elektronicznego Sejfu są szyfrowane na poziomie bazy danych i niedostępne dla nikogo — w tym zamawiającego i administratora — do dokładnej chwili otwarcia ofert. Pliki w sejfie dokumentów ofertowych przed terminem są widoczne wyłącznie jako lista metadanych. Awaryjne otwarcie (Emergency Safe Unlock) wymaga hasła administratora, drugiego składnika uwierzytelnienia i pisemnego uzasadnienia, jest audytowane i zawsze powoduje powiadomienie właściciela postępowania.
5. Integralność postępowań
Historia zapytań, wersji ofert, korespondencji, aneksów, otwarcia ofert i decyzji jest zapisywana w trybie wyłącznie do dopisywania, ze stemplem czasu serwera. Wpisów nie można zmienić ani usunąć. Dokumenty pobierane po akceptacji NDA są oznaczane znakiem wodnym identyfikującym pobierającego, a pobrania są rejestrowane.
6. Bezpieczeństwo aplikacji i dostawców
Kod i zależności są regularnie skanowane pod kątem podatności, a znalezione problemy usuwane priorytetowo. Klucze i sekrety są przechowywane wyłącznie po stronie serwera. Dostawców wybieramy pod kątem gwarancji bezpieczeństwa i zawieramy z nimi umowy powierzenia. Płatności kartą obsługuje Stripe (PCI DSS Level 1) — portal nie przechowuje danych kart.
7. Obowiązki użytkownika
Używaj silnego, unikalnego hasła i nie udostępniaj konta. Wyloguj się na urządzeniach współdzielonych. Weryfikuj adres strony (viatend.com) przed zalogowaniem. ViATEND nigdy nie prosi o hasło e-mailem ani telefonicznie. Niezwłocznie zgłaszaj podejrzenie przejęcia konta.
8. Zgłaszanie incydentów i podatności
Incydenty, podejrzane wiadomości i odkryte podatności zgłaszaj na kasprzyk@budoteka.com z tematem „Bezpieczeństwo”. Potwierdzamy zgłoszenie w ciągu 2 dni roboczych. Prosimy o odpowiedzialne ujawnianie: nie wykorzystuj podatności ponad to, co niezbędne do jej wykazania, i nie ujawniaj jej publicznie przed usunięciem. Rzetelnych zgłaszających nie będziemy pociągać do odpowiedzialności.
9. Postępowanie w razie naruszenia
Każdy incydent jest rejestrowany, oceniany pod kątem ryzyka i ograniczany. Naruszenie ochrony danych osobowych zgłaszamy Prezesowi UODO w ciągu 72 godzin od jego stwierdzenia, chyba że jest mało prawdopodobne, by powodowało ryzyko. Przy wysokim ryzyku niezwłocznie informujemy osoby, których dane dotyczą, wraz z zaleceniami. Poważne incydenty zgłaszamy także właściwemu CSIRT zgodnie z ustawą o krajowym systemie cyberbezpieczeństwa, jeśli ma zastosowanie.