Przegląd Bezpieczeństwa

Spis treści

1. 1. W skrócie
2. 2. Gdzie przechowywane są Państwa dane
3. 3. Szyfrowanie
4. 4. Oddzielenie danych każdego przedsiębiorstwa
5. 5. Ochrona logowania
6. 6. Ślad audytowy i wykrywanie manipulacji
7. 7. Kopie Zapasowe i odtwarzanie
8. 8. Płatności i pieniądze
9. 9. Sztuczna inteligencja
10. 10. Dostęp naszego zespołu
11. 11. Monitorowanie i reagowanie na incydenty
12. 12. Certyfikaty
13. 13. Co mogą Państwo zrobić
14. 14. Zgłaszanie podatności

Wersja: 1.2 · Opublikowano: 16 października 2026 r. · Obowiązuje: od zaakceptowania w przypadku nowych Przestrzeni Roboczych; w przypadku Przestrzeni Roboczych, które zaakceptowały wcześniejszą Wersję, od dnia wskazanego przez STAK w powiadomieniu na podstawie punktu 20 Warunków Świadczenia Usług dla Klientów · Tekst rozstrzygający: Angielski (punkt 23.9 Warunków Świadczenia Usług dla Klientów)

Wydawca: STAK Global, LLC, spółka z ograniczoną odpowiedzialnością utworzona w stanie Delaware, Stany Zjednoczone Ameryki (numer rejestrowy 10798493), która jest właścicielem STAK (ستاك) i Usług. Kontakt: [email protected].

Niniejszy Przegląd Bezpieczeństwa wyjaśnia prostym językiem, w jaki sposób chronimy dane Państwa przedsiębiorstwa i przechowujemy ich kopie, według stanu na Datę Wejścia w Życie tej Wersji. Aktualizujemy go, gdy się to zmienia. Ma on charakter wyłącznie informacyjny. Nasze zobowiązania umowne zawarte są w Umowie Powierzenia Przetwarzania Danych. Wyrażenia zdefiniowane w Warunkach Świadczenia Usług dla Klientów STAK mają w niniejszym Przeglądzie Bezpieczeństwa takie samo znaczenie.

1. W skrócie

• Państwa dane są szyfrowane podczas przesyłania i podczas przechowywania w naszych systemach.
• Dane każdego przedsiębiorstwa są oddzielone od wszystkich innych w samej bazie danych.
• Wykonujemy ciągłe Kopie Zapasowe oraz przechowujemy kopie dzienne i miesięczne w innym kraju, chronione przed przedwczesnym usunięciem.
• Nie przechowujemy numerów kart i nigdy nie otrzymujemy ani nie przechowujemy Państwa pieniędzy.
• Każda istotna zmiana jest rejestrowana w śladzie audytowym, którego żaden Użytkownik nie może zmienić.
• Obecnie nie posiadamy certyfikacji ISO 27001 ani raportu SOC 2. Poinformujemy o tym tutaj, gdy je uzyskamy.

2. Gdzie przechowywane są Państwa dane

2.1 Usługi działają w infrastrukturze chmurowej Amazon Web Services w regionie Frankfurt, w Republice Federalnej Niemiec. Kopie Zapasowe są kopiowane do odrębnego regionu Amazon Web Services w Republice Irlandii. Dzięki temu rozdzieleniu kopia Państwa danych może zostać zachowana nawet wtedy, gdy cały główny region hostingu ulegnie awarii.

2.2 W przyszłości możemy przenieść hosting do innego regionu. Powiadomimy Państwa z co najmniej 30-dniowym wyprzedzeniem. Tymczasowe uruchomienie Usług z Kopii Zapasowych w Republice Irlandii po utracie głównego regionu hostingu nie jest przeniesieniem, a my niezwłocznie Państwa o tym poinformujemy.

2.3 STAK jest udostępniany przez STAK Global, LLC, spółkę utworzoną w Stanach Zjednoczonych Ameryki. Nasz dostawca hostingu oraz niektórzy z naszych dostawców usług również podlegają prawu Stanów Zjednoczonych. Chronimy Państwa dane przed bezprawnym dostępem ze strony jakiegokolwiek rządu, zgodnie z punktem 13 Umowy Powierzenia Przetwarzania Danych: ujawniamy dane wyłącznie na wiążące żądanie, informujemy o tym Państwa, chyba że prawo tego zakazuje, ograniczamy ujawnienie do minimum i kwestionujemy żądania, które w uzasadniony sposób uznajemy za niezgodne z prawem. Państwa dane są szyfrowane podczas przechowywania i podczas przesyłania.

3. Szyfrowanie

3.1 Każde połączenie z Usługami jest szyfrowane protokołem TLS w wersji 1.2 lub nowszej, a aplikacja weryfikuje tożsamość serwera bazy danych przy każdym połączeniu.

3.2 Bazy danych, dyski, pliki, Kopie Zapasowe i magazyn sekretów są szyfrowane w spoczynku algorytmem AES-256 przy użyciu kluczy zarządzanych za pośrednictwem usługi zarządzania kluczami Amazon lub przez dostawcę hostingu.

3.3 Dokumentacja kadrowa Państwa pracowników i dokumentacja kliniczna są dodatkowo szyfrowane w ramach aplikacji osobnymi kluczami, a klucze do łączenia z Dostawcami Usług Płatniczych i innymi dostawcami są przechowywane w osobnym magazynie sekretów, szyfrowanym osobnym kluczem.

4. Oddzielenie danych każdego przedsiębiorstwa

4.1 Każdy rekord danych przedsiębiorstwa w bazie danych zawiera identyfikator Przedsiębiorstwa, do którego należy. Sama baza danych egzekwuje reguły bezpieczeństwa na poziomie wierszy, które uniemożliwiają aplikacji odczytywanie lub zapisywanie rekordów innego Przedsiębiorstwa. Jest to niezależna warstwa ochrony pod własnymi kontrolami aplikacji.

4.2 Konto bazy danych używane przez aplikację nie ma uprawnień do obchodzenia tych reguł.

5. Ochrona logowania

5.1 Mogą Państwo logować się za pomocą:

• kodu weryfikacyjnego wysłanego przez WhatsApp na zweryfikowany numer;
• klucza dostępu z rozpoznawaniem twarzy lub odcisku palca;
• konta Google, Apple lub Microsoft.

Po zalogowaniu można użyć aplikacji uwierzytelniającej jako drugiego kroku. Nie używamy haseł.

5.2 Mogą Państwo wymagać logowania dwuetapowego dla określonych ról, a Właściciele i Administratorzy otrzymują alert, gdy ktokolwiek zmienia swoje metody weryfikacji. Każda osoba otrzymuje alert, gdy jej własne Konto jest używane z nowego urządzenia. W Planach, które je obejmują, mogą Państwo również ustawić limit czasu bezczynności sesji, a Właściciele otrzymują alert, gdy ktokolwiek loguje się z nowego urządzenia.

5.3 Każdy Pracownik otrzymuje zdefiniowaną rolę i uprawnienia, a jego dostęp może być ograniczony do określonych Oddziałów. Pracownicy korzystający ze wspólnych Urządzeń używają sześciocyfrowego osobistego numeru identyfikacyjnego (PIN), a logowanie za jego pomocą jest blokowane po pięciu błędnych próbach.

6. Ślad audytowy i wykrywanie manipulacji

6.1 Każda istotna zmiana jest rejestrowana w śladzie audytowym, z informacją, kto jej dokonał, kiedy, skąd i z jakiego adresu IP. Żaden Użytkownik nie może zmienić ani usunąć tego śladu, z tym że wykonanie żądania usunięcia danych Klienta Końcowego usuwa tożsamość tej osoby z jego wpisów, zachowując informację o tym, co zrobiono, kto i kiedy. Ślad jest usuwany wraz z Danymi Klienta przy rozwiązaniu na podstawie Warunków.

6.2 Zapisy księgowe są powiązane w łańcuch, który ujawnia każdą późniejszą zmianę, a ich integralność mogą Państwo sprawdzić na stronie Bezpieczeństwo.

7. Kopie Zapasowe i odtwarzanie

7.1 Wykonujemy ciągłe Kopie Zapasowe baz danych, które umożliwiają ich odtworzenie do dowolnego momentu w ciągu ostatnich 35 dni. Wykonujemy również:

• codzienne Kopie Zapasowe, przechowywane przez 35 dni;
• miesięczne Kopie Zapasowe, przechowywane przez 12 miesięcy;
• co noc logiczną Kopię Zapasową bazy danych (zrzut bazy danych), przechowywaną przez 35 dni w zablokowanym magazynie.

7.2 Codzienne i miesięczne Kopie Zapasowe są kopiowane do Irlandii. Polityka skarbców kopii zapasowych we Frankfurcie i w Irlandii uniemożliwia komukolwiek, w tym naszemu własnemu zespołowi, usunięcie Kopii Zapasowej przed upływem jej okresu przechowywania lub zmianę tego okresu. Skarbce są ponadto zablokowane w trybie zgodności dostawcy hostingu, który został zaprojektowany tak, aby nikt, w tym osoba, która mogłaby przejąć jedno z naszych kont u dostawcy hostingu, nie mógł usunąć Kopii Zapasowej w ciągu pierwszych 35 dni.

7.3 Co miesiąc testujemy odtwarzanie bazy danych z Kopii Zapasowych. Dążymy do tego, aby w razie awarii bazy danych utracić nie więcej niż 15 minut danych, a w razie utraty całego regionu hostingu – nie więcej niż 24 godziny, zgodnie z celami odtwarzania określonymi w Umowie o Poziomie Usług.

7.4 Przechowujemy Kopie Zapasowe w celu odtwarzania usługi, a nie jako archiwum dla Państwa. Dlatego prosimy o regularny eksport danych ze strony Plan i rozliczenia lub z każdej Aplikacji.

8. Płatności i pieniądze

8.1 Usługi zaprojektowano tak, aby numery kart nie przechodziły przez nasze systemy ani nie były w nich przechowywane: płatność odbywa się na własnych stronach Dostawców Usług Płatniczych lub na ich certyfikowanych terminalach akceptujących karty i w ich aplikacjach. Ekrany Usług nie zawierają pola na numery kart ani ich kody bezpieczeństwa, a ze strony Bezpieczeństwo mogą Państwo zażądać przeskanowania pól tekstowych pod kątem numerów kart wprowadzonych przez pomyłkę.

8.2 Państwa pieniądze trafiają bezpośrednio od Dostawcy Usług Płatniczych na Państwa rachunek bankowy. Nigdy ich nie otrzymujemy ani nie przechowujemy.

8.3 Zmiana rachunku bankowego zarejestrowanego w STAK do otrzymywania rozliczeń wymaga dodatkowego etapu weryfikacji i wchodzi w życie dopiero po 48 godzinach. Właściciele są natychmiast powiadamiani, aby mogli ją anulować.

9. Sztuczna inteligencja

9.1 Dane są przesyłane do dostawcy AI wyłącznie wtedy, gdy Użytkownik zażąda Funkcji AI, prześle dokument do odczytu przez taką funkcję, na przykład paragon, lub gdy automatyzacja skonfigurowana przez Użytkownika wykonuje krok AI, i przesyłane są wyłącznie dane potrzebne do tego żądania lub kroku.

9.2 Państwa dane nie są wykorzystywane do trenowania modeli sztucznej inteligencji. Funkcje AI zmieniają rekord wyłącznie po Państwa wyraźnym potwierdzeniu lub w ramach automatyzacji, którą skonfigurował i włączył upoważniony Użytkownik.

10. Dostęp naszego zespołu

Dostęp do Środowiska Produkcyjnego jest ograniczony do niewielkiej liczby wskazanych imiennie pracowników i wymaga uwierzytelniania wieloskładnikowego, a początek każdej sesji dostępu jest rejestrowany. Dostęp administracyjny do serwerów odbywa się wyłącznie za pośrednictwem usługi zarządzania systemami Amazon, bez bezpośredniego logowania do serwerów.

Przeglądamy Państwa dane wyłącznie w następujących przypadkach:

• w celu udzielenia wsparcia, o które Państwo proszą;
• w celu obsługi, utrzymania i odtwarzania Usług;
• w celu zbadania Incydentu Bezpieczeństwa lub podejrzewanego naruszenia Polityki Dopuszczalnego Użytkowania;
• gdy wymaga tego prawo.

11. Monitorowanie i reagowanie na incydenty

11.1 Monitorujemy infrastrukturę chmurową automatycznie przez całą dobę, z natychmiastowymi alertami dla naszego zespołu. Każda czynność administracyjna w infrastrukturze chmurowej jest rejestrowana, a zagrożenia i nadmiarowe uprawnienia są wykrywane automatycznie.

11.2 Jeżeli Naruszenie Ochrony Danych Osobowych dotyczy Państwa danych, powiadamiamy Państwa bez zbędnej zwłoki: w miarę możliwości w ciągu 24 godzin od powzięcia o nim wiadomości, a w każdym przypadku w ciągu 48 godzin. Informujemy Państwa, co się stało i co w związku z tym zrobiliśmy.

12. Certyfikaty

Obecnie nie posiadamy certyfikacji ISO 27001 ani raportu SOC 2. Nie posiadamy również certyfikacji PCI DSS, ponieważ Usługi zaprojektowano tak, aby dane kart nie przechodziły przez nasze systemy: są one przetwarzane na własnych stronach Dostawców Usług Płatniczych lub na ich certyfikowanych terminalach i w ich aplikacjach. Dostawcy Usług Płatniczych, których Państwo łączą z Usługami, posiadają własne certyfikacje. Wymienimy tutaj każdą certyfikację, którą uzyskamy w przyszłości.

Jeżeli przyjmują Państwo płatności kartą za pośrednictwem swoich stron STAK, kupujący jest przekierowywany na stronę Państwa Dostawcy Usług Płatniczych albo korzystają Państwo z jego certyfikowanych terminali i aplikacji, dzięki czemu strony STAK nigdy nie zbierają danych kart. Własne obowiązki wynikające z PCI DSS prosimy sprawdzić u swojego Dostawcy Usług Płatniczych; przedsiębiorstwo korzystające z takiego przekierowania zwykle wypełnia najkrótszy kwestionariusz samooceny (SAQ A). STAK nie deklaruje posiadania certyfikacji PCI DSS.

13. Co mogą Państwo zrobić

• Należy włączyć logowanie dwuetapowe dla Właścicieli i Administratorów.
• Należy nadawać każdemu Pracownikowi wyłącznie uprawnienia potrzebne do jego pracy oraz natychmiast odbierać dostęp osobom, które odchodzą.
• Należy regularnie eksportować dane, co najmniej raz w miesiącu.
• Należy utrzymywać Urządzenia punktu sprzedaży w stanie połączenia, dopóki sprzedaż zapisana w trybie offline nie zakończy synchronizacji, przed wyczyszczeniem danych z jakiegokolwiek Urządzenia lub wylogowaniem się z niego.
• Należy utrzymywać systemy i przeglądarki na swoich urządzeniach w aktualnej wersji.
• Należy niezwłocznie informować nas o każdej podejrzanej aktywności.

14. Zgłaszanie podatności

Jeżeli odkryją Państwo podatność w zakresie bezpieczeństwa, prosimy o wiadomość e-mail na adres [email protected]. Zgłoszenia traktujemy jako poufne. Upoważniamy do testów bezpieczeństwa przeprowadzanych w dobrej wierze w granicach określonych w punkcie 10 Polityki Dopuszczalnego Użytkowania i nie wnosimy żadnej skargi ani roszczenia wobec osoby, która mieści się w tych granicach i niezwłocznie zgłasza nam podatność.