Bezpieczeństwo i RODO - system rezerwacji ZAJMIJ.TO

Ta strona jest dla sekretarza, inspektora ochrony danych i informatyka, którzy muszą ocenić, czy system rezerwacji można bezpiecznie udostępnić mieszkańcom. Piszemy konkretnie: każda sekcja opisuje mechanizm, który działa w usłudze ZAJMIJ.TO. Nie podajemy informacji, których nie da się zweryfikować.

Jak czytać tę stronę

Strona opisuje usługę abonamentową, w której każda jednostka dostaje własne konto: role pracowników, logowanie, dziennik aktywności, osobną bazę danych, kopie zapasowe, dostęp naszego zespołu, miejsce przechowywania danych, eksport, incydenty i dokumenty prawne. Jeśli potrzebny jest opis stanu na konkretny dzień, na przykład do rejestru czynności przetwarzania, prosimy o wiadomość na biuro@zajmij.to albo w wiadomości w formularzu zgłoszenia.

Kto jest administratorem, a kto przetwarza dane

Dane mieszkańców, którzy rezerwują obiekty lub zapisują się na zajęcia, należą do jednostki, która udostępnia obiekt. To jednostka decyduje, jakie dane zbiera, w jakim celu i jak długo je przechowuje. W usłudze abonamentowej ZAJMIJ.TO jest podmiotem przetwarzającym, działającym wyłącznie na jej polecenie i na podstawie umowy powierzenia.

Dostęp pracowników: role i zakres organizacji

Panel obsługują wyłącznie konta pracowników z przypisaną rolą. System ma trzy role: administrator, kierownik i pracownik. Role tworzą stały zestaw i nie można ich usunąć. Przypisanie roli zmienia tylko administrator.

Pracownik widzi dane tych organizacji, do których został przypisany. Filtr działa na poziomie zapytań do bazy danych, więc opiekun świetlicy w jednym sołectwie nie widzi rezerwacji hali prowadzonej przez inną jednostkę. Dziennik aktywności jest dostępny tylko dla administratorów. Przed pierwszym użyciem panelu pracownik akceptuje regulamin i zgodę dotyczącą danych osobowych, a system blokuje dostęp do czasu akceptacji. Konto można dezaktywować, co natychmiast blokuje logowanie.

Logowanie i sesje

Hasła są przechowywane wyłącznie jako skrót bcrypt, nigdy jawnym tekstem.
Po pięciu nieudanych próbach logowania dla danego adresu e-mail i adresu IP system czasowo blokuje kolejne próby.
Administrator jednostki może włączyć dla dowolnego konta pracownika drugi składnik logowania, wymagany wtedy obok hasła: jednorazowy kod wysyłany e-mailem albo kod z aplikacji uwierzytelniającej. Ten drugi składnik jest dostępny dla każdej roli i zalecamy go co najmniej administratorom, ale system go nie wymusza - decyzję podejmuje jednostka.
Sesja korzysta z krótko ważnego tokenu dostępu oraz tokenu odświeżającego w ciasteczku HttpOnly, Secure, SameSite=Strict. W bazie zapisujemy tylko skrót tokenu odświeżającego.
Token odświeżający jest wymieniany przy każdym użyciu. Próba ponownego użycia starego tokenu unieważnia wszystkie sesje użytkownika i wysyła mu alert e-mail.
Pracownik widzi swoje aktywne sesje na różnych urządzeniach.

Dziennik aktywności: kto, co i kiedy

Zmiany danych w systemie zapisują się w dzienniku aktywności: kto wykonał operację, czego dotyczyła, jakie były stare i nowe wartości, kiedy to nastąpiło oraz z jakiego adresu IP i przeglądarki. Powiązane operacje mają wspólny identyfikator, więc da się odtworzyć całą zmianę, a nie pojedyncze pola. Wpisy starsze niż 90 dni są codziennie przenoszone do archiwum dziennika. Zdarzenia bezpieczeństwa, takie jak alerty sesji, trafiają do osobnego dziennika technicznego przechowywanego przez 90 dni.

Regulaminy, klauzule RODO i zgody

Regulamin portalu, klauzula informacyjna RODO i polityka cookies powstają na podstawie wzorów ZAJMIJ.TO, uzupełnionych danymi jednostki; administrator zatwierdza je w panelu albo publikuje własny dokument w PDF. Każdy dokument ma numer wersji, poprzednie wersje trafiają do archiwum, a o zmianie regulaminu można powiadomić klientów e-mailem. O treści i przyjęciu dokumentów decyduje jednostka; system pilnuje wersji i ich udostępnienia.

Mieszkańcy bez pełnego konta

Mieszkaniec lub trener może uzyskać dostęp do swoich rezerwacji i zajęć przez dwunastoznakowy kod PIN zamiast pełnego konta. Każdą prośbę o PIN zatwierdza administrator, a dostęp jest czasowy. Ogranicza to liczbę kont z hasłami i zakres danych, które mieszkaniec musi podać.

Płatności online

Płatności obsługuje Przelewy24. Konfigurację operatora płatności ustawia się osobno dla każdej organizacji, więc wpłaty za halę OSiR i za świetlicę mogą trafiać na różne rachunki. Dane karty ani logowania do banku nie przechodzą przez ZAJMIJ.TO. Umowę z Przelewy24 zawiera jednostka.

Osobna baza danych dla każdej jednostki

W usłudze abonamentowej każda jednostka ma własną bazę danych i osobne konto bazodanowe. Dane jednej jednostki nie leżą w tych samych tabelach co dane innej, a zapytanie bez wskazania jednostki kończy się błędem zamiast zwrócić cudze dane.

Kopie zapasowe i test odtworzenia

Raz na dobę powstaje szyfrowana kopia bazy i plików osobno dla każdej jednostki, z możliwością odtworzenia jednej jednostki bez wpływu na pozostałe; osobno kopiowana jest baza platformy. Kopie leżą poza serwerem aplikacji, a magazyn kopii blokuje ich usunięcie przez 30 dni. Maksymalna utrata danych w razie awarii (RPO) wynosi do 1 godziny: oprócz kopii dobowej co godzinę wysyłamy do magazynu kopii zapis zmian bazy, a odtwarzanie do punktu w czasie zostało przećwiczone. Raz w tygodniu najnowsza kopia każdej jednostki i platformy jest odtwarzana na środowisku kontrolnym i porównywana z oryginałem. Retencję kopii zapisujemy w umowie powierzenia.

Dostęp naszego zespołu i 2FA operatorów

Konta naszego zespołu, które obsługują wiele jednostek, wymagają drugiego składnika logowania (kod z aplikacji uwierzytelniającej). Każde wejście na konto jednostki w ramach wsparcia jest zapisywane w dzienniku, którego aplikacja nie może edytować ani usuwać wpisów (tylko dodawanie), a administrator jednostki dostaje o nim wiadomość e-mail.

Gdzie są przechowywane dane

Dane przechowujemy w Europejskim Obszarze Gospodarczym (EOG): serwer aplikacji stoi w Polsce (OVHcloud, Warszawa), a kopie zapasowe w innym regionie OVHcloud w EOG (Frankfurt). Pełną listę podprzetwarzających i miejsc przechowywania danych, kopii zapasowych i poczty zawiera umowa powierzenia.

Eksport danych i zakończenie umowy

Raporty systemu można pobrać jako pliki CSV. Administrator jednostki pobiera w panelu także pełny eksport danych jednostki (baza danych, pliki, kluczowe zestawienia) przez link ważny 7 dni - w każdej chwili, także w trybie tylko do odczytu po zakończeniu umowy. Po zakończeniu umowy dane są usuwane w terminie zapisanym w umowie powierzenia.

Incydenty

Jeśli dojdzie do naruszenia ochrony danych osobowych w usłudze, poinformujemy jednostkę bez zbędnej zwłoki, nie później niż w ciągu 24 godzin od jego stwierdzenia, tak aby administrator mógł dotrzymać terminu zgłoszenia do Prezesa UODO (umowa powierzenia, § 11). O poważnym incydencie bezpieczeństwa bez danych osobowych, który dotyczy konta jednostki, też zawiadomimy w ciągu 24 godzin - inspektora ochrony danych i osobę wskazaną do spraw cyberbezpieczeństwa (umowa subskrypcji, § 8 ust. 8).

Dostępność cyfrowa portalu

Portal dla mieszkańców to usługa cyfrowa podmiotu publicznego. System projektujemy zgodnie z WCAG 2.1 AA. Samoocena dostępności przeprowadzona przez dostawcę (WCAG 2.1 AA) zakończyła się 2 listopada 2026 r. bez stwierdzonych niezgodności: portal dla mieszkańców sprawdziliśmy automatycznie i ręcznie (klawiatura, powiększenie, drzewo dostępności), panel pracowników automatycznie. Szczegóły zawiera deklaracja dostępności. Jednostka dostaje w panelu szablon deklaracji dostępności swojego portalu z wynikiem tej oceny.

Umowa powierzenia przetwarzania danych

Wzór umowy powierzenia jest publicznie na zajmij.to. Jednostka zawiera ją z nami przed wprowadzeniem danych mieszkańców: administrator konta akceptuje ją w panelu po pierwszym zalogowaniu, razem z pozostałymi dokumentami usługi. Umowa określa między innymi przedmiot i czas przetwarzania, kategorie danych i osób, listę podprzetwarzających, zasady zgłaszania incydentów oraz sposób zwrotu i usunięcia danych po zakończeniu umowy. Każda wersja ma numer i datę, a system zapisuje, którą wersję zaakceptowała jednostka, i wysyła jej PDF administratorom.

Pakiet KRI dla dokumentacji SZBI jednostki

Do dokumentacji systemu zarządzania bezpieczeństwem informacji jednostki (KRI) przygotowaliśmy pakiet w dwóch wersjach. Skrót publiczny pakietu KRI opisuje oddzielenie danych jednostek, szyfrowanie, kopie zapasowe, lokalizację danych i obsługę incydentów. Pełną wersję ze szczegółowym opisem zabezpieczeń pobiera administrator jednostki w panelu (Co nowego → Bezpieczeństwo i KRI), gdy abonament jest włączony i opłacony.

Pytania od inspektora ochrony danych

Jeśli IOD potrzebuje dodatkowych informacji do oceny skutków albo do rejestru czynności przetwarzania, przygotujemy odpowiedzi na piśmie. Wystarczy wysłać zgłoszenie i wpisać pytania IOD w wiadomości. Warunki usługi opisuje cennik.