ZAJMIJ.TO

Pakiet KRI - skrót dla gmin

Ostatnia aktualizacja: 5 listopada 2026

Ta strona jest dla sekretarza, pełnomocnika ds. bezpieczeństwa informacji, informatyka i inspektora ochrony danych. Jednostka, która korzysta z usługi w chmurze, nadal prowadzi własny system zarządzania bezpieczeństwem informacji (wymaga tego rozporządzenie o Krajowych Ramach Interoperacyjności). Nie musi sama pilnować serwera, ale powinna wiedzieć, jak robi to dostawca, i opisać to w swojej dokumentacji. Poniżej zebraliśmy najważniejsze informacje; szczegóły zawiera pełny pakiet.

Dwie wersje pakietu

Wersja Co zawiera Gdzie ją znaleźć
Skrót publiczny (ta strona) najważniejsze zasady: oddzielenie danych jednostek, szyfrowanie, kopie zapasowe, lokalizacja danych, obsługa incydentów, podział obowiązków zajmij.to, dla każdego
Pełny pakiet szczegółowy opis zabezpieczeń, polityka kopii zapasowych i testów odtworzenia, procedura incydentów, rejestr zmian - jeden plik PDF z numerem wersji panel jednostki, Co nowego → Bezpieczeństwo i KRI, dla administratora jednostki z włączonym i opłaconym abonamentem

Pełna wersja opisuje zabezpieczenia na tyle dokładnie, że jej publikacja mogłaby ułatwić atak. Dlatego umowa subskrypcji traktuje ją jako tajemnicę przedsiębiorstwa ZAJMIJ.TO: można ją wykorzystać we własnej dokumentacji i pokazać audytorowi albo organowi nadzoru, ale nie można jej publikować.

Oddzielenie danych jednostki

Każda jednostka ma własną bazę danych i własne konto dostępu do niej. Dane jednej jednostki nie leżą w tych samych tabelach co dane innej, a system przy każdym zapytaniu sprawdza, do której jednostki należy użytkownik. Pliki jednostki (dokumenty, zdjęcia, załączniki) są przechowywane osobno.

Analogia: zamiast jednej szafy z przegródkami każda jednostka ma własną szafę z własnym kluczem.

Szyfrowanie

  • Połączenia z portalem i panelem są szyfrowane (HTTPS).
  • Hasła przechowujemy wyłącznie jako skrót, nigdy jawnym tekstem.
  • Klucze płatności jednostki i inne poufne ustawienia są zapisane w postaci zaszyfrowanej.
  • Kopie zapasowe i archiwum konta jednostki są szyfrowane.

Kopie zapasowe i odtworzenie danych

  • Kopia danych każdej jednostki powstaje codziennie i jest przechowywana poza serwerem aplikacji, w innym centrum danych w Europejskim Obszarze Gospodarczym. Magazyn kopii blokuje ich usunięcie przez 30 dni.
  • Co tydzień automatycznie odtwarzamy próbnie ostatnią kopię każdej jednostki i sprawdzamy, czy dane są kompletne.
  • Maksymalna utrata danych (RPO) wynosi do 1 godziny: oprócz kopii dobowej co godzinę wysyłamy do magazynu kopii zapis zmian bazy, a odtwarzanie do punktu w czasie zostało przećwiczone.
  • Kopie wygasają w rotacji; ich dane znikają z magazynu najpóźniej 90 dni od wykonania kopii.
  • W każdej chwili można pobrać pełny eksport danych jednostki (baza danych, zestawienia CSV i pliki) - również po zakończeniu umowy, przez okres trybu tylko do odczytu.

Gdzie są dane

Dane przechowujemy w Europejskim Obszarze Gospodarczym, bez przekazywania poza EOG. Pełną listę podmiotów, które pomagają nam świadczyć usługę, zawiera lista podmiotów podprzetwarzających.

Dostęp zespołu ZAJMIJ.TO

Pracownicy ZAJMIJ.TO logują się do panelu operatora z obowiązkowym drugim składnikiem logowania, a każda ich czynność trafia do dziennika. Do danych jednostki wchodzą tylko w ramach sesji wsparcia: za jednorazowym kodem, który wygeneruje administrator jednostki, z podanym powodem i na ograniczony czas. O każdej takiej sesji administratorzy jednostki dostają e-mail, a zmiany wprowadzone w jej trakcie są oznaczone w dzienniku aktywności.

Incydenty

  • O naruszeniu ochrony danych osobowych, które dotyczy jednostki, informujemy bez zbędnej zwłoki, nie później niż w ciągu 24 godzin od jego stwierdzenia - zgodnie z umową powierzenia.
  • O poważnym incydencie bezpieczeństwa, który dotyczy konta jednostki, informujemy także wtedy, gdy nie obejmuje danych osobowych.
  • Informacja zawiera opis zdarzenia, prawdopodobne skutki, podjęte działania i dane kontaktowe. Na jej podstawie jednostka podejmuje własne decyzje, np. o zgłoszeniu do Prezesa UODO.
  • Incydent albo podatność można zgłosić na adres bezpieczenstwo@zajmij.to.

Zmiany w systemie

Każde wydanie systemu ma numer i datę. Lista zmian jest dostępna w panelu jednostki na stronie Co nowego. Zmianę, która istotnie ogranicza funkcje, zapowiadamy co najmniej 30 dni wcześniej, a prace serwisowe z przerwą - co najmniej 48 godzin wcześniej.

Podział obowiązków

Obszar ZAJMIJ.TO Jednostka
Serwer, kopie, aktualizacje, szyfrowanie prowadzi i dokumentuje weryfikuje na podstawie pakietu
Konta pracowników i uprawnienia dostarcza role, blokadę logowania, kod jednorazowy i dziennik aktywności zakłada konta, nadaje role, odbiera dostęp odchodzącym pracownikom
Dane w systemie przetwarza na polecenie jednostki (umowa powierzenia) jest administratorem danych, decyduje o zakresie i okresie przechowywania
Incydenty wykrywa, obsługuje po stronie platformy, informuje jednostkę dokonuje własnych zgłoszeń i informuje mieszkańców
Ciągłość działania kopie, testy odtworzenia, odtworzenie ma plan na czas niedostępności (np. rezerwacje telefoniczne)
Dostępność cyfrowa portalu portal projektowany zgodnie z WCAG 2.1 AA, szablon deklaracji dostępności treści, które dodaje, i publikacja deklaracji

Jak otrzymać pełny pakiet

  1. Jednostka zawiera umowę subskrypcji i opłaca abonament.
  2. Administrator jednostki otwiera w panelu Co nowego → Bezpieczeństwo i KRI i pobiera plik PDF.
  3. Przy każdej istotnej zmianie zabezpieczeń, nie rzadziej niż raz w roku, pakiet dostaje nową wersję - numer wersji jest w nazwie pliku i w stopce.

Pytania o bezpieczeństwo prosimy kierować na adres bezpieczenstwo@zajmij.to. Opis ochrony danych w aplikacji: Bezpieczeństwo danych i RODO.