Gdzie leżą Wasze dane i kto ma do nich dostęp

Gdzie fizycznie leżą dane

Dane klienta — baza, pliki i kopie zapasowe — przechowujemy w Unii Europejskiej (Frankfurt). Wnioskowanie modeli językowych realizujemy dziś u dostawców przetwarzających część zadań poza Europejskim Obszarem Gospodarczym, na podstawie standardowych klauzul umownych; pełna lista podprocesorów wraz z regionem przetwarzania stanowi załącznik do umowy powierzenia. Dla spraw najbardziej wrażliwych administrator włącza tryb hybrydowy, w którym treść dokumentu nie opuszcza urządzenia. Przeniesienie całości wnioskowania do Unii jest w planie prac.

Każda organizacja ma odrębny klucz główny repozytorium. Klucz jest opakowywany dla poszczególnych użytkowników, a odszyfrowanie treści następuje po stronie przeglądarki. Konsekwencja jest prosta i mówimy o niej wprost: nie odzyskamy zawartości repozytorium, jeśli kancelaria utraci wszystkie klucze użytkowników. To cena za to, że nikt po naszej stronie nie może odczytać akt.

Kto ma dostęp i jak to udowodnić

Dostęp jest przypisany do roli w organizacji: czytelnik, członek zespołu, administrator kancelarii, administrator globalny. Dokumenty mają własny poziom widoczności — osobisty, zespołowy albo całej kancelarii — więc sprawa prowadzona przez dwóch prawników nie jest domyślnie widoczna dla całego biura. Reguły są egzekwowane w bazie danych, nie w interfejsie: zapytanie użytkownika spoza zespołu nie zwraca rekordu, niezależnie od tego, czym zostało wysłane.

Personel techniczny nie ma ścieżki wglądu w treść dokumentów klienta. Praca na incydencie odbywa się na metadanych: identyfikatorze zadania, czasie, kodzie błędu i sumie kontrolnej pliku. Każde sięgnięcie po dane organizacji przez administratora kancelarii zostawia wpis w dzienniku, którego nie da się edytować ani usunąć — dziennik jest dopisywany, a nie nadpisywany, i eksportuje się do pliku z sumą kontrolną, który można dołączyć do dokumentacji audytowej.

Tryb hybrydowy: treść nie opuszcza kancelarii

Dla spraw najbardziej wrażliwych administrator włącza tryb, w którym treść dokumentu nie może zostać wysłana do żadnej usługi zewnętrznej. Na zewnątrz idzie wyłącznie sygnatura przepisu lub orzeczenia, po którą sięgamy do rejestru: numer Dziennika Ustaw, identyfikator EUR-Lex, sygnatura akt. Odpowiedź wraca do przeglądarki i tam jest łączona z dokumentem. Próba wysłania treści przy włączonym trybie kończy się odmową po stronie serwera i wpisem w rejestrze — to zabezpieczenie techniczne, nie zalecenie dla użytkownika.

Niezależnie od trybu, dane osobowe są zastępowane tokenami po stronie urządzenia, zanim jakiekolwiek zapytanie opuści przeglądarkę. Mapowanie tokenów pozostaje w organizacji. Dzięki temu nawet zapytanie o standardowy przepis nie przenosi nazwisk stron, sygnatur wewnętrznych ani nazw kontrahentów.

Retencja, usuwanie i wyjście z usługi

Okres przechowywania ustawia administrator kancelarii, osobno dla dokumentów roboczych, dla historii analiz i dla dziennika audytowego. Zapytania kierowane do modeli nie są zapisywane po stronie dostawcy i nie służą do trenowania — to zapis w umowie powierzenia, nie deklaracja marketingowa. Usunięcie sprawy usuwa treść i wektory wyszukiwania; w dzienniku pozostaje sam ślad operacji, bez zawartości.

Wyjście z usługi jest zaplanowane od początku. Eksport obejmuje dokumenty w formatach źródłowych, historię wersji, dziennik audytowy i metadane spraw w pliku do odczytu maszynowego. Nie ma opłaty za eksport i nie ma okresu, w którym dane są zakładnikiem negocjacji handlowych.

Ciągłość działania i postępowanie przy incydencie

Dostępność usługi mierzymy na publicznej stronie statusu, a nie w prezentacji handlowej. Kopie zapasowe wykonywane są codziennie, z punktem odtworzenia liczonym w minutach i testem odtworzenia przeprowadzanym cyklicznie, nie jednorazowo przy uruchomieniu. Awaria pojedynczego dostawcy modelu językowego nie zatrzymuje pracy: wyszukiwanie w aktach, dostęp do dokumentów, kalendarz terminów i dziennik audytowy działają bez warstwy analitycznej, ponieważ nie zależą od niej technicznie.

Przy podejrzeniu naruszenia ochrony danych uruchamiamy procedurę z jednym punktem kontaktu po naszej stronie. Kancelaria dostaje pierwszą informację niezwłocznie po potwierdzeniu zdarzenia, wraz z zakresem, czasem trwania i listą organizacji, których dotyczy. Termin i forma zgłoszenia wynikają z umowy powierzenia, którą podpisujemy przed wdrożeniem, a nie z ustaleń podejmowanych w trakcie incydentu. Po zamknięciu sprawy przekazujemy raport z analizą przyczyny źródłowej i listą wdrożonych zmian; ten sam raport można załączyć do własnej dokumentacji zgodności.

Zmiany w usłudze przechodzą przez przegląd bezpieczeństwa, a wdrożenia produkcyjne są odwracalne. Historia wersji środowiska i lista zmian mających wpływ na przetwarzanie danych są dostępne dla administratora kancelarii, więc dział bezpieczeństwa nie musi pytać, co zmieniło się między kwartałami.

Pytania, które zadaje dział bezpieczeństwa