Bezpieczeństwo danych w pracy analityka i zespołu compliance

Korzystają z nas osoby, które pracują na wrażliwych sprawach: compliance officerowie instytucji obowiązanych, prawnicy przygotowujący badanie spółki, dziennikarze i działy ryzyka. Same dane rejestrowe są jawne, ale to, kogo sprawdzasz, w jakiej sprawie i z jakim wynikiem, jest informacją poufną. Dlatego chronimy przede wszystkim Twoją pracę: zapisane mapy, sprawy klientów, notatki, listy obserwowanych podmiotów i rejestr czynności. Poniżej opisujemy konkretne zabezpieczenia i to, w którym planie są dostępne.

Szyfrowanie transmisji i danych w spoczynku

Całe połączenie z serwisem, z panelem i z API odbywa się wyłącznie przez szyfrowany protokół TLS. Próba wejścia zwykłym połączeniem bez szyfrowania jest przekierowywana na wersję szyfrowaną, a przeglądarka dostaje instrukcję, żeby kolejne wizyty od razu zaczynała bezpiecznie. Ciasteczko sesji jest dostępne tylko dla połączeń szyfrowanych i chronione przed odczytem przez skrypty na stronie.

Dane wrażliwe zapisane w bazie są dodatkowo szyfrowane w spoczynku. Dotyczy to treści notatek w sprawach, opisów spraw, tokenów API, sekretów połączenia logowania jednokrotnego i danych potrzebnych do faktury. Klucz szyfrujący nie jest zapisany w bazie, więc sam zrzut bazy nie wystarcza do odczytania tych pól.

Hasła i logowanie

Nie przechowujemy haseł w postaci, którą da się odczytać. W bazie zapisujemy wyłącznie skrót hasła utworzony algorytmem przeznaczonym do haseł, z losową solą dla każdego konta. Nawet osoba z dostępem do bazy nie pozna Twojego hasła, a my nie możemy go Ci przypomnieć, tylko pozwolić ustawić nowe.

Przy zakładaniu konta wysyłamy kod na podany adres e-mail. Konto zaczyna działać dopiero po wpisaniu tego kodu, co potwierdza, że adres należy do osoby, która się rejestruje. Ten sam mechanizm obowiązuje przy resetowaniu hasła. Liczba prób logowania i wpisania kodu jest ograniczona w czasie, co utrudnia zgadywanie haseł.

W planie Instytucja zespół może logować się przez SSO w standardzie SAML. Administrator łączy konto zespołu z dostawcą tożsamości organizacji, a dostęp pracownika kończy się w chwili, gdy organizacja wyłączy go u siebie. Nie trzeba wtedy pamiętać o osobnym usuwaniu konta w serwisie przy odejściu pracownika.

Role w zespole

W planie Instytucja każdy użytkownik zespołu ma jedną z trzech ról. Rola decyduje, co może zrobić w panelu, a zmiana roli działa od razu.

Rola	Co może
Przeglądający	Otwiera mapy, profile i sprawy udostępnione zespołowi, czyta raporty. Nie tworzy nowych map, nie eksportuje danych i nie zmienia ustawień.
Analityk	Tworzy mapy i sprawy, dodaje notatki, ustawia alerty, sprawdza mapy na listach sankcyjnych i PEP, eksportuje raporty w ramach limitu planu.
Administrator	Ma uprawnienia analityka, a do tego zaprasza i usuwa użytkowników, nadaje role, zarządza tokenami API, ustawia SSO, przegląda dziennik dostępu i rozliczenia.

Rozdział ról pozwala stosować zasadę minimalnych uprawnień: osoba, która tylko zapoznaje się z wynikiem badania, nie musi mieć prawa do eksportu danych ani do zarządzania zespołem.

Dziennik dostępu

Dziennik dostępu zapisuje, kto, kiedy i jaki profil osoby albo spółki otworzył, jaką mapę zbudował i jaki eksport pobrał. Wpis zawiera użytkownika, datę i godzinę, przedmiot oraz rodzaj czynności. W planie Instytucja dziennik ma retencję 5 lat i jest dostępny dla administratora zespołu. Służy do audytu wewnętrznego: pozwala sprawdzić, czy wgląd w dane miał uzasadnienie w sprawie, i odpowiedzieć na pytanie inspektora ochrony danych albo działu audytu bez zgadywania.

Wpisów w dzienniku nie da się edytować ani usunąć z poziomu panelu, także przez administratora. To warunek, żeby dziennik miał wartość dowodową.

Rejestr czynności AML

Osobno od dziennika dostępu działa rejestr czynności AML, dostępny w planach Kancelaria i Instytucja. Zapisuje on sprawdzenia wykonane w ramach środków bezpieczeństwa finansowego: kto sprawdził klienta, kiedy, jaką mapę i jakie listy objęło sprawdzenie, jaki był wynik i jaką notatkę dodano. Rejestr jest przypisany do sprawy klienta i można go wyeksportować na potrzeby kontroli. Ustawa z 1 marca 2018 r. o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu wymaga od instytucji obowiązanych dokumentowania zastosowanych środków. Rejestr pomaga to udokumentować, ale nie zastępuje własnej procedury instytucji. Jak ją ułożyć, opisujemy na stronie procedura AML, a o samym sprawdzaniu klienta piszemy przy funkcji weryfikacja klienta AML.

Retencja i usuwanie danych konta

Dane Twojego konta, czyli mapy, sprawy, notatki, listy obserwowanych podmiotów i ustawienia, przechowujemy przez czas trwania abonamentu. Przed zakończeniem abonamentu warto pobrać potrzebne raporty i eksporty. Usunięcie konta możesz zlecić w panelu albo przez wiadomość na [email protected] z adresu przypisanego do konta. Po usunięciu dane zespołu znikają z bazy produkcyjnej, a z kopii zapasowych wygasają w cyklu ich rotacji.

Wyjątki wynikają z przepisów i z celu, któremu służą zapisy. Dokumenty rozliczeniowe, takie jak faktury, przechowujemy przez okres wymagany prawem podatkowym. Dziennik dostępu w planie Instytucja przechowujemy przez 5 lat od wpisu, bo tyle wynosi jego retencja. Rejestr czynności AML instytucja może wyeksportować przed usunięciem konta, bo to ona odpowiada za przechowanie dokumentacji przez okres wymagany ustawą.

Usunięcie map nie zmniejsza zużycia limitu w okresie rozliczeniowym. Limit liczy utworzone mapy, a nie te, które aktualnie są zapisane, dlatego usuwanie nie wpływa na rozliczenia.

Kopie zapasowe

Bazę danych kopiujemy codziennie. Kopie są szyfrowane i przechowywane w innym miejscu niż serwery produkcyjne, również na terenie Unii Europejskiej. Każda kopia ma ograniczony czas życia, po którym jest automatycznie usuwana.

Serwery w Unii Europejskiej

Serwis, baza danych i kopie zapasowe działają na serwerach zlokalizowanych w Unii Europejskiej. Dane kont nie są przekazywane do państw trzecich. Dostęp administracyjny do serwerów jest ograniczony do wąskiego grona osób, odbywa się przez klucze kryptograficzne, a nie hasła, i jest rejestrowany. Nie podajemy publicznie szczegółów infrastruktury, bo taka wiedza ułatwia przygotowanie ataku. Kategorie podmiotów, którym powierzamy przetwarzanie, opisuje polityka prywatności.

Umowa powierzenia przetwarzania

Jeśli w sprawach zapisujesz dane klientów, na przykład w notatkach do weryfikacji, przetwarzamy je w Twoim imieniu. W planie Instytucja umowa powierzenia przetwarzania danych osobowych jest do pobrania w panelu, w sekcji ustawień zespołu, bez osobnych negocjacji. Umowa opisuje zakres i cel przetwarzania, środki techniczne i organizacyjne, zasady korzystania z podwykonawców oraz sposób zwrotu i usunięcia danych po zakończeniu współpracy.

Dostępność i SLA

W planie Instytucja obowiązuje SLA na poziomie 99,9% dostępności w miesiącu. Prace serwisowe planujemy poza typowymi godzinami pracy biur. Przerwę w działaniu zgłaszasz na [email protected], a dostępność liczymy w skali miesiąca kalendarzowego.

Zabezpieczenia w poszczególnych planach

Ceny planów są netto, do ceny doliczamy 23% VAT. Pełne zestawienie funkcji i limitów zawiera cennik.

Zabezpieczenie	Wywiad	Analityk	Kancelaria	Instytucja
Szyfrowanie TLS i danych wrażliwych w spoczynku	tak	tak	tak	tak
Hasło jako skrót, kod z maila przy zapisie	tak	tak	tak	tak
Serwery i kopie zapasowe w UE	tak	tak	tak	tak
Liczba użytkowników	1	1	5	20
Sprawy klientów z notatkami i historią czynności	nie	nie	tak	tak
Rejestr czynności AML gotowy do kontroli	nie	nie	tak	tak
Role analityk, przeglądający, administrator	nie	nie	nie	tak
Logowanie SSO w standardzie SAML	nie	nie	nie	tak
Dziennik dostępu z retencją 5 lat	nie	nie	nie	tak
Umowa powierzenia w panelu	nie	nie	nie	tak
SLA 99,9%	nie	nie	nie	tak
Cena miesięczna netto (przy płatności rocznej)	199 zł (99 zł)	599 zł (299 zł)	1 490 zł (745 zł)	3 990 zł (1 995 zł)

Czego nie obiecujemy

Nie deklarujemy certyfikatów ani zewnętrznych audytów, których nie przeszliśmy. Opisane wyżej zabezpieczenia to środki, które faktycznie działają w serwisie. Jeśli Twoja organizacja potrzebuje odpowiedzi na ankietę bezpieczeństwa dostawcy, przygotuj pytania i wyślij je na [email protected], a odpowiemy na piśmie na każdy punkt.

Zgłaszanie podatności

Jeśli znajdziesz lukę w zabezpieczeniach serwisu, napisz na [email protected]. Opisz, czego dotyczy problem, jak go odtworzyć i jaki może mieć skutek. Potwierdzimy otrzymanie zgłoszenia, sprawdzimy je i poinformujemy o naprawie. Prosimy, żeby w trakcie sprawdzania nie pobierać danych innych użytkowników, nie zakłócać działania serwisu i nie ujawniać luki publicznie przed jej usunięciem. Zgłoszenia w dobrej wierze traktujemy jako pomoc, a nie jako atak.

Pytania o źródła, z których pochodzą dane na mapie, i o to, czego nie zbieramy, omawia strona źródła danych. Osoby, których dotyczy profil, mogą skorzystać z formularza na stronie korekta i sprzeciw.