Bezpieczeństwo

Bezpieczeństwo Twoich danych jest sercem dAio. Ponieważ powierzasz platformie swoje lokalizacje, raporty emisji i informacje o zespołach, dAio stosuje ochronę od końca do końca: solidne uwierzytelnianie, szyfrowanie, rozdzielenie dostępu i zgodność z RODO. Ta strona wyjaśnia, co dAio robi za Ciebie i co Ty możesz zrobić w Ustawieniach, aby wzmocnić bezpieczeństwo swojego konta i organizacji.

Wskazówka: bezpieczeństwo to wspólna odpowiedzialność. dAio chroni infrastrukturę i dane; Ty zachowujesz kontrolę nad hasłami, dostępem członków i poufnością swoich informacji. Sprawdź te ustawienia zaraz po otwarciu konta, a następnie przy każdej zmianie zespołu.

Uwierzytelnianie

dAio opiera się na uwierzytelnianiu za pomocą podpisanych tokenów, zaprojektowanym tak, aby pozostawać bezpiecznym bez zmuszania zespołów do ciągłego ponownego logowania.

Mechanizm	Rola
JWT (JSON Web Token)	Każde żądanie jest uwierzytelniane podpisanym tokenem, nigdy hasłem w postaci jawnej.
Wygasanie tokenów	Tokeny dostępu wygasają po ograniczonym czasie, aby zmniejszyć okno narażenia w razie kradzieży.
Tokeny odświeżające	Odnowienie jest przezroczyste: Twoi współpracownicy pozostają zalogowani bez ponownego wpisywania danych logowania.
Hasło	Minimum 8 znaków, przechowywane wyłącznie jako hash (bcrypt) — nigdy w postaci jawnej, także po stronie dAio.

Uwaga: dAio nigdy nie poda Ci Twojego hasła, ponieważ nie jest ono przechowywane w postaci jawnej. W razie zapomnienia skorzystaj z procedury resetowania na ekranie logowania.

Zarządzanie hasłem

Wybierz długie, unikalne hasło zarezerwowane dla dAio:

1. Użyj co najmniej 12 znaków łączących wielkie i małe litery, cyfry oraz symbole.
2. Nigdy nie używaj ponownie hasła stosowanego już w innej usłudze.
3. Przechowuj je w menedżerze haseł, a nie w pliku lub e-mailu.

Wskazówka: firmowy menedżer haseł (udostępniony z odpowiednimi uprawnieniami) zapobiega krążeniu danych logowania przez wiadomości lub ich utracie przy odejściu współpracownika.

Sesje i wylogowanie

Twoja sesja pozostaje aktywna tak długo, jak ważne są Twoje tokeny. Na wspólnym lub publicznym urządzeniu zamknij ją wyraźnie:

• Przycisk Wyloguj, na dole Ustawień, kończy sesję i usuwa tokeny urządzenia.
• Zawsze wylogowuj się ze wspólnego komputera, stanowiska na budowie lub współdzielonego tabletu.

Uwaga: samo zamknięcie karty przeglądarki nie wylogowuje Cię. Na urządzeniu, które nie jest Twoje, zawsze używaj przycisku Wyloguj.

Weryfikacja telefonu

Numer telefonu powiązany z Twoim profilem służy do odbierania krytycznych alertów przez SMS i WhatsApp. Jego weryfikacja gwarantuje, że tylko prawidłowe kontakty otrzymują Twoje wrażliwe powiadomienia:

1. W Ustawieniach wpisz swój numer i kod kraju.
2. Wpisz kod otrzymany SMS-em, aby potwierdzić własność numeru.
3. Po zweryfikowaniu numer staje się zaufanym kanałem dla Twoich alertów.

Role i uprawnienia

Kontrola dostępu opiera się na zasadzie najmniejszych uprawnień: każdy członek ma tylko prawa niezbędne do swojej pracy.

• Każda akcja jest weryfikowana po stronie serwera, nigdy tylko w interfejsie.
• Członkowie widzą tylko przypisane im obiekty.
• Wrażliwe akcje (usuwanie, rozliczenia, zarządzanie miejscami) są zarezerwowane dla właściciela i administratorów.

Szczegóły macierzy ról i przypisywania obiektów znajdziesz w zarządzaniu zespołem.

Wskazówka: stosuj zasadę najmniejszych uprawnień zarówno przy wdrażaniu, jak i odejściu. Przydzielaj najbardziej restrykcyjną wystarczającą rolę i natychmiast odbieraj dostęp współpracownikowi opuszczającemu organizację.

Szyfrowanie danych

Twoje dane są chronione zarówno podczas przesyłania, jak i w spoczynku.

Poziom	Metoda
Podczas przesyłania	TLS 1.3 (HTTPS) dla całej komunikacji między Twoimi urządzeniami a dAio.
W spoczynku	Szyfrowanie AES-256 danych wrażliwych.
Klucze API	Przechowywane jako hash, nigdy w postaci jawnej.
Przechowywanie plików	Szyfrowanie po stronie serwera przez Cloudflare R2.

Poufność i zgodność z RODO

dAio przestrzega Ogólnego rozporządzenia o ochronie danych (RODO) i daje Ci kontrolę nad informacjami bezpośrednio z Ustawień, sekcja Dane i Konto.

Prawo RODO	Jak je wykonać w dAio
Dostęp i przenoszenie	Przycisk Eksportuj moje dane: pełne pobranie w standardowym formacie JSON.
Sprostowanie	Zmieniaj w dowolnej chwili swój profil i informacje organizacji.
Usunięcie	Przycisk Usuń moje konto: całkowite usunięcie w ciągu 30 dni.
Zgoda	Wyraźny opt-in na komunikację marketingową.

Eksport danych

W Ustawienia > Dane i Konto kliknij Eksportuj moje dane. dAio generuje plik JSON ze wszystkimi Twoimi informacjami, gotowy do zarchiwizowania lub przeniesienia.

Usuwanie konta

Usunięcie konta jest ostateczne. Aby zapobiec błędom, dAio wymaga wyraźnego potwierdzenia:

1. W Ustawienia > Dane i Konto kliknij Usuń moje konto.
2. Wpisz swój dokładny adres e-mail, aby potwierdzić.
3. Potwierdź: konto i powiązane dane zostaną usunięte w ciągu 30 dni.

Uwaga: usunięcie konta jest nieodwracalne. Wcześniej wyeksportuj swoje dane, jeśli chcesz zachować kopię. Jeśli jesteś właścicielem organizacji, przekaż własność lub zamknij subskrypcję przed usunięciem konta.

W sprawie wszelkich żądań dotyczących Twoich danych osobowych inspektor ochrony danych (IOD) jest dostępny pod adresem [email protected].

Przechowywanie danych

dAio przechowuje Twoje dane tylko tak długo, jak jest to konieczne do świadczenia usługi.

Typ danych	Okres przechowywania
Dane pogodowe	Kroczące 2 lata
Emisje i raporty	Czas trwania subskrypcji + 30 dni
Dzienniki aktywności	12 miesięcy
Wiadomości	6 miesięcy
Usunięte konto	Usunięcie w ciągu 30 dni

Infrastruktura

• Hosting na infrastrukturze Cloudflare (sieć globalna).
• Baza danych PostgreSQL z codziennymi kopiami zapasowymi.
• Pamięć podręczna Redis dla danych w czasie rzeczywistym.
• Kopie zapasowe przechowywane na Cloudflare R2 (geo-redundantne).

Dobre praktyki

• Silne, unikalne hasło: długie, właściwe dla dAio, przechowywane w menedżerze haseł.
• Wylogowanie na wspólnych urządzeniach: poza własnym urządzeniem zawsze używaj przycisku Wyloguj.
• Najmniejsze uprawnienia: przydzielaj każdemu członkowi najbardziej restrykcyjną wystarczającą rolę i odbieraj dostęp przy odejściu współpracownika.
• Rozdziel według obiektu: przydzielaj członkom tylko te obiekty, których naprawdę potrzebują.
• Weryfikuj dane kontaktowe: zweryfikowany numer telefonu gwarantuje odbiór krytycznych alertów.
• Eksportuj regularnie: zachowaj kopię danych poprzez eksport RODO przed każdą wrażliwą operacją.

Info: w razie pytań lub zgłoszeń bezpieczeństwa skontaktuj się z [email protected].