Polityka prywatności

Administratorem danych jest [DO UZUPEŁNIENIA: pełna nazwa spółki], zarejestrowany pod numerem [DO UZUPEŁNIENIA: SIREN / Steuernummer / KvK / numer rejestrowy], z siedzibą pod adresem [DO UZUPEŁNIENIA: pełny adres pocztowy]. We wszelkich sprawach dotyczących ochrony danych prosimy o kontakt z naszym Inspektorem Ochrony Danych pod adresem dpo@securssh.com.

• Dane konta - adres e-mail, zahaszowany weryfikator hasła głównego (PBKDF2, 100 000 iteracji), przynależność do zespołu.
• Zawartość sejfu - poświadczenia, karty hostów, snippety, w pełni szyfrowane po stronie klienta. Serwer przechowuje wyłącznie szyfrogram i nie ma dostępu do zawartości sejfów w postaci jawnej.
• Dziennik audytu - metadane połączeń: znacznik czasu, podmiot, identyfikator hosta i typ działania. Okres przechowywania wynosi 24 miesiące w planach Team oraz nieograniczony w umowach Enterprise.
• Rozliczenia - obsługiwane przez Stripe. Nigdy nie przechowujemy pełnych numerów kart płatniczych (PAN); po naszej stronie zachowujemy wyłącznie identyfikatory rozliczeniowe, metadane faktur oraz referencję klienta.
• Analityka użytkowania - Google Tag Manager (kontener GTM-P7PRZ37K) oraz Google Analytics 4. Zdarzenia są domyślnie anonimizowane (skracanie IP, brak włączonych funkcji reklamowych).

• Wykonanie umowy (art. 6 ust. 1 lit. b) - zarządzanie kontem, synchronizacja sejfów, rozliczenia.
• Prawnie uzasadniony interes (art. 6 ust. 1 lit. f) - dziennik audytu bezpieczeństwa, zapobieganie oszustwom, wykrywanie nadużyć.
• Zgoda (art. 6 ust. 1 lit. a) - pliki cookie analityczne i inne pliki cookie nieniezbędne.
• Obowiązek prawny (art. 6 ust. 1 lit. c) - rejestry podatkowe, księgowość, audyty regulacyjne lub zgodności.

• Konto aktywne - dane są przechowywane tak długo, jak istnieje konto.
• Po usunięciu - 30-dniowy okres karencji obejmujący rotację kopii zapasowych, po którym systemy produkcyjne i kopie zapasowe są trwale usuwane.
• Dziennik audytu - okres zależny od planu: 24 miesiące (Team), nieograniczony (Enterprise) lub zgodnie z umową.
• Dane rozliczeniowe - 10 lat, zgodnie z europejskimi obowiązkami księgowymi i podatkowymi.

• Prawo dostępu (art. 15) - pełny eksport danych dostępny na żądanie.
• Prawo do sprostowania (art. 16) - dostępne bezpośrednio z poziomu panelu ustawień konta.
• Prawo do usunięcia (art. 17) - wbudowane w produkt jako usunięcie konta jednym kliknięciem. Jest to dostarczona funkcjonalność, a nie procedura ręczna.
• Prawo do przenoszenia danych (art. 20) - zaszyfrowany eksport JSON sejfu i danych konta.
• Prawo sprzeciwu / ograniczenia przetwarzania (art. 21).
• Prawo do wniesienia skargi do organu nadzorczego - na przykład UODO (Polska), CNIL (Francja), Datatilsynet (Dania), BfDI (Niemcy), AP (Holandia) lub organu nadzorczego państwa członkowskiego, w którym Państwo zamieszkują.

Aby skorzystać z któregokolwiek z tych praw, prosimy o kontakt pod adresem privacy@securssh.com.

Dane osobowe są przechowywane i przetwarzane wyłącznie na terytorium Unii Europejskiej. Środowiska produkcyjne działają w europejskich regionach centrów danych (Frankfurt, Amsterdam) na infrastrukturze, której siedziba znajduje się w UE.

SecurSSH nie przekazuje danych osobowych do Stanów Zjednoczonych w celu przechowywania. W następstwie wyroku Schrems II eliminuje to niepewność prawną związaną z transferami poza EOG.

Podmioty przetwarzające zostały wymienione w punkcie 8 poniżej. O wszelkich przyszłych zmianach podmiotów przetwarzających, które mogłyby wpłynąć na lokalizację danych, informujemy z wyprzedzeniem co najmniej 30 dni.

• Ściśle niezbędne - plik cookie sesji, token CSRF, preferencja językowa. Są wymagane do funkcjonowania Usługi i nie wymagają zgody.
• Analityczne - Google Tag Manager i Google Analytics 4. Ładowane wyłącznie po wyrażeniu zgody.
• Brak marketingowych plików cookie podmiotów trzecich w witrynie ani w produkcie SecurSSH.

• Stripe Payments Europe Ltd. (Irlandia) - obsługa płatności.
• Google Ireland Ltd. (Irlandia - przedstawiciel Google w UE) - analityka za pośrednictwem Google Tag Manager i Google Analytics 4.
• [DO UZUPEŁNIENIA: dostawca hostingu w UE] - hosting produkcyjny i kopie zapasowe.
• [DO UZUPEŁNIENIA: dostawca poczty transakcyjnej w UE] - dystrybucja wiadomości e-mail transakcyjnych.

Umowa powierzenia przetwarzania danych (DPA) jest dostępna na żądanie dla Klientów w planach Team i Enterprise. DPA zawiera Standardowe Klauzule Umowne (SCC) tam, gdzie to ma zastosowanie, aktualną listę podmiotów przetwarzających, okresy przechowywania oraz środki bezpieczeństwa zgodne z art. 28 RODO.

Aby zażądać DPA, prosimy o kontakt pod adresem dpa@securssh.com.

• Szyfrowanie end-to-end zawartości sejfów w trybie AES-GCM, realizowane po stronie klienta.
• PBKDF2 ze 100 000 iteracji do wyprowadzania klucza z hasła głównego.
• Szyfrowanie w tranzycie za pośrednictwem TLS 1.3 we wszystkich punktach końcowych SecurSSH.
• Niemożliwy do sfałszowania dziennik audytu; każda nieautoryzowana modyfikacja przerywa łańcuch i jest wykrywalna.
• Regularne wewnętrzne przeglądy bezpieczeństwa oraz kontrola dostępu zgodna z zasadą najmniejszych uprawnień dla operatorów SecurSSH.
• Roadmapa: audyt SOC 2 Type II planowany na drugie półrocze 2026 r. (obecnie bez certyfikacji - nie deklarujemy jej jako uzyskanej).

Usługa jest przeznaczona do użytku profesjonalnego i nie jest kierowana do użytkowników poniżej 16. roku życia. SecurSSH nie zbiera świadomie danych osobowych dzieci poniżej 16. roku życia. Jeśli mają Państwo podejrzenie, że dziecko przekazało dane osobowe, prosimy o kontakt, abyśmy mogli usunąć odpowiednie rekordy.

O istotnych zmianach niniejszej Polityki prywatności informujemy z wyprzedzeniem co najmniej 30 dni przed ich wejściem w życie, drogą e-mailową do aktywnych Klientów oraz za pośrednictwem banera w produkcie. Drobne zmiany (literówki, doprecyzowania) są publikowane wraz ze zaktualizowaną datą rewizji.

Ogólne pytania dotyczące ochrony danych: privacy@securssh.com.

Inspektor Ochrony Danych: dpo@securssh.com.