Polityka dozwolonego użytkowania

Zasady korzystania z platformy na co dzień: co wolno, czego nie wolno, jak zgłaszać podatności i czego nie należy wklejać do funkcji sztucznej inteligencji.

Polityka dozwolonego użytkowania

Wersja dokumentu: 1.0 Data wersji: 1 września 2026 roku Dokument obowiązuje od: 1 września 2026 roku Adres dokumentu: https://guardiso.com/dozwolone-uzytkowanie

Polityka dozwolonego użytkowania określa, w jaki sposób wolno korzystać z platformy Guardiso, a w jaki sposób korzystać nie wolno. Dokument stanowi integralną część Umowy i wykonuje odesłanie zawarte w paragrafie 17 ustęp 3 Regulaminu świadczenia usług drogą elektroniczną.

Polityka jest udostępniana nieodpłatnie, w postaci umożliwiającej jej pobranie, odtworzenie i utrwalenie.

Dokument jest napisany po to, aby dział zakupów i dział bezpieczeństwa po stronie Klienta mogły ocenić zasady korzystania z Platformy bez czytania całego Regulaminu.

Spis rozdziałów

Po co jest ten dokument, kogo wiąże i jak ma się do pozostałych dokumentów
Definicje
Do czego Platforma służy i co jest korzystaniem zgodnym z jej przeznaczeniem
Zakaz dostarczania treści bezprawnych
Dane, do których Platforma nie jest przeznaczona
Konta, dostęp i tożsamość Użytkownika
Obciążanie infrastruktury i automatyczne pobieranie zawartości
Zakaz obchodzenia zabezpieczeń i badania cudzych danych
Testy bezpieczeństwa Platformy
Zgłaszanie podatności przez badaczy bezpieczeństwa
Korzystanie z funkcji sztucznej inteligencji
Udostępnianie dostępu na zewnątrz i prowadzenie więcej niż jednej firmy
Biblioteka treści
Jak Guardiso wykrywa naruszenia i czego w tym zakresie nie robi
Skutki naruszenia i tryb postępowania
Zgłaszanie naruszeń Polityki
Zmiany Polityki i postanowienia końcowe

§ 1. Po co jest ten dokument, kogo wiąże i jak ma się do pozostałych dokumentów

Polityka określa dopuszczalny sposób korzystania z Platformy. Uzupełnia Regulamin oraz Umowę licencyjną użytkownika końcowego i nie zastępuje żadnego z tych dokumentów.
Polityka wiąże:
1. Klienta;
2. każdego Użytkownika korzystającego z Platformy w ramach Organizacji Klienta;
3. każdą osobę, której Klient udostępnił dostęp do Organizacji, w szczególności audytora zewnętrznego, jednostkę certyfikującą oraz podmiot obsługiwany przez Klienta w modelu opisanym w paragrafie 4 Umowy licencyjnej użytkownika końcowego.
Klient odpowiada za działania i zaniechania osób wymienionych w ustępie 2 punkty 2 i 3 jak za działania własne. Zasada ta wynika z paragrafu 17 ustęp 4 Regulaminu. Klient zapoznaje te osoby z treścią Polityki przed nadaniem im dostępu.
Paragraf 10, dotyczący zgłaszania podatności, jest skierowany także do osób, które nie są Klientem ani Użytkownikiem. W tym zakresie Polityka stanowi jednostronne oświadczenie Guardiso, a nie postanowienie umowne, i wiąże Guardiso wobec każdego, kto spełni opisane w tym paragrafie warunki.
Kolejność pierwszeństwa dokumentów określa paragraf 23 Regulaminu. Polityka ustępuje odrębnej umowie pisemnej i Umowie partnerskiej, Umowie powierzenia przetwarzania danych osobowych, Umowie o poziomie świadczonych usług, Regulaminowi, Umowie licencyjnej użytkownika końcowego oraz dokumentowi „Zasady wyjścia z usługi i przeniesienia danych". Jeżeli Polityka rozszerza uprawnienia Klienta ponad dokument o wyższym pierwszeństwie, pozostaje w tym zakresie skuteczna.
Określenia pisane wielką literą, które nie zostały zdefiniowane w paragrafie 2, mają znaczenie nadane im w Regulaminie oraz w Umowie licencyjnej użytkownika końcowego. Dotyczy to w szczególności określeń: Usługa, Platforma, Plan, Abonament, Organizacja, Konto, Właściciel Konta, Użytkownik, Klient, Klient Chroniony, Dane Klienta, Dzień roboczy, Biblioteka treści, Złącze programistyczne, Klucz dostępu, Konsultant oraz Klient Konsultanta.
Wobec Klienta Chronionego postanowienia Polityki stosuje się z uwzględnieniem bezwzględnie obowiązujących przepisów o ochronie konsumenta. Postanowienie mniej korzystne dla Klienta Chronionego niż przepis ustawy nie wiąże go.

§ 2. Definicje

Użyte w Polityce określenia oznaczają:

Funkcje sztucznej inteligencji — funkcje Platformy korzystające z modelu językowego, w szczególności Asystent Guardiso odpowiadający na pytania, generowanie szkiców dokumentów, propozycje odpowiedzi na kwestionariusze, wstępna ocena kontroli oraz wyszukiwanie w bazie wiedzy.
Polecenie — treść wpisana przez Użytkownika w polu, z którego uruchamiana jest Funkcja sztucznej inteligencji, wraz z materiałem, który Użytkownik do tego polecenia dołączył.
Badacz bezpieczeństwa — osoba, która bada Platformę pod kątem podatności i zgłasza swoje ustalenia Guardiso, niezależnie od tego, czy jest Klientem albo Użytkownikiem.
Podatność — właściwość Platformy, która pozwala obejść jej zabezpieczenia, uzyskać dostęp do danych bez uprawnienia, zakłócić jej działanie albo doprowadzić do innego skutku niezgodnego z przeznaczeniem zabezpieczenia.
Nadużycie zasobów — korzystanie z Platformy w sposób, który obciąża jej zasoby ponad miarę wynikającą z normalnej pracy nad własną dokumentacją, w szczególności sposób opisany w paragrafie 7.
Adres do spraw bezpieczeństwa — security@guardiso.com. Adres służy do zgłaszania podatności, incydentów i podejrzeń nieuprawnionego dostępu.
Adres do spraw pozostałych — kontakt@guardiso.com. Adres służy do wszystkich pozostałych spraw objętych Polityką, w tym do reklamacji i do zgłaszania naruszeń Polityki przez osoby trzecie.

§ 3. Do czego Platforma służy i co jest korzystaniem zgodnym z jej przeznaczeniem

Platforma służy do prowadzenia dokumentacji systemu zarządzania bezpieczeństwem informacji oraz do prowadzenia zgodności z wybranymi standardami i regulacjami, na potrzeby własnej organizacji Klienta oraz na potrzeby podmiotów, dla których Klient prowadzi opłacone Organizacje.
Korzystaniem zgodnym z przeznaczeniem jest w szczególności:
1. prowadzenie polityk, procedur, rejestrów ryzyk, kontroli, dowodów, incydentów, dostawców i zadań;
2. przygotowywanie dokumentów wewnętrznych oraz prowadzenie ich obiegu i zatwierdzania;
3. korzystanie z Funkcji sztucznej inteligencji na potrzeby własnej dokumentacji, w granicach paragrafu 11;
4. przygotowywanie materiałów na potrzeby audytu i udostępnianie ich audytorowi zewnętrznemu oraz jednostce certyfikującej;
5. udostępnianie dokumentów kontrahentom i organom, w tym za pośrednictwem portalu zaufania;
6. prowadzenie więcej niż jednej Organizacji, w granicach opłaconych Organizacji, w tym Organizacji podmiotów innych niż Klient;
7. korzystanie ze Złącza programistycznego w granicach uprawnień nadanych Kluczowi dostępu;
8. pobieranie własnych danych przy użyciu funkcji eksportu udostępnionych w Platformie.
Zasada ogólna. Wolno wszystko, czego nie zakazuje Polityka, Regulamin, Umowa licencyjna użytkownika końcowego albo przepis prawa. Katalogi zakazów zawarte w Polityce są przykładowe i nie tworzą domniemania, że zachowanie w nich niewymienione jest dozwolone, jeżeli narusza prawo.
Jeżeli Klient ma wątpliwość, czy zamierzony sposób korzystania z Platformy jest dozwolony, może zapytać pod Adresem do spraw pozostałych przed podjęciem działania. Guardiso odpowiada w Dniach roboczych. Guardiso nie zobowiązuje się do udzielenia odpowiedzi w oznaczonym terminie, poza terminami wynikającymi z postępowania reklamacyjnego opisanego w Regulaminie.
Uzyskanie od Guardiso pisemnej albo przekazanej w postaci dokumentowej zgody na określony sposób korzystania wyłącza możliwość powołania się później przez Guardiso na naruszenie Polityki w tym zakresie, chyba że Klient przedstawił nieprawdziwy opis zamierzonego działania.

§ 4. Zakaz dostarczania treści bezprawnych

Klienta i Użytkownika obowiązuje zakaz dostarczania treści o charakterze bezprawnym. Zakaz wynika z artykułu 8 ustęp 3 punkt 2 litera b ustawy z dnia 18 lipca 2002 roku o świadczeniu usług drogą elektroniczną i jest powtórzony w paragrafie 17 ustęp 1 Regulaminu.
Zakazane jest w szczególności wprowadzanie do Platformy:
1. treści naruszających cudze prawa autorskie, prawa pokrewne, prawa do baz danych albo prawa własności przemysłowej;
2. treści naruszających dobra osobiste osób fizycznych i prawnych;
3. treści stanowiących cudzą tajemnicę przedsiębiorstwa w rozumieniu artykułu 11 ustęp 2 ustawy z dnia 16 kwietnia 1993 roku o zwalczaniu nieuczciwej konkurencji, jeżeli Klient nie jest uprawniony do ich posiadania i wykorzystania;
4. treści nawołujących do nienawiści, do przemocy albo do dyskryminacji;
5. treści pornograficznych z udziałem małoletniego oraz innych treści, których samo posiadanie jest zabronione;
6. złośliwego oprogramowania, kodu przystosowanego do popełnienia czynu zabronionego oraz haseł, kodów dostępu i innych danych umożliwiających nieuprawniony dostęp do informacji przechowywanych w systemie informatycznym, o których mowa w artykule 269b Kodeksu karnego;
7. danych uzyskanych w sposób sprzeczny z prawem, w tym danych pochodzących z naruszenia ochrony danych osobowych albo z wycieku danych osoby trzeciej.
Platforma nie jest kanałem wysyłkowym. Funkcje Platformy służące do wysyłania wiadomości, w szczególności zaproszenia Użytkowników, powiadomienia i obieg dokumentów, wolno wykorzystywać wyłącznie wobec osób związanych z Organizacją Klienta oraz wobec osób wykonujących zadania na jego rzecz. Zakazane jest wykorzystanie tych funkcji do przesyłania informacji handlowej bez zgody odbiorcy, do wyłudzania informacji, do podszywania się pod inną osobę oraz do rozsyłania wiadomości masowych.
Postępowanie po otrzymaniu zawiadomienia. Otrzymanie urzędowego zawiadomienia albo wiarygodnej wiadomości o bezprawnym charakterze przechowywanych danych rodzi po stronie Guardiso obowiązki wynikające z artykułu 14 ustawy o świadczeniu usług drogą elektroniczną. W razie otrzymania wiarygodnej wiadomości Guardiso zawiadamia Klienta o zamiarze uniemożliwienia dostępu do takich danych przed jego uniemożliwieniem, wskazując przyczynę i podstawę zawiadomienia.
Guardiso nie prowadzi uprzedniej ani automatycznej kontroli treści wprowadzanych przez Klienta i nie jest obowiązane do sprawdzania przechowywanych danych, zgodnie z artykułem 15 ustawy o świadczeniu usług drogą elektroniczną. Sposób postępowania Guardiso opisuje paragraf 14.
Klient, który stwierdzi, że wprowadził do Platformy treść bezprawną, usuwa ją niezwłocznie i zawiadamia Guardiso pod Adresem do spraw pozostałych, jeżeli treść mogła zostać udostępniona poza Organizację.

§ 5. Dane, do których Platforma nie jest przeznaczona

Dane szczególnych kategorii. Platforma nie jest przeznaczona do przetwarzania danych szczególnych kategorii, o których mowa w artykule 9 ustęp 1 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679, ani danych dotyczących wyroków skazujących i czynów zabronionych, o których mowa w artykule 10 tego rozporządzenia. Zasada ta jest tożsama z paragrafem 2 ustęp 3 Umowy powierzenia przetwarzania danych osobowych. Jeżeli Klient wprowadzi takie dane w treści dokumentów, czyni to na własną odpowiedzialność i uprzedza o tym Guardiso, tak aby strony mogły ustalić dodatkowe środki ochrony.
Danych, których wprowadzać nie wolno w żadnym wypadku. Do Platformy nie wprowadza się:
1. haseł, kluczy prywatnych, tokenów i innych danych uwierzytelniających do systemów Klienta albo osoby trzeciej — także w treści dowodów, zrzutów ekranu i załączników;
2. pełnych numerów kart płatniczych, kodów weryfikacyjnych oraz danych uwierzytelniających transakcje płatnicze;
3. informacji niejawnych w rozumieniu ustawy z dnia 5 sierpnia 2010 roku o ochronie informacji niejawnych — Platforma nie jest do ich przetwarzania akredytowana i nie spełnia wymagań przewidzianych dla systemów teleinformatycznych przetwarzających takie informacje.
Informacje objęte tajemnicą prawnie chronioną. Klient sam ocenia, czy przekazanie do Platformy informacji objętej tajemnicą zawodową albo inną tajemnicą prawnie chronioną wymaga zgody, zwolnienia z tajemnicy albo odrębnej podstawy prawnej, i czy taką podstawą dysponuje. Guardiso nie ocenia tego za Klienta.
Ograniczanie zakresu. Przed wgraniem dokumentu jako dowodu Klient usuwa albo zasłania te dane, które nie są potrzebne do wykazania okoliczności, której dowód dotyczy.
Naruszenie niniejszego paragrafu nie zmienia ról stron w ochronie danych osobowych. Klient pozostaje administratorem powierzonych danych, a Guardiso podmiotem przetwarzającym, na warunkach Umowy powierzenia przetwarzania danych osobowych. Guardiso może żądać usunięcia danych wprowadzonych wbrew niniejszemu paragrafowi.

§ 6. Konta, dostęp i tożsamość Użytkownika

Konto jest imienne. Konto zakłada się dla oznaczonej osoby fizycznej i dla jednej osoby. Zakazane jest udostępnianie danych logowania innej osobie oraz korzystanie z Konta założonego dla kogoś innego.
Powodem zasady z ustępu 1 nie jest limit liczby Użytkowników — Plany nie ograniczają liczby Użytkowników w Organizacji. Powodem jest rozliczalność: dziennik działań w Platformie przypisuje każdą czynność do Konta, a zapis przypisany do konta zbiorowego przestaje być dowodem, kto czynność wykonał, i traci wartość w postępowaniu audytowym.
Skrzynka poczty elektronicznej służąca do logowania jest środkiem uwierzytelniania. Link logowania wysyłany na tę skrzynkę jest daną uwierzytelniającą i podlega ochronie takiej samej jak hasło. Klient zabezpiecza skrzynki Użytkowników i nie kieruje ich na adresy zbiorowe, do których dostęp ma nieokreślony krąg osób.
Klucze dostępu do Złącza programistycznego są danymi uwierzytelniającymi. Klienta obowiązują zasady opisane w paragrafie 6 Umowy licencyjnej użytkownika końcowego, w szczególności zakaz umieszczania Klucza dostępu w kodzie udostępnianym publicznie oraz obowiązek niezwłocznego odwołania Klucza dostępu w razie podejrzenia jego ujawnienia.
Zarządzanie uprawnieniami. Klient nadaje dostęp do Organizacji wyłącznie tym osobom, którym jest on potrzebny do wykonania zadań w tej Organizacji, w zakresie do tego niezbędnym, i niezwłocznie odbiera dostęp osobom, które przestały te zadania wykonywać.
Zgłoszenie podejrzenia nieuprawnionego dostępu. Klient zawiadamia Guardiso pod Adresem do spraw bezpieczeństwa niezwłocznie po powzięciu podejrzenia, że do Konta albo do Organizacji uzyskała dostęp osoba nieuprawniona.

§ 7. Obciążanie infrastruktury i automatyczne pobieranie zawartości

Zakaz ogólny. Zakazane jest korzystanie z Platformy w sposób zagrażający jej ciągłości działania albo bezpieczeństwu danych innych Klientów.
Nadużyciem zasobów jest w szczególności:
1. prowadzenie testów odporności na przeciążenie oraz generowanie sztucznego ruchu, bez uprzedniej zgody Guardiso, o której mowa w paragrafie 9;
2. wysyłanie zapytań w pętli albo z częstotliwością rażąco odbiegającą od częstotliwości wynikającej z pracy człowieka nad dokumentacją;
3. masowe uruchamianie Funkcji sztucznej inteligencji w celu innym niż praca nad własną dokumentacją, w szczególności w celu wygenerowania zbioru treści do wykorzystania poza Platformą;
4. wykonywanie operacji o rozmiarze rażąco odbiegającym od normalnego korzystania, w szczególności jednorazowego wgrywania albo pobierania zbiorów, których obsługa uniemożliwia pracę innym Klientom;
5. wykorzystywanie przestrzeni na pliki jako repozytorium materiałów niezwiązanych z dokumentacją zgodności, w szczególności jako miejsca przechowywania kopii zapasowych systemów Klienta albo archiwum nagrań.
Automatyczne pobieranie zawartości Platformy jest dozwolone wyłącznie przy użyciu funkcji eksportu oraz Złącza programistycznego, w granicach uprawnień nadanych Kluczowi dostępu. Pobieranie zawartości innymi sposobami, w tym przez automatyczne odczytywanie stron Platformy, jest niedozwolone. Zasada ta powtarza paragraf 6 ustęp 7 Umowy licencyjnej użytkownika końcowego.
Limity. Guardiso może wprowadzić limity liczby zapytań, częstotliwości połączeń i wielkości przesyłanych danych, a także czasowo ograniczyć ruch zagrażający stabilności Platformy albo bezpieczeństwu danych innych Klientów. Jeżeli okoliczności na to pozwalają, Guardiso uprzedza o wprowadzeniu limitu. Ograniczenie ruchu zagrażającego stabilności może nastąpić niezwłocznie, z zawiadomieniem po fakcie.
Zakaz obchodzenia limitów. Zakazane jest tworzenie dodatkowych Kluczy dostępu, Kont ani Organizacji w celu obejścia limitu wynikającego z Planu, z Cennika albo z ustępu 4. Dotyczy to również budżetu Funkcji sztucznej inteligencji przypisanego do Planu.
Guardiso wybiera najmniej dotkliwy środek pozwalający usunąć zagrożenie. Ograniczenie ruchu ma pierwszeństwo przed zawieszeniem dostępu, a zawieszenie pojedynczej funkcji albo Klucza dostępu ma pierwszeństwo przed zawieszeniem całego Konta.

§ 8. Zakaz obchodzenia zabezpieczeń i badania cudzych danych

Zakaz obchodzenia zabezpieczeń. Zakazane jest omijanie i próba omijania zabezpieczeń Platformy, w szczególności mechanizmów uwierzytelniania, kontroli uprawnień, rozdzielenia danych między Organizacjami, ograniczeń wynikających z Planu, limitów opisanych w paragrafie 7 oraz znaków wodnych i oznaczeń pochodzenia.
Zakaz badania cudzych danych. Zakazana jest każda próba uzyskania dostępu do danych Organizacji, do której Użytkownik nie ma nadanego uprawnienia, w szczególności przez podmianę identyfikatora w adresie, przez zmianę treści żądania wysyłanego do Platformy oraz przez wykorzystanie stwierdzonego błędu Platformy.
Co robić, gdy cudze dane pokażą się przypadkiem. Jeżeli Użytkownik zobaczy dane innej Organizacji bez własnego działania zmierzającego do ich uzyskania, jest obowiązany niezwłocznie przerwać czynność, nie kopiować i nie utrwalać tych danych, nie ujawniać ich nikomu oraz zgłosić zdarzenie pod Adresem do spraw bezpieczeństwa, opisując, co widział i w jakich okolicznościach. Guardiso nie wyciąga wobec Klienta ani Użytkownika żadnych konsekwencji za zdarzenie, w którym postąpiono w opisany sposób, i traktuje takie zgłoszenie jako pomoc w usunięciu podatności.
Analiza wsteczna. Obowiązuje zakaz odtwarzania kodu źródłowego, dekompilacji i dezasemblacji Platformy, z zastrzeżeniem uprawnień wynikających z artykułu 75 ustęp 2 punkt 2 oraz punkt 3 i ustęp 3 ustawy z dnia 4 lutego 1994 roku o prawie autorskim i prawach pokrewnych. Tryb korzystania z tych uprawnień opisuje paragraf 7 Umowy licencyjnej użytkownika końcowego.
Skutki poza Umową. Guardiso informuje, że działania opisane w ustępach 1 i 2 mogą wyczerpywać znamiona czynów zabronionych stypizowanych w artykułach 267, 268, 268a, 269, 269a i 269b Kodeksu karnego. Informacja ma charakter wyłącznie ostrzegawczy. Zasady, na jakich Guardiso nie dochodzi roszczeń i nie składa zawiadomienia wobec Badacza bezpieczeństwa, określa paragraf 10.
Zakaz wykorzystania Platformy przeciwko osobom trzecim. Zakazane jest wykorzystywanie funkcji Platformy do badania, skanowania albo atakowania systemów osób trzecich. Funkcji badania bezpieczeństwa domen wolno używać wyłącznie wobec domen, do których uprawnienie zostało wykazane w sposób przewidziany w Platformie.
Zakazane jest wykorzystywanie Platformy do przesyłania złośliwego oprogramowania oraz do przechowywania narzędzi służących do popełnienia czynu zabronionego. Zakaz nie obejmuje przechowywania jako dowodu materiału pochodzącego z incydentu obsługiwanego przez Klienta, jeżeli materiał ten jest opisany i zabezpieczony w sposób uniemożliwiający jego uruchomienie.

§ 9. Testy bezpieczeństwa Platformy

Zakaz bez zgody. Zakazane jest prowadzenie testów bezpieczeństwa Platformy, w tym testów penetracyjnych, skanowania podatności i testów odporności na przeciążenie, bez uprzedniej zgody Guardiso wyrażonej w postaci dokumentowej i określającej zakres, termin oraz sposób prowadzenia testów. Zasada ta powtarza paragraf 7 ustęp 5 Umowy licencyjnej użytkownika końcowego.
Wniosek o zgodę kieruje się pod Adres do spraw bezpieczeństwa. Wniosek wskazuje: podmiot zlecający, podmiot wykonujący i osoby wykonujące test, zakres i metody, planowane okno czasowe, adresy, z których będzie prowadzony ruch, dane kontaktowe osoby dostępnej w trakcie testu oraz zobowiązanie do zachowania poufności ustaleń.
Rozpatrzenie wniosku. Guardiso rozpatruje wniosek w Dniach roboczych i może udostępnić w tym celu odrębne środowisko testowe działające na danych syntetycznych, odseparowane od środowiska produkcyjnego. Guardiso nie zobowiązuje się do udzielenia zgody ani do udostępnienia środowiska testowego w oznaczonym terminie.
Nigdy na danych innych Klientów. Test nie może być prowadzony na środowisku produkcyjnym w sposób dotykający danych innych Klientów, niezależnie od udzielonej zgody.
Zakazane niezależnie od zgody. Zgoda, o której mowa w ustępie 1, nigdy nie obejmuje:
1. ataków odmowy usługi oraz testów polegających na wysyceniu zasobów;
2. socjotechniki wobec Guardiso, wobec jego personelu i wobec jego dostawców, w tym prób wyłudzenia informacji i podszywania się;
3. prób fizycznego dostępu do infrastruktury;
4. testów wymierzonych w systemy dostawców Guardiso, którzy podlegają własnym regulaminom i własnym zasadom zgłaszania podatności;
5. działań wobec danych innych Klientów.
Czego Guardiso nie robi. Guardiso nie prowadzi cyklicznych testów penetracyjnych Platformy i nie deklaruje ich częstotliwości. Testy prowadzone są na żądanie oraz przed istotnymi zmianami. Informacja jest zgodna z paragrafem 4 Umowy o poziomie świadczonych usług oraz z częścią B Załącznika numer 1 do Umowy powierzenia przetwarzania danych osobowych.
Wynik testu przeprowadzonego przez Klienta albo na jego zlecenie stanowi Informację poufną obu stron. Klient przekazuje Guardiso ustalenia dotyczące Platformy niezwłocznie po ich stwierdzeniu, w trybie paragrafu 10.

§ 10. Zgłaszanie podatności przez badaczy bezpieczeństwa

Adres i tryb. Podatność zgłasza się pod Adres do spraw bezpieczeństwa. Guardiso przyjmuje zgłoszenia od każdego, także od osoby niebędącej Klientem ani Użytkownikiem. Dane kontaktowe są publikowane również w pliku wskazanym w standardzie RFC 9116, pod adresem https://guardiso.com/.well-known/security.txt.
Zobowiązanie Guardiso. Wobec Badacza bezpieczeństwa, który spełnił warunki opisane w ustępie 3, Guardiso:
1. nie będzie dochodzić roszczeń z tytułu naruszenia paragrafów 7, 8 i 9 niniejszej Polityki ani z tytułu naruszenia paragrafu 7 Umowy licencyjnej użytkownika końcowego;
2. nie złoży zawiadomienia o możliwości popełnienia przestępstwa w związku ze zgłoszonym badaniem;
3. uzna badanie za podjęte za zgodą Guardiso i, jeżeli zajdzie taka potrzeba, przedstawi w tym przedmiocie stanowisko właściwemu organowi;
4. nie będzie żądać od Badacza bezpieczeństwa zaniechania publikacji na warunkach innych niż opisane w ustępie 6.
Warunki, których spełnienie otwiera zobowiązanie z ustępu 2. Badacz bezpieczeństwa:
1. działał w dobrej wierze, w celu wykrycia i zgłoszenia Podatności, a nie w celu uzyskania korzyści z jej wykorzystania;
2. ograniczył działanie do zakresu niezbędnego do wykazania istnienia Podatności i nie rozszerzał go po jej potwierdzeniu;
3. nie pobrał, nie ujawnił, nie zmienił ani nie usunął danych innej osoby, a jeżeli dostęp do takich danych nastąpił mimowolnie — niezwłocznie przerwał czynność, zgłosił to Guardiso i usunął wszystkie posiadane kopie;
4. nie zakłócił działania Platformy, w szczególności nie prowadził ataku odmowy usługi, nie generował ruchu masowego i nie usuwał ani nie modyfikował konfiguracji;
5. nie prowadził socjotechniki wobec personelu Guardiso ani jego dostawców i nie podejmował prób fizycznego dostępu do infrastruktury;
6. zgłosił Podatność niezwłocznie po jej stwierdzeniu, opisując ją w sposób pozwalający ją odtworzyć;
7. nie ujawnił Podatności publicznie przed terminem wynikającym z ustępu 6;
8. nie uzależnił zgłoszenia ani powstrzymania się od ujawnienia od zapłaty;
9. nie naruszył przepisów prawa, w szczególności przepisów o ochronie danych osobowych.
Czego zobowiązanie z ustępu 2 nie obejmuje — i mówimy o tym wprost. Zobowiązanie Guardiso:
1. nie zwalnia Badacza bezpieczeństwa z odpowiedzialności wobec osób trzecich — Guardiso nie może rozporządzać cudzymi roszczeniami, w szczególności roszczeniami innych Klientów i osób, których dane dotyczą;
2. nie wyłącza postępowania prowadzonego przez organy ścigania z urzędu — Guardiso może jedynie nie składać zawiadomienia i przedstawić stanowisko opisane w ustępie 2 punkt 3;
3. nie obejmuje badania systemów dostawców Guardiso, w tym dostawcy infrastruktury i dostawcy sieci brzegowej, którzy prowadzą własne zasady zgłaszania podatności;
4. nie obejmuje działań podjętych po zgłoszeniu, wykraczających poza zakres, którego zgłoszenie dotyczyło.
Co Guardiso robi po otrzymaniu zgłoszenia. Guardiso potwierdza wpływ zgłoszenia, ocenia je, informuje Badacza bezpieczeństwa o ustaleniach oraz o usunięciu Podatności. Wszystkie te czynności wykonywane są w Dniach roboczych. Guardiso nie prowadzi dyżuru całodobowego i nie zobowiązuje się do reakcji w oznaczonym czasie ani do usunięcia Podatności w oznaczonym terminie. Guardiso informuje Badacza bezpieczeństwa, jeżeli uzna, że zgłoszona właściwość Platformy nie jest Podatnością, wskazując powód.
Ujawnienie skoordynowane. Badacz bezpieczeństwa może ujawnić Podatność publicznie po jej usunięciu przez Guardiso albo po upływie dziewięćdziesięciu dni od zgłoszenia, jeżeli Podatność nie została do tego czasu usunięta, a strony nie uzgodniły dłuższego terminu. Guardiso zobowiązuje się nie żądać milczenia przez czas nieoznaczony. Uzgodnienie dłuższego terminu wymaga wskazania przyczyny.
Zakres poza badaniem. Guardiso nie traktuje jako Podatności samego braku zalecanej praktyki, jeżeli nie prowadzi on do konkretnego skutku, oraz podatności oprogramowania osób trzecich używanego po stronie Badacza bezpieczeństwa, w szczególności przeglądarki.
Brak programu nagród. Guardiso nie prowadzi programu nagród za zgłoszenie Podatności i nie wypłaca wynagrodzenia za zgłoszenia. Guardiso może podziękować Badaczowi bezpieczeństwa publicznie, wyłącznie za jego uprzednią zgodą i w uzgodnionej z nim postaci.
Dane osobowe Badacza bezpieczeństwa przetwarzane są w celu obsługi zgłoszenia, na zasadach opisanych w Polityce prywatności. Zgłoszenie można przesłać bez podawania danych identyfikujących, z tym że Guardiso nie będzie mogło wówczas przekazać informacji o rozstrzygnięciu.
Zgłoszenie Podatności nie jest reklamacją w rozumieniu Regulaminu i nie uruchamia terminów postępowania reklamacyjnego. Klient, który chce dochodzić roszczeń związanych z Podatnością, składa odrębną reklamację pod Adresem do spraw pozostałych.

§ 11. Korzystanie z funkcji sztucznej inteligencji

Jak to działa. Funkcje sztucznej inteligencji uruchamiane są na Polecenie Użytkownika. Treść Polecenia oraz fragment materiału, którego dotyczy uruchomiona funkcja, są przekazywane dostawcy modelu wskazanemu w wykazie podwykonawców przetwarzających dane. Zakres przekazywanych danych opisuje paragraf 7 Polityki prywatności.
Czego nie wolno wpisywać w Poleceniu. W Poleceniu nie umieszcza się:
1. haseł, kluczy prywatnych, tokenów, Kluczy dostępu ani innych danych uwierzytelniających — własnych ani cudzych;
2. pełnych numerów kart płatniczych, kodów weryfikacyjnych ani danych uwierzytelniających transakcje płatnicze;
3. danych szczególnych kategorii, o których mowa w artykule 9 ustęp 1 rozporządzenia (UE) 2016/679, ani danych, o których mowa w artykule 10 tego rozporządzenia;
4. informacji niejawnych;
5. danych osobowych, które nie są niezbędne do uzyskania odpowiedzi, a jeżeli są niezbędne — w zakresie szerszym niż niezbędny; w miarę możliwości Użytkownik zastępuje dane identyfikujące oznaczeniem funkcji albo roli;
6. danych osób trzecich, wobec których Klient nie ma podstawy prawnej przetwarzania albo nie wykonał obowiązku informacyjnego;
7. informacji objętych tajemnicą prawnie chronioną, jeżeli Klient nie dysponuje podstawą do ich ujawnienia podmiotowi przetwarzającemu spoza własnej organizacji;
8. treści bezprawnych, o których mowa w paragrafie 4.
Zastrzeżenie, które trzeba powiedzieć wprost. Guardiso nie filtruje automatycznie treści, którą Użytkownik wpisze w Poleceniu. Jeżeli Użytkownik umieści tam dane wymienione w ustępie 2, zostaną one przekazane dostawcy modelu razem z Poleceniem. Odpowiedzialność za treść Polecenia spoczywa na Kliencie. Zastrzeżenie to jest tożsame z paragrafem 7 ustęp 4 Polityki prywatności.
Zakaz obchodzenia zabezpieczeń modelu. Zakazane jest formułowanie Poleceń zmierzających do obejścia zabezpieczeń modelu albo Platformy, w szczególności do uzyskania treści dotyczących innego Klienta, do ujawnienia konfiguracji Platformy, do wygenerowania treści bezprawnej oraz do uzyskania odpowiedzi wykraczającej poza uprawnienia Użytkownika w Organizacji.
Zakaz wykorzystania niezgodnego z przeznaczeniem. Funkcji sztucznej inteligencji nie wolno wykorzystywać:
1. do generowania treści niezwiązanych z dokumentacją zgodności Klienta;
2. jako pośrednika w dostępie do modelu językowego dla własnych zastosowań Klienta albo osoby trzeciej;
3. do trenowania, dostrajania ani oceniania modeli sztucznej inteligencji;
4. do budowania produktu albo usługi konkurencyjnej wobec Platformy.
Obowiązek weryfikacji przez człowieka. Treść wygenerowana przez model ma charakter propozycji i szkicu. Przed włączeniem jej do dokumentacji Klienta wymaga przeczytania, poprawienia i zatwierdzenia przez człowieka. Zasady te opisuje paragraf 9 Umowy licencyjnej użytkownika końcowego oraz paragraf 7 Polityki prywatności. Guardiso nie gwarantuje poprawności, kompletności ani aktualności treści wygenerowanej przez model.
Oznaczanie. Platforma oznacza treści wygenerowane przez model oraz interakcje ze sztuczną inteligencją, wykonując obowiązki przejrzystości wynikające z artykułu 50 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2024/1689 z dnia 13 czerwca 2024 roku w sprawie sztucznej inteligencji. Klient, który przekazuje na zewnątrz dokument powstały z takiej treści, sam odpowiada za poinformowanie odbiorcy, jeżeli obowiązek taki wynika z przepisu prawa wiążącego Klienta.
Dane Klienta nie są wykorzystywane do trenowania modeli — ani przez Guardiso, ani przez dostawcę modelu.

§ 12. Udostępnianie dostępu na zewnątrz i prowadzenie więcej niż jednej firmy

Co wolno. Klient może udostępnić dostęp do Organizacji audytorowi zewnętrznemu, jednostce certyfikującej albo innej osobie trzeciej wykonującej zadanie na jego rzecz, w zakresie funkcji przewidzianych w tym celu w Platformie. Klient może udostępniać dokumenty wytworzone w Platformie swoim kontrahentom, audytorom i organom. Szczegóły określa paragraf 5 Umowy licencyjnej użytkownika końcowego.
Prowadzenie więcej niż jednej Organizacji jest dozwolone, także dla podmiotów innych niż Klient, w granicach opłaconych Organizacji. Zasady, w tym opłatę za każdą kolejną Organizację, określa paragraf 4 Umowy licencyjnej użytkownika końcowego oraz Cennik.
Czego nie wolno bez odrębnej zgody Guardiso wyrażonej w Umowie partnerskiej:
1. sprzedawać, odsprzedawać, wynajmować ani w inny sposób udostępniać dostępu do Platformy jako odrębnego świadczenia;
2. przedstawiać Platformy jako własnego oprogramowania albo własnej usługi, w tym udostępniać jej pod własną domeną albo nazwą handlową;
3. udostępniać jednej opłaconej Organizacji kilku podmiotom w celu uniknięcia opłaty za kolejne Organizacje;
4. oferować dostępu do Platformy jako elementu własnej oferty, jeżeli odbiorca płaci za sam dostęp do Platformy, a nie za usługę wykonaną przy jej użyciu.
Odpłatne świadczenie własnych usług doradczych, wdrożeniowych i obsługowych przy użyciu Platformy, w opłaconych Organizacjach, jest dozwolone. Ustęp 3 dotyczy wyłącznie obrotu samym dostępem do Platformy.
Klient nie usuwa ani nie zmienia oznaczeń pochodzenia, informacji o prawach oraz znaków wodnych umieszczonych na materiałach pobranych z Platformy albo udostępnianych za jej pośrednictwem.
Klient odpowiada za dobór osób, którym udziela dostępu, oraz za zakres tego dostępu.

§ 13. Biblioteka treści

Biblioteka treści podlega ochronie jako utwór, jako baza danych oraz jako tajemnica przedsiębiorstwa. Pełne zasady korzystania z niej określa paragraf 8 Umowy licencyjnej użytkownika końcowego, który ma przed niniejszym paragrafem pierwszeństwo.
Zakazane jest w szczególności:
1. pobieranie i wtórne wykorzystanie Biblioteki treści w całości albo w istotnej części w celu innym niż praca nad własną dokumentacją albo nad dokumentacją opłaconej Organizacji;
2. pobieranie jej w sposób powtarzający się i systematyczny, sprzeczny z normalnym korzystaniem z Platformy;
3. przekazywanie jej w postaci nieprzetworzonej — jako zbioru wzorów, katalogu albo mapowań — podmiotowi innemu niż podmiot, dla którego prowadzona jest opłacona Organizacja;
4. wykorzystywanie jej do zbudowania produktu albo usługi konkurencyjnej wobec Platformy;
5. wykorzystywanie jej do trenowania, dostrajania ani oceniania modeli sztucznej inteligencji;
6. publikowanie jej i udostępnianie publicznie, w tym w otwartych repozytoriach i serwisach wymiany dokumentów.
Uprawnienie do pobierania i wtórnego wykorzystania nieistotnej co do jakości lub ilości części Biblioteki treści, wynikające z artykułu 7 ustawy z dnia 27 lipca 2001 roku o ochronie baz danych, pozostaje nienaruszone.
Zakazy opisane w ustępie 2 obowiązują także po zakończeniu Umowy.

§ 14. Jak Guardiso wykrywa naruszenia i czego w tym zakresie nie robi

Co Guardiso robi. Guardiso prowadzi dziennik działań w Platformie zawierający czas, Konto, czynność i adres protokołu internetowego, rejestruje wywołania Złącza programistycznego oraz obserwuje obciążenie Platformy.
Czego Guardiso nie robi — i mówimy o tym wprost:
1. Guardiso nie czyta treści dokumentów Klienta w poszukiwaniu naruszeń i nie prowadzi automatycznej kontroli treści;
2. Guardiso nie ma stałego dostępu do Danych Klienta. Każdy dostęp personelu Guardiso wymaga wniosku ze wskazaniem zakresu, czasu i uzasadnienia oraz zgody Klienta, jest ograniczony czasowo i widoczny dla Klienta w dzienniku dostępów. Klient może cofnąć zgodę w każdej chwili;
3. Guardiso nie utrzymuje systemu zbierania alertów ani automatycznego powiadamiania o awarii i nie prowadzi dyżuru całodobowego. Naruszenie może więc zostać zauważone z opóźnieniem, a najczęstszym źródłem wiedzy o nieprawidłowości jest zgłoszenie Klienta. Informacja jest zgodna z paragrafem 4 Umowy o poziomie świadczonych usług.
Guardiso nie jest obowiązane do sprawdzania przechowywanych danych, zgodnie z artykułem 15 ustawy o świadczeniu usług drogą elektroniczną.
Wgląd w Dane Klienta na potrzeby wyjaśnienia naruszenia wymaga złożenia wniosku o dostęp i uzyskania zgody Klienta, w trybie opisanym w Umowie powierzenia przetwarzania danych osobowych. Wyjątkiem jest tryb awaryjny, dopuszczalny wyłącznie przy realnym incydencie bezpieczeństwa, gdy zwłoka groziłaby naruszeniem praw lub wolności osób fizycznych. O każdym takim dostępie Guardiso zawiadamia Klienta niezwłocznie, nie później niż w ciągu siedmiu dni, wskazując przyczynę, zakres i czas dostępu oraz podjęte czynności. Zasadę tę określa paragraf 5 ustęp 5 Umowy powierzenia przetwarzania danych osobowych, który ma przed niniejszym ustępem pierwszeństwo.
Ustalenia poczynione w trybie ustępu 4 Guardiso wykorzystuje wyłącznie do wyjaśnienia naruszenia i do jego usunięcia.

§ 15. Skutki naruszenia i tryb postępowania

Zasada stopniowania. Guardiso stosuje środki w kolejności od najmniej do najbardziej dotkliwego: wezwanie, ograniczenie funkcji albo ruchu, zawieszenie dostępu, wypowiedzenie Umowy. Guardiso wybiera środek proporcjonalny do wagi naruszenia i do zagrożenia, które ono powoduje.
Wezwanie. W razie stwierdzenia naruszenia Guardiso wzywa Klienta do zaprzestania naruszenia i do usunięcia jego skutków, wskazując, na czym naruszenie polega i czego Guardiso żąda. Termin wyznaczony w wezwaniu nie jest krótszy niż siedem dni, a w sprawach objętych Umową licencyjną użytkownika końcowego — nie krótszy niż czternaście dni.
Zawieszenie bez uprzedniego wezwania jest dopuszczalne wyłącznie wtedy, gdy naruszenie:
1. zagraża bezpieczeństwu danych innych Klientów albo ciągłości działania Platformy;
2. polega na próbie uzyskania dostępu do danych innej Organizacji;
3. polega na masowym pobieraniu Biblioteki treści albo na obchodzeniu zabezpieczeń opisanym w paragrafie 8;
4. polega na udostępnianiu dostępu osobom nieuprawnionym w sposób powodujący realne ryzyko dla danych;
5. jest przedmiotem urzędowego zawiadomienia, o którym mowa w paragrafie 4 ustęp 4.
Guardiso zawiadamia wówczas Klienta o zawieszeniu i o jego przyczynie niezwłocznie, nie później niż następnego Dnia roboczego.
Środki węższe niż zawieszenie Konta. Zanim Guardiso zawiesi dostęp do całego Konta, rozważa: ograniczenie liczby zapytań, wyłączenie pojedynczego Klucza dostępu, wyłączenie pojedynczej funkcji oraz uniemożliwienie dostępu do konkretnej treści.
Dostęp do danych. Przed zawieszeniem dostępu Klient otrzymuje możliwość pobrania Danych Klienta, chyba że naruszenie zagraża bezpieczeństwu danych innych Klientów. W tym ostatnim przypadku Guardiso udostępnia dane w innym trybie, po ustaniu zagrożenia. Zasady wydania danych opisuje dokument „Zasady wyjścia z usługi i przeniesienia danych".
Przywrócenie dostępu następuje niezwłocznie po usunięciu naruszenia i jego skutków, nie później niż w terminie dwóch Dni roboczych od stwierdzenia tej okoliczności przez Guardiso.
Wypowiedzenie Umowy. Po bezskutecznym upływie terminu z wezwania Guardiso może wypowiedzieć Umowę ze skutkiem natychmiastowym, na zasadach i z przyczyn opisanych w paragrafie 22 ustęp 4 Regulaminu.
Roszczenia. Naruszenie Polityki nie rodzi obowiązku zapłaty kary umownej — Polityka nie przewiduje kar umownych. Guardiso przysługują roszczenia opisane w paragrafie 21 Regulaminu oraz w paragrafie 15 ustęp 5 Umowy licencyjnej użytkownika końcowego, w tym roszczenie o zapłatę opłat za Organizacje prowadzone bez uiszczenia należnej opłaty.
Kwestionowanie decyzji Guardiso. Klient może zakwestionować zasadność wezwania, ograniczenia, zawieszenia albo wypowiedzenia w trybie postępowania reklamacyjnego opisanego w Regulaminie. Złożenie reklamacji nie wstrzymuje skutków zawieszenia, chyba że Guardiso postanowi inaczej.
Rozliczenie za czas zawieszenia. Zawieszenie dostępu z powodu naruszenia Polityki nie zwalnia Klienta z opłaty za Abonament. Postanowienie to nie dotyczy zawieszenia z powodu zaległości w płatności — w tym przypadku opłata za czas zawieszenia nie jest naliczana, zgodnie z paragrafem 13 ustęp 4 punkt 4 Regulaminu, który ma przed niniejszym ustępem pierwszeństwo. Jeżeli reklamacja zostanie uwzględniona albo Guardiso samo stwierdzi, że zawieszenie było bezzasadne, Klientowi przysługuje obniżenie opłaty za okres zawieszenia, a jeżeli opłata została już uiszczona — jej zwrot w tej części.
Wobec Klienta Chronionego uprawnienia opisane w niniejszym paragrafie wykonuje się z uwzględnieniem bezwzględnie obowiązujących przepisów o ochronie konsumenta.

§ 16. Zgłaszanie naruszeń Polityki

Naruszenie Polityki może zgłosić każdy — Klient, Użytkownik oraz osoba trzecia. Zgłoszenia dotyczące bezpieczeństwa kieruje się pod Adres do spraw bezpieczeństwa, pozostałe pod Adres do spraw pozostałych.
Zgłoszenie powinno wskazywać: czego dotyczy, na czym polega naruszenie, kiedy zostało zauważone oraz — jeżeli zgłaszający chce otrzymać informację o rozstrzygnięciu — dane kontaktowe.
Guardiso potwierdza wpływ zgłoszenia i informuje zgłaszającego o sposobie jego załatwienia w zakresie, w jakim nie narusza to poufności wobec Klienta, którego zgłoszenie dotyczy, ani przepisów o ochronie danych osobowych.
Guardiso może odmówić dalszego rozpatrywania zgłoszeń oczywiście bezzasadnych oraz zgłoszeń składanych w złej wierze, w szczególności składanych w celu zaszkodzenia innemu Klientowi, informując o tym zgłaszającego.
Zgłoszenie naruszenia Polityki nie jest reklamacją. Klient, który dochodzi własnych roszczeń, składa odrębną reklamację w trybie Regulaminu.

§ 17. Zmiany Polityki i postanowienia końcowe

Zmiany Polityki Guardiso ogłasza z wyprzedzeniem trzydziestu dni, zawiadamiając Klienta pocztą elektroniczną na adres Właściciela Konta oraz przez komunikat w Platformie. Brak sprzeciwu w tym terminie oznacza przyjęcie zmiany. Sprzeciw uprawnia Klienta do wypowiedzenia Umowy ze zwrotem opłaty za niewykorzystaną część Okresu rozliczeniowego.
Zmiana wchodząca w życie niezwłocznie. Zmiana konieczna ze względu na bezpieczeństwo Platformy, usunięcie Podatności albo dostosowanie do bezwzględnie obowiązującego przepisu prawa może wejść w życie niezwłocznie, z zawiadomieniem po fakcie. Zmiana taka nie może rozszerzać obowiązków Klienta ponad zakres wynikający z przyczyny, która ją uzasadnia.
Zmiana Polityki nie wpływa na uprawnienia nabyte przed dniem jej wejścia w życie ani na ocenę zdarzeń, które nastąpiły wcześniej.
Prawem właściwym jest prawo polskie. Wybór prawa polskiego nie pozbawia Klienta Chronionego mającego miejsce zamieszkania w innym państwie członkowskim Unii Europejskiej ochrony wynikającej z bezwzględnie obowiązujących przepisów prawa państwa jego miejsca zamieszkania.
Do rozstrzygania sporów wynikających z Polityki stosuje się zasady opisane w paragrafie 27 Regulaminu, w tym zasady dotyczące pozasądowych sposobów rozwiązywania sporów przysługujących Klientowi Chronionemu.
Jeżeli którekolwiek postanowienie Polityki okaże się nieważne albo bezskuteczne, pozostałe postanowienia zachowują moc. W miejsce postanowienia nieważnego stosuje się przepis prawa, a w jego braku — postanowienie najbliższe zamierzonemu celowi gospodarczemu.
Polityka jest sporządzona w języku polskim. W razie udostępnienia tłumaczenia na inny język, w razie rozbieżności rozstrzyga wersja polska.
Historia wersji:

Wersja	Data	Zakres zmiany
1.0	1 września 2026 roku	Pierwsze wydanie. Wydzielenie zasad dozwolonego użytkowania z paragrafu 17 Regulaminu do odrębnego dokumentu, dodanie zasad korzystania z funkcji sztucznej inteligencji oraz zasad zgłaszania podatności wraz z bezpieczną przystanią dla badaczy bezpieczeństwa.