Bezpieczeństwo
Ostatnia aktualizacja: 15.09.2026
1. Przegląd bezpieczeństwa
Bezpieczeństwo danych naszych klientów jest fundamentem Guardiso. Jako platforma ISMS, stosujemy najwyższe standardy ochrony danych na każdym poziomie: od infrastruktury, przez aplikację, po procesy organizacyjne.
2. Infrastruktura
Guardiso jest hostowane u europejskiego dostawcy chmury z certyfikatami ISO 27001, SOC 2 i HDS, z centrami danych na terenie Unii Europejskiej.
3. Rezydencja danych
Domyślnie wszystkie dane klientów przechowujemy w Unii Europejskiej, w centrum danych w Polsce, i podlegają one RODO. Poza Unię trafiają tylko w przypadkach opisanych w wykazie podwykonawców.
W planach Professional i Enterprise można wybrać inne miejsce w Unii Europejskiej. Napisz do nas, a ustawimy to razem.
4. Przepływ danych AI
Funkcje AI (Asystent Guardiso, generowanie polityk, analiza ryzyk) są całkowicie opcjonalne. Platforma działa w pełni bez nich.
Dostawca modeli AI przetwarza dane tylko na czas odpowiedzi. Nie przechowuje treści zapytań po ich przetworzeniu i nie wykorzystuje ich do trenowania modeli. Transfer na podstawie Standardowych Klauzul Umownych (SCC).
5. Uwierzytelnianie
Guardiso korzysta z Google OAuth 2.0 oraz logowania e-mailem (jednorazowy link logowania, ważny przez ograniczony czas) do uwierzytelniania użytkowników. Nie przechowujemy haseł użytkowników.
- Google OAuth 2.0: bezpieczne logowanie bez przechowywania haseł
- Magic link: jednorazowy link logowania wysyłany e-mailem, ważny przez ograniczony czas
- Sesje i ochrona CSRF: bezpieczna obsługa sesji oraz ochrona przed atakami CSRF
- Tokeny sesji: HTTP-only cookies, Secure flag, SameSite=Lax
- SSO / SAML: dostępne w planie Enterprise Enterprise
6. Bezpieczeństwo aplikacji
Aplikacja Guardiso jest budowana z myślą o bezpieczeństwie na każdym etapie cyklu życia oprogramowania.
- OWASP Top 10: ochrona przed dziesięcioma najczęstszymi zagrożeniami w aplikacjach internetowych, między innymi przed wstrzyknięciem skryptu, wstrzyknięciem kodu i fałszowaniem żądań
- Content Security Policy (CSP): ścisłe nagłówki CSP ograniczające ładowanie zewnętrznych zasobów
- Nagłówki bezpieczeństwa: X-Frame-Options, X-Content-Type-Options, HSTS, Referrer-Policy
- Walidacja wejścia: walidacja schematem danych na wszystkich granicach systemu
- Zapytania parametryzowane: ochrona przed wstrzyknięciem kodu na poziomie warstwy zapytań. Nazwy kolumn i tabel sprawdzamy na liście dozwolonych, a wartości trafiają do bazy jako parametry
- Izolacja organizacji: filtrowanie danych po stronie serwera tak, że każda organizacja widzi wyłącznie własne dane, dodatkowo egzekwowane przez kontrolę dostępu opartą na rolach (RBAC)
- Automatyczne skanowanie: automatyczne skanowanie podatności, sekretów i kodu przy każdej zmianie w procesie CI/CD
7. Zgłaszanie luk w zabezpieczeniach
Cenimy współpracę ze społecznością bezpieczeństwa. Jeśli odkryjesz lukę w zabezpieczeniach Guardiso, zgłoś ją nam, zanim opiszesz ją publicznie.
Zakres
- *.guardiso.com
Jak zgłaszać
Wyślij raport na adres: security@guardiso.com
W raporcie podaj:
- Opis podatności i sposób jej odtworzenia
- Potencjalny wpływ
- Sugerowane rozwiązanie (opcjonalnie)
Czas reakcji
Za zgłoszenia nie płacimy. Doceniamy je i wymieniamy autorów z nazwiska, jeżeli sobie tego życzą.
Ochrona zgłaszających
Nie będziemy podejmować działań prawnych przeciwko badaczom bezpieczeństwa, którzy działają w dobrej wierze i zgodnie z poniższymi zasadami:
- Nie wyciekaj danych klientów
- Nie zakłócaj działania usługi
- Daj nam rozsądny czas na naprawę przed publicznym ujawnieniem
Poza zakresem
- Inżynieria społeczna (phishing, vishing)
- Ataki DoS / DDoS
- Ataki fizyczne na infrastrukturę
- Podatności w oprogramowaniu podmiotów trzecich, na przykład w przeglądarkach
- Braki w dobrych praktykach, które nie prowadzą do konkretnego ataku
8. Zgodność i certyfikaty
9. Jurysdykcja infrastruktury i dostęp organów państw trzecich
Infrastruktura teleinformatyczna, na której przetwarzamy dane klientów, to znaczy serwery aplikacji, baza danych, przestrzeń na pliki oraz sejf kluczy szyfrujących, stoi w Polsce, w regionie Warszawa, u dostawcy Scaleway, S.A.S. z siedzibą we Francji. Infrastruktura podlega prawu polskiemu i prawu Unii Europejskiej, a jej dostawca dodatkowo prawu francuskiemu. Dane klientów nie opuszczają Europejskiego Obszaru Gospodarczego poza przypadkami wskazanymi w wykazie podwykonawców.
Środki umowne
Żądania organu władzy publicznej, sądu, prokuratury albo służby nie są wykonywane automatycznie. Przed jakimkolwiek udostępnieniem sprawdzamy, czy żądanie pochodzi od podmiotu uprawnionego i czy zostało prawidłowo doręczone, czy wskazuje podstawę prawną oraz zakres żądanych danych, a udostępnienie ograniczamy wyłącznie do danych objętych żądaniem.
O otrzymanym żądaniu zawiadamiamy klienta niezwłocznie, nie później niż w ciągu czterdziestu ośmiu godzin od jego otrzymania i przed udostępnieniem danych, żeby klient mógł skorzystać ze środków prawnych. Jeżeli przepis prawa zakazuje nam poinformowania klienta, powstrzymujemy się od zawiadomienia wyłącznie w zakresie i przez czas objęty zakazem, podejmujemy w rozsądnych granicach starania o jego uchylenie albo ograniczenie i zawiadamiamy klienta niezwłocznie po ustaniu zakazu.
Wyrok sądu państwa trzeciego oraz decyzja organu administracyjnego państwa trzeciego wymagające przekazania lub ujawnienia danych osobowych mogą być wykonane wyłącznie wtedy, gdy opierają się na obowiązującej umowie międzynarodowej, zgodnie z artykułem 48 rozporządzenia (UE) 2016/679. Poza tym trybem takich żądań nie wykonujemy. Ten sam obowiązek nakładamy umownie na swoich podwykonawców.
Środki organizacyjne
Nie zapewniliśmy i nie zapewniamy żadnemu organowi ani służbie stałego, bezpośredniego ani zautomatyzowanego dostępu do danych klientów. Dostęp naszego personelu do danych klienta wymaga wniosku ze wskazaniem zakresu, czasu i uzasadnienia oraz zgody klienta, jest ograniczony w czasie i podlega zapisowi w dzienniku. Dostęp w trybie awaryjnym jest dopuszczalny wyłącznie w razie rzeczywistego incydentu bezpieczeństwa i podlega zawiadomieniu klienta w terminie siedmiu dni.
Środki techniczne
Dane osobowe każdej organizacji są szyfrowane odrębnym kluczem. Klucz może usunąć wyłącznie właściciel organizacji klienta. Po usunięciu klucza dane nim zaszyfrowane są nieczytelne również dla nas, więc nie mogą zostać nikomu udostępnione w postaci czytelnej.
10. Kontakt
W razie pytań dotyczących bezpieczeństwa Guardiso:
- Zgłoszenia bezpieczeństwa: security@guardiso.com
- Zapytania ogólne: kontakt@guardiso.com
Zobacz również: