Umowa powierzenia przetwarzania danych osobowych (DPA) - wzór dla firm

1. Strony, definicje i zakres zastosowania

1.1Stronami umowy są: (1) Artur Witoś, adres: Wólka Zatorska 16, 07-217 Wólka Zatorska, Polska, NIP: 5681625642, REGON: 386254514, wpis do Centralnej Ewidencji i Informacji o Działalności Gospodarczej (CEIDG), zwany dalej „Korfi” albo „Podmiotem przetwarzającym”; (2) użytkownik będący przedsiębiorcą lub inną organizacją, który zaakceptował tę umowę dla swojego konta, zwany dalej „Administratorem”.

1.2Dane identyfikacyjne Administratora to dane firmy podane przy akceptacji umowy. [DO DECYZJI: sposób identyfikacji Administratora - dane firmy zapisywane w ustawieniach konta przy akceptacji umowy]

1.3Umowa wykonuje obowiązek z art. 28 ust. 3 RODO. Korfi jest podmiotem przetwarzającym tylko wobec danych osobowych, które Administrator powierza w ramach Usługi. W pozostałym zakresie, w tym wobec danych konta, danych bezpieczeństwa i danych technicznych, Korfi jest odrębnym administratorem, a płatności obsługuje Paddle jako niezależny administrator (zob. Polityka prywatności).

1.4W tej umowie użyte pojęcia oznaczają:

RODO

rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych.

Usługa

usługa Korfi opisana w Regulaminie: aplikacja, interfejs API, strony korfi.app oraz funkcje przechowywania, udostępniania, wyszukiwania i asystenta AI.

Dane Osobowe Administratora

dane osobowe zawarte w treści plików, nazwach plików i folderów, opisach oraz innych materiałach, które Administrator lub osoby przez niego upoważnione przesyłają do Usługi albo które trafiają do niej przez link Wiaderka (adres, przez który osoba bez konta wysyła pliki do wskazanego folderu) lub skrzynkę e-mail Administratora.

Folder Zwykły

folder, którego treść jest widoczna dla serwera i może być przetwarzana na serwerze, na przykład przez wyciąganie tekstu, OCR i indeks wyszukiwania.

Folder Prywatny i Sejf

foldery szyfrowane end-to-end, których treści Korfi nie jest w stanie odczytać.

Podprzetwarzający

podmiot, któremu Korfi powierza dalsze przetwarzanie Danych Osobowych Administratora, wymieniony w załączniku 2.

Naruszenie

naruszenie ochrony danych osobowych w rozumieniu art. 4 pkt 12 RODO, dotyczące Danych Osobowych Administratora.

Klucz odzyskiwania

klucz generowany w aplikacji Korfi przy pierwszym włączeniu szyfrowania, przechowywany wyłącznie przez użytkownika.

2. Przedmiot, charakter, cel i czas trwania przetwarzania

2.1Administrator powierza Korfi przetwarzanie Danych Osobowych Administratora w zakresie niezbędnym do świadczenia Usługi.

2.2Charakter przetwarzania, cele, rodzaje danych i kategorie osób, których dane dotyczą, opisuje załącznik 1.

2.3Przetwarzanie trwa przez czas obowiązywania umowy o świadczenie Usługi oraz przez okres zwrotu i usunięcia danych opisany w rozdziale 7.

2.4Korfi nie przetwarza Danych Osobowych Administratora w żadnym innym celu. W szczególności nie wykorzystuje ich do własnych celów, reklamy ani profilowania.

2.5Korfi nie sprzedaje i nie udostępnia Danych Osobowych Administratora podmiotom innym niż Podprzetwarzający wymienieni w załączniku 2, chyba że obowiązek wynika z przepisów prawa.

3. Obowiązki Korfi jako podmiotu przetwarzającego

3.1Korfi przetwarza Dane Osobowe Administratora wyłącznie na jego udokumentowane polecenie. Polecenie stanowią ta umowa, umowa o świadczenie Usługi oraz korzystanie z funkcji Usługi przez Administratora i osoby, którym nadał dostęp, na przykład wysłanie pliku, utworzenie linku, włączenie funkcji AI albo usunięcie pliku.

3.2Jeżeli prawo Unii lub prawo polskie nakłada na Korfi obowiązek przetwarzania, Korfi poinformuje o tym Administratora przed rozpoczęciem przetwarzania, chyba że prawo zabrania takiej informacji ze względu na ważny interes publiczny.

3.3Korfi niezwłocznie poinformuje Administratora, jeżeli jego zdaniem polecenie narusza RODO lub inne przepisy o ochronie danych.

3.4Korfi zapewnia, że osoby upoważnione do przetwarzania Danych Osobowych Administratora zobowiązały się do zachowania poufności albo podlegają ustawowemu obowiązkowi poufności. Dostęp do danych mają tylko osoby, które potrzebują go do świadczenia Usługi.

3.5Korfi stosuje środki techniczne i organizacyjne wymagane przez art. 32 RODO, opisane w załączniku 3. Korfi może je zmieniać, o ile nie obniża ogólnego poziomu ochrony.

3.6Korfi prowadzi rejestr kategorii czynności przetwarzania, o którym mowa w art. 30 ust. 2 RODO.

4. Podprzetwarzający

4.1Administrator wyraża ogólną zgodę na korzystanie przez Korfi z Podprzetwarzających wymienionych w załączniku 2.

4.2Korfi powiadomi Administratora o zamiarze dodania lub zastąpienia Podprzetwarzającego z wyprzedzeniem, wiadomością e-mail na adres konta albo komunikatem w aplikacji, i zaktualizuje listę na tej stronie. Administrator może zgłosić uzasadniony sprzeciw. [DO DECYZJI: wyprzedzenie powiadomienia o zmianie podprzetwarzającego (propozycja 30 dni) i termin na sprzeciw (propozycja 14 dni)]

4.3Jeżeli sprzeciw jest uzasadniony, a strony nie znajdą rozwiązania, Administrator może wypowiedzieć umowę w zakresie dotkniętym zmianą, bez dodatkowych kosztów, i pobrać swoje dane zgodnie z rozdziałem 7.

4.4Korfi zawiera z Podprzetwarzającymi umowy nakładające obowiązki ochrony danych co najmniej równoważne obowiązkom z tej umowy (art. 28 ust. 4 RODO) i pozostaje wobec Administratora odpowiedzialny za wykonywanie tych obowiązków przez Podprzetwarzającego.

4.5Warunki przetwarzania danych przez głównych Podprzetwarzających są publiczne. Linki do ich umów powierzenia i list podprzetwarzających są w załączniku 2.

5. Pomoc Administratorowi

5.1Korfi pomaga Administratorowi, w zakresie w jakim to możliwe i za pomocą odpowiednich środków technicznych, w wywiązaniu się z obowiązku odpowiadania na żądania osób, których dane dotyczą (rozdział III RODO). Administrator może samodzielnie wyszukiwać, pobierać, poprawiać i usuwać dane za pomocą funkcji Usługi.

5.2Jeżeli osoba, której dane dotyczą, zwróci się bezpośrednio do Korfi w sprawie Danych Osobowych Administratora, Korfi przekaże żądanie Administratorowi bez zbędnej zwłoki i nie odpowie na nie merytorycznie bez jego polecenia, chyba że przepisy prawa wymagają inaczej.

5.3Korfi pomaga Administratorowi w wywiązaniu się z obowiązków z art. 32-36 RODO (bezpieczeństwo, zgłaszanie naruszeń, ocena skutków dla ochrony danych i konsultacje z organem nadzorczym), uwzględniając charakter przetwarzania i informacje, którymi dysponuje. Ograniczenia wynikające z szyfrowania end-to-end opisuje rozdział 10.

5.4Pomoc wykonywana za pomocą standardowych funkcji Usługi nie wymaga dodatkowej opłaty. [DO DECYZJI: rozliczanie pomocy wykraczającej poza standardowe funkcje Usługi - w cenie planu czy według stawki]

6. Naruszenia ochrony danych

6.1Korfi zawiadomi Administratora o stwierdzeniu Naruszenia bez zbędnej zwłoki, nie później niż w ciągu 48 godzin od jego stwierdzenia (art. 33 ust. 2 RODO), wiadomością e-mail na adres konta. [DO DECYZJI: termin zawiadomienia Administratora o naruszeniu - propozycja 48 godzin]

6.2Zawiadomienie zawiera, w zakresie w jakim informacje są znane: opis charakteru Naruszenia, kategorie i przybliżoną liczbę osób oraz wpisów, możliwe skutki, podjęte i planowane środki zaradcze oraz dane kontaktowe. Informacje mogą być przekazywane etapami.

6.3Korfi podejmuje działania ograniczające skutki Naruszenia i dokumentuje je. Decyzja o zgłoszeniu Naruszenia Prezesowi Urzędu Ochrony Danych Osobowych (art. 33 ust. 1 RODO) i o zawiadomieniu osób, których dane dotyczą (art. 34 RODO), należy do Administratora. Korfi udziela mu w tym pomocy.

6.4Wewnętrzną procedurę reagowania na naruszenia (wykrycie, ocena ryzyka, zgłoszenie, zawiadomienie osób, rejestr naruszeń) Korfi opisuje w dokumentacji wewnętrznej.

7. Zwrot i usunięcie danych po zakończeniu przetwarzania

7.1Po zakończeniu umowy o świadczenie Usługi albo usunięciu konta Administrator ma 30 dni na pobranie swoich danych za pomocą funkcji pobierania i eksportu dostępnych w Usłudze.

7.2Po upływie tego okresu Korfi usuwa Dane Osobowe Administratora (pliki, metadane, wyciągnięty tekst i indeks wyszukiwania), chyba że przepisy prawa wymagają ich dalszego przechowywania.

7.3Pełne usunięcie nie obejmuje następujących danych, które znikają później albo po zwolnieniu:

• obiektów w Archiwum objętych blokadą po stronie magazynu danych (30 dni od wysłania). Nikt nie może ich usunąć przed końcem blokady, także Korfi. Dostęp do nich jest zablokowany, a obiekty zostaną usunięte po zakończeniu blokady,
• kopii historii bazy danych utrzymywanych automatycznie przez dostawcę infrastruktury, które wygasają po nie więcej niż 30 dniach,
• danych zabezpieczonych na żądanie uprawnionego organu na 90 dni. Zostaną usunięte po zwolnieniu zabezpieczenia.

7.4Na pisemne żądanie Administratora Korfi potwierdza usunięcie danych wiadomością e-mail.

8. Audyt

8.1Korfi udostępnia Administratorowi informacje niezbędne do wykazania spełnienia obowiązków z art. 28 RODO, w szczególności opis środków bezpieczeństwa (załącznik 3), listę Podprzetwarzających oraz dostępne raporty i certyfikaty Podprzetwarzających, w zakresie w jakim Korfi może je przekazać.

8.2Administrator może przeprowadzić audyt u Korfi nie częściej niż raz w roku oraz po Naruszeniu, po uprzednim pisemnym zawiadomieniu, w godzinach pracy, w sposób niezakłócający Usługi i bez dostępu do danych innych klientów oraz do kluczy i sekretów. Audytor zachowuje poufność. [DO DECYZJI: warunki audytu - wyprzedzenie, zakres i podział kosztów]

8.3Prawo audytu u Podprzetwarzających przysługuje na zasadach ich umów (w przypadku dostawców infrastruktury są to przede wszystkim niezależne raporty z audytów). Korfi pomoże Administratorowi z tych praw skorzystać w zakresie, w jakim to możliwe.

9. Obowiązki Administratora

9.1Administrator odpowiada za legalność przetwarzania, w tym za podstawę prawną (art. 6 RODO, a dla szczególnych kategorii danych art. 9), za wykonanie obowiązków informacyjnych wobec osób, których dane dotyczą (art. 13 i 14 RODO), oraz za to, że ma prawo powierzyć dane Korfi.

9.2Polecenia Administratora muszą być zgodne z prawem. Administrator przesyła do Usługi tylko takie dane osobowe, które są potrzebne do jego celów.

9.3Dane szczególnych kategorii (art. 9 RODO) oraz dane dotyczące wyroków skazujących i naruszeń prawa (art. 10 RODO) mogą być przechowywane w Usłudze wyłącznie na odpowiedzialność Administratora. Dla danych wrażliwych zalecamy foldery Prywatne albo Sejf.

9.4Administrator odpowiada za osoby, którym nadaje dostęp do konta, za zabezpieczenie tego dostępu (skrzynka e-mail, urządzenia, drugi składnik, klucze dostępu, kody zapasowe), za konfigurację linków do udostępniania i Wiaderek (wygaśnięcie, hasła, limity) oraz za przechowywanie Klucza odzyskiwania.

9.5Wiaderka i skrzynka e-mail działają wyłącznie z Folderami Zwykłymi. Administrator wie, że pliki przyjęte w ten sposób są dla serwera widoczne i mogą być przetwarzane zgodnie z rozdziałem 11.

10. Ograniczenia wynikające z szyfrowania end-to-end

10.1Treść plików w Folderach Prywatnych i Sejfach jest szyfrowana end-to-end na komputerze użytkownika przed wysłaniem. Korfi przechowuje szyfrogram i opakowane klucze, nie ma dostępu do kluczy odszyfrowujących i widzi jawne metadane: nazwy plików i folderów, opisy, rozmiary, daty i ustawienia.

• Korfi nie może udostępnić treści tych plików, wyszukać w niej, przetworzyć jej na serwerze ani jej odzyskać.
• Pomoc w realizacji praw osób, których dane dotyczą (rozdział 5), ogranicza się do metadanych i do czynności, które Administrator sam wykonuje w aplikacji, na przykład pobrania albo usunięcia pliku.
• Korfi nie jest w stanie ustalić, czy zaszyfrowane pliki zawierają dane osobowe.

10.2Klucza odzyskiwania Korfi nie zna i nie może go odtworzyć. Jeżeli Administrator utraci Klucz odzyskiwania i dostęp do komputera z kluczem głównym, zaszyfrowane pliki są nie do odzyskania, także dla Korfi. Korfi nie ponosi odpowiedzialności za skutki utraty klucza, o ile nie wynikają one z niezgodności Usługi z umową.

10.3Nazwy plików i folderów oraz opisy pozostają jawne dla serwera także w folderach szyfrowanych. Administrator nie powinien umieszczać w nich danych, które mają pozostać niewidoczne dla Korfi.

11. Funkcje AI i przetwarzanie w Folderach Zwykłych

11.1Przetwarzanie treści po stronie serwera, takie jak wyciąganie tekstu, OCR, indeks wyszukiwania, automatyczne opisy i tagi oraz wektory, dotyczy wyłącznie Folderów Zwykłych. W Folderach Prywatnych i Sejfach Korfi nie wykonuje go na serwerze. Część tych funkcji jest planowana i będzie uruchamiana etapami.

11.2Gdy Administrator lub upoważniona przez niego osoba użyje asystenta AI, treść zapytania i wybrane fragmenty plików są przekazywane do modelu sztucznej inteligencji Podprzetwarzającego wskazanego w załączniku 2 za pośrednictwem Korfi i bramki AI. Ten Podprzetwarzający przetwarza dane tylko wtedy, gdy funkcja AI została użyta.

11.3Korfi nie zapisuje treści zapytań ani odpowiedzi AI w bazie danych ani w logach. Każde zapytanie do bramki AI ma wyłączony zapis treści i pamięć podręczną. Zapisywane są wyłącznie metadane użycia: model, liczba tokenów, koszt, czas i status.

11.4Dostawca modelu AI może przechowywać dane przekazane przez API zgodnie ze swoimi warunkami. Według jego publicznych informacji dane z API są co do zasady usuwane w ciągu 30 dni, a w razie wykrycia naruszenia polityki użytkowania mogą być przechowywane dłużej. [DO DECYZJI: potwierdzić w umowie z dostawcą modelu AI warunki retencji danych oraz brak wykorzystania danych z API do trenowania modeli]

11.5Włączenie funkcji AI przez Administratora jest jego poleceniem w rozumieniu rozdziału 3. Administrator może zdecydować, że nie będzie z niej korzystać. W folderach Prywatnych asystent domyślnie widzi tylko nazwy plików, a fragmenty treści dopiero po zgodzie w danej rozmowie, natomiast Sejf nie jest przetwarzany. [DO DECYZJI: czy funkcja AI jest domyślnie włączona dla kont firmowych]

12. Przekazywanie danych poza Europejski Obszar Gospodarczy

12.1Pliki są przechowywane w Unii Europejskiej (magazyn danych w jurysdykcji UE). [DO DECYZJI: potwierdzić, że baza danych została utworzona z jurysdykcją UE (jurysdykcji nie można zmienić po utworzeniu bazy)]

12.2Usługi obliczeniowe dostawcy infrastruktury działają w globalnej sieci. Żądania, metadane i wiadomości e-mail mogą być przetwarzane w centrach danych poza EOG, a podmiot z siedzibą w USA (załącznik 2) może mieć do nich dostęp. Korfi nie gwarantuje, że wszystkie operacje, w tym wywołania AI, odbywają się wyłącznie w UE.

12.3Podstawy przekazywania danych do USA wynikają z publicznych umów Podprzetwarzających i są wskazane dla każdego z nich w załączniku 2: certyfikacja w ramach EU-U.S. Data Privacy Framework (decyzja wykonawcza Komisji (UE) 2023/1795), a gdy certyfikacja nie obowiązuje albo nie dotyczy podmiotu, standardowe klauzule umowne (decyzja wykonawcza Komisji (UE) 2021/914).

12.4Korfi nie przekaże Danych Osobowych Administratora poza EOG bez podstawy z rozdziału V RODO i poinformuje o zmianach w trybie opisanym w rozdziale 4.

12.5Na żądanie Korfi udostępni informacje, którymi dysponuje, a które są potrzebne Administratorowi do oceny skutków przekazywania danych.

13. Odpowiedzialność

13.1Odpowiedzialność każdej ze stron wobec osób, których dane dotyczą, oraz wobec organów nadzorczych wynika z RODO, w tym z art. 82.

13.2W stosunkach między stronami odpowiedzialność Korfi z tytułu tej umowy podlega ograniczeniom przewidzianym w Regulaminie. [DO DECYZJI: limit odpowiedzialności Korfi z tytułu DPA, wyłączenia i relacja do limitów z Regulaminu]

13.3Postanowienia tej umowy nie wyłączają odpowiedzialności, której nie można wyłączyć na podstawie przepisów prawa.

13.4Korfi nie odpowiada za skutki poleceń niezgodnych z prawem, utraty Klucza odzyskiwania ani działań osób, którym Administrator nadał dostęp do konta, o ile nie wynikają z niewykonania obowiązków Korfi.

14. Zawarcie, czas obowiązywania i rozwiązanie umowy

14.1Umowa zostaje zawarta z chwilą akceptacji. Korfi zapisuje wersję wzoru i datę akceptacji. [DO DECYZJI: sposób zawarcia umowy - akceptacja online w ustawieniach konta firmowego albo podpisana wersja]

14.2Umowa obowiązuje od zawarcia do zakończenia umowy o świadczenie Usługi i do zrealizowania zwrotu oraz usunięcia danych zgodnie z rozdziałem 7.

14.3Administrator może zakończyć korzystanie z Usługi w każdej chwili, usuwając konto. Każda ze stron może wypowiedzieć tę umowę bez zachowania terminu wypowiedzenia z ważnego powodu, w szczególności w razie istotnego naruszenia jej postanowień.

14.4Korfi może zmienić wzór umowy na zasadach przewidzianych w Regulaminie dla zmian Regulaminu, z powiadomieniem na adres e-mail konta. Aktualna wersja i jej data są publikowane na tej stronie.

14.5Po zakończeniu umowy nadal obowiązują postanowienia o poufności, zwrocie i usunięciu danych oraz odpowiedzialności.

15. Prawo właściwe, sąd i kontakt

15.1Do umowy stosuje się prawo polskie oraz RODO. W sprawach nieuregulowanych stosuje się Kodeks cywilny.

15.2Do rozstrzygania sporów wynikających z umowy właściwy jest sąd wskazany poniżej. [DO DECYZJI: sąd właściwy dla sporów między przedsiębiorcami, na przykład sąd właściwy dla siedziby Korfi]

15.3W sprawach ochrony danych osobowych kontaktuj się z nami pod adresem hello@korfi.app.

Załącznik 1. Szczegóły przetwarzania

Z1.1Poniższe zestawienie uzupełnia rozdział 2.

Przedmiot

Przetwarzanie Danych Osobowych Administratora w ramach Usługi Korfi.

Charakter przetwarzania

Przechowywanie, odczyt i pobieranie, organizowanie w folderach, wersjonowanie, kosz i Archiwum, udostępnianie przez linki, przyjmowanie plików przez Wiaderka i skrzynkę e-mail (funkcje planowane lub udostępniane etapami), wyciąganie tekstu, OCR i indeksowanie w Folderach Zwykłych, przetwarzanie przez asystenta AI na polecenie użytkownika, usuwanie.

Cele

Świadczenie Usługi na rzecz Administratora zgodnie z jego poleceniami oraz zapewnienie jej bezpieczeństwa.

Rodzaje danych

Dane osobowe zawarte w treści plików, w nazwach plików i folderów oraz w opisach, wyciągnięty tekst i indeks wyszukiwania (Foldery Zwykłe), dane osobowe osób przesyłających pliki przez Wiaderka i skrzynkę e-mail oraz metadane plików. Dane kont użytkowników Administratora (adres e-mail, dane logowania i sesji) są przetwarzane na zasadach opisanych w Polityce prywatności.

Kategorie osób

Pracownicy i współpracownicy Administratora, jego klienci i kontrahenci, osoby wysyłające pliki przez Wiaderka i skrzynkę e-mail oraz inne osoby, których dane Administrator umieści w plikach.

Dane szczególnych kategorii

Możliwe, jeżeli Administrator je przesyła, wyłącznie na jego odpowiedzialność (rozdział 9).

Czas trwania

Czas obowiązywania umowy oraz okres zwrotu i usunięcia danych (rozdział 7).

Lokalizacja

Pliki: Unia Europejska (magazyn danych w jurysdykcji UE). Pozostałe dane i operacje: zgodnie z rozdziałem 12.

Z1.2Ta umowa nie dotyczy danych, w stosunku do których Korfi jest administratorem, takich jak dane konta, bezpieczeństwa, rozliczeń i zgłoszeń nadużyć. Dane płatnicze kupującego przetwarza Paddle jako niezależny administrator.

Załącznik 2. Lista Podprzetwarzających

Z2.1Administrator wyraża zgodę na korzystanie z następujących Podprzetwarzających. Zmiany następują w trybie z rozdziału 4.

Z2.2Paddle nie jest Podprzetwarzającym. Paddle jest sprzedawcą (Merchant of Record) i niezależnym administratorem danych płatniczych kupującego, zgodnie z polityką prywatności Paddle.

Z2.3[DO UZUPEŁNIENIA: dane rejestrowe i adresy podmiotów kontraktowych (Cloudflare, Inc. oraz Anthropic, PBC) zgodnie z ich aktualnymi umowami]

Załącznik 3. Środki techniczne i organizacyjne

Z3.1Poniżej opisujemy środki stosowane w chwili publikacji wzoru. Opis obejmuje wyłącznie to, co jest wdrożone, a elementy planowane oznaczamy jako planowane.

Szyfrowanie

• Foldery Prywatne i Sejfy: treść plików jest szyfrowana end-to-end na komputerze użytkownika przed wysłaniem (XChaCha20-Poly1305, szyfrowanie strumieniowe). Każdy plik ma własny klucz, a klucz pliku jest opakowany kluczem głównym. Serwer przechowuje szyfrogram i opakowane klucze.
• Klucz główny jest przechowywany w Pęku kluczy macOS. Klucz odzyskiwania zachowuje wyłącznie użytkownik.
• Szyfrogram każdego pliku jest powiązany z identyfikatorem tego pliku, więc serwer nie podmieni go innym.
• Transmisja danych odbywa się przez HTTPS (TLS).
• Pliki są przechowywane w magazynie danych w jurysdykcji UE i szyfrowane w spoczynku przez dostawcę infrastruktury.

Uwierzytelnianie i dostęp

• Logowanie jednorazowym kodem z e-maila, bez haseł. Kod jest przechowywany jako skrót HMAC z sekretem serwera, ważny 10 minut, z limitem 5 prób na kod i nie więcej niż 5 kodów na godzinę dla jednego adresu.
• Opcjonalne 2FA przez aplikację TOTP: sekrety są szyfrowane po stronie serwera, a kody zapasowe przechowywane wyłącznie jako skróty.
• Klucze dostępu (WebAuthn) przypięte do domeny korfi.app. Dodanie klucza dostępu wymaga potwierdzenia i kodu z e-maila, a o dodaniu wysyłamy powiadomienie.
• Czynności krytyczne (na przykład usunięcie chronionego pliku, wyłączenie 2FA, usunięcie konta) wymagają świeżego potwierdzenia, ważnego do 5 minut: kluczem dostępu, kodem TOTP albo kodem z e-maila. Wymóg egzekwuje serwer.
• Sesje: tokeny są przechowywane po stronie serwera jako skróty, ważne do 90 dni, z listą urządzeń i wylogowaniem zdalnym. Aplikacja trzyma token w Pęku kluczy macOS.

Izolacja danych klientów

• Identyfikator użytkownika pochodzi wyłącznie z sesji, nigdy od klienta. Każde zapytanie do danych użytkownika zawiera warunek user_id, a dostęp do danych odbywa się wyłącznie przez funkcje wymagające identyfikatora użytkownika.
• Cudzy zasób zwraca 404, więc nie ujawniamy jego istnienia. Indeks pełnotekstowy jest zawsze filtrowany po user_id.
• Klucz obiektu w magazynie danych składa serwer z rekordu należącego do użytkownika. Nazwy i ścieżki przesłane przez klienta nie trafiają do klucza.
• Każdy endpoint operujący na danych użytkownika ma test izolacji sprawdzający, że użytkownik B nie ma dostępu do zasobów użytkownika A.
• Token S3 Workera ma uprawnienia wyłącznie do bucketu Korfi.

Udostępnianie i adresy URL

• Adresy presigned URL mają ważność do 15 minut, są podpisane na konkretny klucz, metodę i rozmiar i są wydawane po sprawdzeniu właściciela oraz limitu miejsca.
• Linki do udostępniania mają termin wygaśnięcia, opcjonalne hasło (PBKDF2-SHA256 z solą i dodatkowym sekretem serwera), limit pobrań, limit prób oraz rosnące blokady. Globalny limit klienta opiera się na HMAC adresu IP, a surowy adres IP nie jest zapisywany.
• Dla zaszyfrowanych plików klucz pliku jest w części linku po znaku #, więc serwer go nie widzi.

Przechowywanie, usuwanie i odtwarzanie

• Kosz przechowuje usunięte pliki 30 dni, po czym zadanie automatyczne usuwa je trwale.
• Archiwum ma blokadę po stronie magazynu danych na 30 dni od wysłania, której nikt nie może obejść, także administrator.
• Baza danych ma automatyczną historię zmian, która pozwala przywrócić stan z ostatnich 30 dni.
• Wykrywanie duplikatów po SHA-256 dotyczy wyłącznie plików niezaszyfrowanych.

Administracja, monitorowanie i AI

• Panel administracyjny działa na osobnej domenie za zewnętrzną usługą kontroli dostępu, a jego punkty końcowe dodatkowo weryfikują token JWT wydany przez tę usługę. Działania administratora (konta, zaproszenia, blokady, limity) trafiają do dziennika audytu.
• Tokeny usługowe mają minimalne uprawnienia. Sekrety są przechowywane poza repozytorium (sekrety Wranglera, lokalnie pliki wyłączone z kontroli wersji).
• Pośrednik AI nie zapisuje treści zapytań ani odpowiedzi w bazie danych ani w logach, a w bramce AI wyłączony jest zapis treści i pamięć podręczna. Zostają tylko metadane użycia.
• Logi techniczne nie zawierają treści plików, a komunikaty o błędach nie zawierają danych wejściowych.

Procedury i rozwój

• Procedura reagowania na naruszenia ochrony danych (wykrycie, ocena ryzyka, zgłoszenie do organu, zawiadomienie osób, rejestr naruszeń) jest opisana w dokumentacji wewnętrznej.
• Zmiany w kodzie przechodzą automatyczne testy, w tym testy izolacji klientów, kontrolę stylu i kontrolę typów.

Środki planowane

• Ochrona stron publicznych (Wiaderka, hasło linku, formularze) przez mechanizmy rozpoznawania automatycznych nadużyć i ograniczania liczby żądań jest planowana. Do czasu wdrożenia obowiązują limity prób opisane wyżej.

Z3.2Korfi może zmieniać środki opisane w tym załączniku, o ile nie obniża ogólnego poziomu ochrony.