1. Informacje ogólne
Niniejsza Polityka prywatności ("Polityka") określa zasady przetwarzania danych osobowych w związku z korzystaniem z platformy shieldu.pl - SaaS do zarządzania BHP i cyberbezpieczeństwem dla firm.
Dokument spełnia obowiązek informacyjny wynikający z art. 13 i 14 RODO (Rozporządzenie Parlamentu Europejskiego i Rady UE 2016/679 z 27.04.2016 r.).
2. Administrator danych osobowych
Administratorem danych osobowych jest:
shieldu.pl Sp. z o.o.
ul. [adres siedziby do uzupełnienia]
00-000 [miasto]
NIP: [do uzupełnienia]
KRS: [do uzupełnienia]
Email: privacy@shieldu.pl
3. Charakter systemu shieldu.pl
shieldu.pl jest platformą SaaS wspierającą procesy bezpieczeństwa i higieny pracy (BHP) oraz cyberbezpieczeństwa. Udostępniamy ją Klientom (firmom MSP, agencjom BHP) na podstawie zawartej umowy (subskrypcji).
W zakresie danych osobowych przetwarzanych w systemie:
- Klient (Twoja firma) jest administratorem danych osobowych swoich pracowników, współpracowników i klientów.
- shieldu.pl Sp. z o.o. działa jako podmiot przetwarzający (Procesor) na podstawie Umowy Powierzenia Przetwarzania Danych (DPA).
4. Zakres przetwarzanych danych
W systemie shieldu.pl mogą być przetwarzane następujące kategorie danych osobowych:
Dane zwykłe (art. 6 RODO)
- Imię i nazwisko, służbowy email, numer telefonu
- Stanowisko, dział, data zatrudnienia, koniec umowy
- Historia logowań, IP, User-Agent
- Wyniki testów phishingowych (NIS2 awareness)
- Postępy w kursach BHP, certyfikaty
Dane szczególnej kategorii (art. 9 RODO - wrażliwe)
- Dane o stanie zdrowia (orzeczenia lekarskie z medycyny pracy)
- Informacje o niepełnosprawności
- Opisy obrażeń w protokołach powypadkowych
- Dane o niezdolności do pracy (zwolnienia >30 dni)
5. Cele i podstawy prawne przetwarzania
Dane osobowe przetwarzane są w celu:
- Świadczenia usług platformy (zarządzanie BHP, szkolenia, ORZ, cybersecurity)
- Realizacji obowiązków prawnych klienta wynikających z Kodeksu Pracy i przepisów BHP
- Zapewnienia bezpieczeństwa systemu i danych (audit log, monitoring incydentów)
- Wystawiania faktur VAT, obsługi reklamacji
- Komunikacji marketingowej (tylko za zgodą)
Podstawy prawne (RODO):
- Art. 6 ust. 1 lit. b - wykonanie umowy (subskrypcja shieldu.pl)
- Art. 6 ust. 1 lit. c - obowiązek prawny (Kodeks Pracy, RODO)
- Art. 6 ust. 1 lit. f - prawnie uzasadniony interes (bezpieczeństwo, marketing własny)
- Art. 9 ust. 2 lit. b - obowiązki w dziedzinie prawa pracy (dane medyczne)
6. Odbiorcy danych
Twoje dane mogą być przekazywane następującym kategoriom odbiorców:
- Upoważnieni pracownicy shieldu.pl - wyłącznie w zakresie support'u
- Podmioty IT/hosting:
- Vercel Inc. (USA, DPF certified) - hosting aplikacji
- Neon, Inc. (USA, DPF certified) lub Hetzner (Niemcy) - baza danych PostgreSQL
- Anthropic PBC (USA) - Claude AI (tylko po pseudonimizacji)
- Resend (USA, DPF certified) - wysyłka emaili transakcyjnych
- Upstash Inc. (USA) - Redis cache, rate limiting
- Organy publiczne - tylko gdy wymaga tego prawo (PIP, ZUS, PUODO, sąd)
- Następca prawny w przypadku reorganizacji firmy (DPA przeniesione)
7. Okresy przechowywania danych
Okresy retencji zależą od typu danych:
| Typ danych | Okres przechowywania | Podstawa |
|---|---|---|
| Akta osobowe pracownika | 10 lat od zakończenia stosunku pracy | Art. 94 § 9b KP |
| Protokoły powypadkowe (Z-KW) | 10 lat (obowiazkowe) | Rozp. RM 1.07.2009 |
| Rejestr czynników rakotwórczych | 40 lat po ustaniu narażenia | Rozp. MZ 24.07.2012 |
| Orzeczenia lekarskie | okres zatrudnienia + 10 lat | Art. 229 KP |
| Dane konta SaaS (user) | przez okres umowy + 1 rok | Umowa subskrypcji |
| Faktury VAT | 5 lat (licząc od końca roku) | Ustawa o rachunkowości |
| Logi audit (dostęp do danych) | 3 lata | Art. 32 RODO |
| Logi kampanii phishingowych | 2 lata (anonimizacja po 12 mies.) | Polityka shieldu |
| Cookie analityczne | 13 miesięcy | RODO + GDPR guidelines |
8. Twoje prawa
Osobom, których dane są przetwarzane, przysługują następujące prawa (RODO art. 15-22):
- Dostępu do danych (art. 15)
- Sprostowania nieprawidłowych danych (art. 16)
- Usunięcia ("bycia zapomnianym") - z wyjątkami ustawowymi (art. 17)
- Ograniczenia przetwarzania (art. 18)
- Przenoszenia danych (art. 20) - eksport JSON/CSV
- Sprzeciwu wobec przetwarzania na podstawie uzasadnionego interesu (art. 21)
- Wniesienia skargi do PUODO (uodo.gov.pl)
Aby skorzystać z praw, napisz na privacy@shieldu.pl. Odpowiemy w ciągu 30 dni.
9. Bezpieczeństwo danych
Stosujemy następujące środki techniczne i organizacyjne:
- Szyfrowanie w spoczynku: AES-256 (pełna baza), AES-256-GCM (dane wrażliwe na poziomie aplikacji)
- Szyfrowanie w transmisji: TLS 1.3, HSTS, certyfikaty Let's Encrypt
- Hashowanie haseł: bcrypt (12 rund)
- Audit log: niezmienialna tabela logów dostępu do danych wrażliwych (kto, kiedy, co)
- Multi-tenant izolacja: filtrowanie companyId na każdym zapytaniu Prisma
- Rate limiting: chroni przed brute-force, scraping
- Phishing isolation: 4 osobne domeny email (transakcyjne / notyfikacje / marketing / phishing-sim)
- Backupy: dzienne snapshot bazy + retention 30 dni
- Pen-testy: co 6 miesięcy (zewnętrzny audytor)
- Lokalizacja serwerów: EOG (Frankfurt EU lub Niemcy/Polska)
11. Kampanie phishingowe (NIS2)
Klienci shieldu.pl mogą uruchamiać symulowane kampanie phishingowe dla swoich pracowników. To jest wymóg NIS2 (Dyrektywa UE 2022/2555) dla firm średnich i dużych.
Co przetwarzamy:
- Email pracownika (target listy)
- Fakt kliknięcia w link (data + IP + User-Agent)
- Fakt wpisania danych w fake-form (NIE zapisujemy treści!)
12. Wykorzystanie AI (Claude Sonnet 4.5)
shieldu.pl używa AI (Claude Sonnet 4.5 od Anthropic PBC) do:
- Sugerowania ocen ryzyka (ORZ) - na bazie 22 zagrożeń PIP
- Skanowania kart SDS substancji
- Ekstrakcji kolorów z logo firmy
- Analizy treści szkoleń
Dane wysyłane do Anthropic są pseudonimizowane (bez imienia/nazwiska/adresu). Anthropic posiada DPF certification.
13. Dyrektywa Sygnalistów (>50 pracowników)
Dla klientów zatrudniających 50+ pracowników shieldu.pl udostępnia anonimowy moduł zgłoszeń (SMS - Safety Management System) zgodny z Ustawą o ochronie sygnalistów (Ustawa z 14.06.2024).
Procedura:
- Pracownik zgłasza anonimowo (bez powiązania z kontem)
- System automatycznie odlicza 7 dni do potwierdzenia przyjęcia zgłoszenia
- System automatycznie odlicza 3 miesiące do informacji zwrotnej
- Komunikacja przez token w localStorage - bez logowania
- Manager BHP widzi tylko tresc, NIE może deanonimizować
14. Zmiany Polityki
Zastrzegamy prawo do wprowadzania zmian w Polityce. Materialne zmiany ogłosimy z 30-dniowym wyprzedzeniem na stronie i emailem do zarejestrowanych Klientów.
Aktualna wersja jest zawsze dostępna pod adresem shieldu.pl/polityka-prywatnosci.
15. Kontakt
Pytania dotyczące przetwarzania danych:
Inspektor Ochrony Danych (IOD)
Email: privacy@shieldu.pl
Czas odpowiedzi: 30 dni (RODO)
Jeśli uważasz że Twoje prawa zostały naruszone, możesz złożyć skargę do Urzędu Ochrony Danych Osobowych (UODO).