1. Gdzie przechowywane są dane

Dane systemu TimeGrid — baza danych, pliki aplikacji oraz pliki przesłane przez użytkowników — przechowywane są na serwerze produkcyjnym TimeGrid. Użytkownicy mają dostęp do danych wyłącznie przez aplikację, po zalogowaniu.

Zasady przekazywania danych podmiotom przetwarzającym (w tym dostawcom hostingu) opisuje Polityka prywatności oraz informacja RODO.

2. Kopie zapasowe

• Automatycznie, codziennie — kopię zapasową wykonuje zaplanowane zadanie systemowe (timer systemd) każdej nocy o godzinie 03:00.
• Zakres — kopia obejmuje zrzut bazy danych, pliki aplikacji oraz wolumen z plikami przechowywanymi w systemie.
• Rodzaje kopii — kopie dzienne, kopie miesięczne oraz kopie wykonywane ręcznie (np. przed większymi zmianami).
• Weryfikacja integralności — każda kopia ma sumy kontrolne SHA-256 (plik SHA256SUMS), sprawdzane przy każdym pobraniu kopii.
• Ograniczony dostęp — katalogi z kopiami są dostępne wyłącznie dla administratora serwera (uprawnienia 700).

3. Szyfrowanie

• Transmisja — komunikacja z systemem odbywa się przez szyfrowane połączenie HTTPS (TLS).
• Hasła — hasła użytkowników przechowywane są wyłącznie w postaci skrótu (algorytm bcrypt), nigdy jawnym tekstem. Nie znamy haseł naszych użytkowników.
• Sesje — ciasteczko sesji jest niedostępne dla skryptów strony (HttpOnly).

4. Kontrola dostępu

• Role użytkowników — zakres dostępu do danych wynika z roli w systemie (właściciel/administrator, kierownik, pracownik).
• Ochrona logowania — liczba prób logowania jest ograniczona (limit prób na adres e-mail i na adres IP), co utrudnia odgadywanie haseł.
• Ochrona rejestracji — formularz zakładania konta chroniony jest mechanizmem hCaptcha.
• Dane produkcyjne poza produkcją — jeżeli kopia bazy jest potrzebna do diagnozy błędu, przed użyciem w środowisku testowym jest anonimizowana (imiona, nazwiska, adresy e-mail, telefony, PIN-y i inne dane identyfikujące są zastępowane).

5. RODO i powierzenie danych

Zasady przetwarzania danych osobowych, podstawy prawne, okresy przechowywania i prawa osób, których dane dotyczą, opisują:

• Informacja RODO,
• Polityka prywatności,
• Regulamin.

W sprawie umowy powierzenia przetwarzania danych osobowych (art. 28 RODO) prosimy o kontakt: kontakt@timegrid.pl.

6. Ciągłość działania i odtwarzanie

W razie awarii dane odtwarzane są z kopii zapasowych opisanych w punkcie 2. Przed odtworzeniem integralność kopii jest sprawdzana sumami kontrolnymi SHA-256. Procedurę pobrania i wgrania kopii bazy danych stosujemy w praktyce przy pracy w środowisku testowym (na danych zanonimizowanych), więc jest ona sprawdzona w działaniu.

7. Kontakt w sprawie bezpieczeństwa

Jeżeli zauważysz podatność, podejrzewasz incydent bezpieczeństwa lub masz pytania dotyczące ochrony danych w TimeGrid, napisz na kontakt@timegrid.pl (w temacie: „Bezpieczeństwo”). Prosimy o niepublikowanie informacji o podatności do czasu jej usunięcia.