Bezpieczeństwo

Paczesny Analytics jest z założenia wolny od plików cookie. Tracker analityczny nie ustawia żadnych plików cookie i nie zbiera danych bezpośrednio identyfikujących. Surowy adres IP nie jest przechowywany w ramach danych analityki odwiedzin; odwiedzający są reprezentowani wyłącznie przez codziennie rotowany pseudonimowy identyfikator.

Poniżej znajduje się szczera ocena tego, jak wygląda nasza sytuacja, a nie bezwarunkowa gwarancja zgodności prawnej. To podsumowanie rozumowania opisanego w pełni w naszej wewnętrznej samoocenie dotyczącej ochrony danych w Serwisie.

Zaprojektowaliśmy Paczesny Analytics tak, aby z założenia minimalizować ryzyko prawne, i opisujemy to podejście wprost poniżej, razem z tym, co pozostaje rzeczywiście niepewne.

• Co zaprojektowaliśmy: śledzenie bez plików cookie, które nic nie odczytuje ani nie zapisuje na urządzeniu odwiedzającego poza obsłużeniem żądania strony; pseudonimowe, haszowane identyfikatory odwiedzających zamiast surowego adresu IP; pomiar odwiedzin jednej witryny bez celów reklamowych; podstawę prawną w postaci prawnie uzasadnionego interesu z RODO (art. 6 ust. 1 lit. f); projekt zbliżony w ogólnym kształcie do wyjątków takich jak wytyczne CNIL dotyczące pomiaru odwiedzin (arkusz nr 16).
• Co jest ugruntowane w prawie lub opublikowanych wytycznych: ugruntowanym orzecznictwem jest to, że haszowany lub dynamiczny adres IP stanowi dane osobowe, a nie dane anonimowe (wyrok TSUE w sprawie Breyer). Art. 28 RODO określa nasze obowiązki jako podmiotu przetwarzającego, a art. 82 RODO daje osobom, których dane dotyczą, bezpośrednie roszczenie odszkodowawcze; oba przepisy są ugruntowanym prawem. Arkusz nr 16 CNIL oraz Wytyczne EDPB 2/2023 to opublikowane wytyczne regulatorów: pierwszy dotyczy wyłącznie Francji i ma wąski zakres, drugie tworzą nierozstrzygnięte napięcie z założeniem, że śledzenie bez plików cookie nigdy nie wymaga zgody.
• Co pozostaje otwarte: nie jest przesądzone, czy art. 5 ust. 3 dyrektywy ePrivacy oraz odpowiadające mu przepisy polskiej ustawy Prawo komunikacji elektronicznej (PKE) mają zastosowanie do odczytu adresu IP i klienta użytkownika odwiedzającego na potrzeby analityki bez plików cookie. Nie istnieje żadne rozstrzygnięcie UODO dotyczące analityki bez plików cookie. Niemiecki DSK zajął stanowisko skłaniające się ku wymogowi zgody dla tego rodzaju dostępu do urządzenia. Żaden regulator nie zatwierdził ani nie poparł żadnego konkretnego narzędzia do analityki bez plików cookie, w tym naszego.

Ponieważ te kwestie pozostają otwarte i różnią się w zależności od jurysdykcji, każdy klient sam decyduje, czy jego własne korzystanie z Serwisu wymaga zgody odwiedzających w jurysdykcjach, w których znajdują się jego odwiedzający. Ta strona stanowi informacyjny kontekst, a nie opinię prawną dotyczącą Twoich własnych obowiązków.

Identyfikator odwiedzającego jest wyliczany po stronie serwera jako solony skrót identyfikatora witryny, adresu IP, klienta użytkownika (user agent) oraz soli rotowanej każdego dnia w czasie UTC: sha256(siteId + ip + user-agent + dzienna sól). Ponieważ sól zmienia się codziennie, a dane wejściowe nie są przechowywane, tego samego odwiedzającego nie można powiązać między dniami, a identyfikatora nie można odwrócić do adresu IP.

Ten fragment powtarza dokładny mechanizm liczenia odwiedzających, do którego odwołujemy się w tym dokumencie oraz w Polityce prywatności, tak aby brzmiał identycznie wszędzie tam, gdzie się pojawia.

Identyfikator odwiedzającego to skrót wyliczany po stronie serwera z identyfikatora witryny, adresu IP, klienta użytkownika (user agent) oraz codziennie rotowanej soli: sha256(siteId + ip + user-agent + dzienna sól).

• Sól rotuje co 24 godziny, w granicach dnia UTC.
• Surowy adres IP nigdy nie jest przechowywany w ramach danych analityki odwiedzin; identyfikatora nie można odwrócić ani powiązać między dniami.
• Retencja: surowe zdarzenia są przechowywane przez 30 dni, a następnie pozostają wyłącznie dane zagregowane.
• Hosting: wyłącznie UE, na Oracle Cloud Infrastructure w regionie eu-amsterdam-1 (Amsterdam), bez przekazywania danych poza UE/EOG.

Każde połączenie z usługą (panel, punkt zbierania zdarzeń oraz API) jest obsługiwane wyłącznie przez TLS. Nieszyfrowany HTTP jest przekierowywany na HTTPS.

Wrażliwe dane uwierzytelniające są szyfrowane w spoczynku. Tokeny odświeżania OAuth Google są przechowywane z użyciem uwierzytelnionego szyfrowania AES-256-GCM, a magazyn bazy danych jest chroniony na poziomie infrastruktury.

Usługa działa na samodzielnie hostowanej infrastrukturze na Oracle Cloud Infrastructure pod naszą bezpośrednią kontrolą, w regionie Amsterdam w Holandii (eu-amsterdam-1), w obszarze UE/EOG. Nie przekazujemy Twoich danych zewnętrznym, zarządzanym platformom analitycznym.

Dostęp do panelu wymaga uwierzytelnienia, a uwierzytelnianie dwuskładnikowe (MFA) jest dostępne. Dane aplikacji są przypisane do właściciela konta, a kolekcje wrażliwe są dostępne wyłącznie przez administracyjne konta serwisowe na serwerze, nigdy bezpośrednio z przeglądarki.

Surowe dane zdarzeń są przechowywane przez 30 dni, a następnie usuwane przez automatyczny proces retencji; analityka zagregowana jest przechowywana do czasu usunięcia witryny lub konta. Dziennik dostarczania alertów jest przechowywany przez 90 dni. Zapisy akceptacji dokumentów prawnych są przechowywane tak długo, jak jest to niezbędne do wykazania tej akceptacji (art. 17 ust. 3 lit. b RODO).

W przypadku naruszenia ochrony danych osobowych powiadamiamy dotkniętych klientów bez zbędnej zwłoki i w ciągu 72 godzin od stwierdzenia naruszenia, zgodnie z naszą Umową Powierzenia Przetwarzania Danych Osobowych. Zgłoszenia naruszeń i kwestie bezpieczeństwa można kierować na adres bartek@paczesny.pl.

Jeśli odkryjesz lukę w zabezpieczeniach, zgłoś ją na adres bartek@paczesny.pl i daj nam rozsądny czas na jej usunięcie przed jakimkolwiek publicznym ujawnieniem. Dążymy do potwierdzenia zgłoszeń w ciągu pięciu dni roboczych.

Nasz aktualny status certyfikacji opisano poniżej.

Nie posiadamy aktualnie certyfikatów SOC 2 ani ISO 27001. Certyfikacje te wymagają znacznych, stałych nakładów; wrócimy do nich, gdy będą wymagane przez kontrakty enterprise. Nasze podejście do bezpieczeństwa jest opisane w całości na tej stronie.

Korzystamy z ograniczonego zestawu podmiotów podprzetwarzających i nakładamy na każdy z nich obowiązki w zakresie ochrony danych. Aktualna lista, z celami i lokalizacjami, jest opublikowana pod adresem /sub-processors.

Tracker analityczny nie używa plików cookie. Jedynym plikiem cookie, jaki ustawia usługa, jest techniczny token sesji niezbędny do utrzymania zalogowania w panelu.

Powiązane dokumenty: nasza Polityka prywatności, Regulamin, Umowa Powierzenia Przetwarzania Danych Osobowych oraz lista Podmiotów podprzetwarzających.