Karta bezpieczeństwa

1. Architektura i lokalizacja danych

• Dane przechowywane są w bazie PostgreSQL prowadzonej przez Supabase Inc. w regionie Unii Europejskiej (Irlandia).
• Pliki (zdjęcia z realizacji, logo firm, dokumenty) trafiają do prywatnych zasobników — dostęp wyłącznie przez odnośniki podpisane, wygasające po określonym czasie. Nie istnieje publiczny adres URL do pliku klienta.
• Aplikacja webowa hostowana jest na Firebase Hosting (Google Ireland Ltd.).
• Cała komunikacja szyfrowana jest protokołem TLS. Aplikacja nie akceptuje połączeń nieszyfrowanych.

2. Rozdzielenie danych między firmami

Kluczowy mechanizm bezpieczeństwa HVACDesk. Rozdzielenie danych poszczególnych firm nie opiera się na logice aplikacji, lecz jest wymuszone na poziomie bazy danych przez mechanizm Row Level Security PostgreSQL.

Oznacza to, że zapytanie o dane innej firmy nie zwróci ich nawet wtedy, gdyby błąd w kodzie aplikacji albo bezpośrednie odpytanie API o takie dane poprosiło. Przynależność do firmy ustalana jest po stronie serwera na podstawie tożsamości zalogowanego użytkownika i nie da się jej podać z zewnątrz.

Operacje wrażliwe — zakładanie firmy, dołączanie kodem zaproszenia, rozliczanie magazynu, usuwanie konta — wykonywane są przez funkcje serwerowe walidujące uprawnienia, a nie przez zapytania konstruowane w aplikacji klienckiej.

3. Uwierzytelnianie i kontrola dostępu

• Logowanie kontem Google (OAuth 2.0) — nie przechowujemy haseł użytkowników.
• Role w ramach firmy: administrator, operator, serwisant — z odrębnymi zakresami dostępu.
• Dołączenie do firmy wymaga kodu zaproszenia weryfikowanego po stronie serwera; kod można w każdej chwili zmienić.
• Dostęp administracyjny do infrastruktury produkcyjnej ograniczony jest do właściciela usługi i zabezpieczony uwierzytelnianiem dwuskładnikowym.

4. Kopie zapasowe i ciągłość działania

• Automatyczne kopie zapasowe bazy danych wykonywane codziennie przez dostawcę infrastruktury (Supabase).
• Kopie przechowywane są w tym samym regionie UE co dane produkcyjne.
• Aplikacja działa w trybie offline — brak łączności z serwerem nie zatrzymuje pracy w terenie, a dane utworzone bez zasięgu synchronizują się po odzyskaniu połączenia.

5. Reagowanie na naruszenia

• Naruszenie ochrony danych zgłaszamy firmie, której dane dotyczą, w ciągu 24 godzin od stwierdzenia — zgodnie z Umową powierzenia §6.
• Zgłoszenie zawiera charakter naruszenia, zakres danych, możliwe konsekwencje i podjęte środki.
• Kanał zgłaszania podatności: kontakt@hvacdesk.pl. Zgłoszenia w dobrej wierze przyjmujemy bez konsekwencji prawnych dla zgłaszającego.

6. Bezpieczeństwo w cyklu wytwarzania

• Zmiany w schemacie bazy danych i politykach dostępu wprowadzane są wyłącznie wersjonowanymi migracjami, przechowywanymi w repozytorium wraz z uzasadnieniem.
• Zestaw testów automatycznych uruchamiany jest przed każdym wdrożeniem.
• Zależności zewnętrzne utrzymywane są w aktualnych wersjach.

7. Sztuczna inteligencja w aplikacji

Jedyną funkcją korzystającą z zewnętrznego modelu AI jest rozpoznawanie danych urządzenia ze zdjęcia tabliczki znamionowej. Zdjęcie trafia wtedy do Google Gemini API i nie jest wykorzystywane do trenowania modeli. Funkcja jest opcjonalna — dane urządzenia można wpisać ręcznie.

Wariant offline rozpoznawania tekstu działa w całości na urządzeniu i nie wysyła nigdzie żadnych danych. Żadne dane osobowe klientów, treści protokołów ani dokumenty nie są przekazywane do modeli AI.

8. Status wobec dyrektywy NIS2

Piszemy o tym wprost, bo pytanie pada coraz częściej.

HVACDesk jest usługą świadczoną przez mikroprzedsiębiorcę. Obowiązki wynikające z dyrektywy NIS2 dotyczą podmiotów średnich i dużych, więc Usługodawca nie jest podmiotem objętym NIS2 i nie podlega obowiązkom rejestracyjnym ani sprawozdawczym z niej wynikającym. Nie twierdzimy, że jest inaczej — deklaracja „zgodności z NIS2" ze strony podmiotu nieobjętego dyrektywą byłaby wprowadzaniem w błąd.

Ma to jednak znaczenie praktyczne dla naszych Klientów: NIS2 nakłada na podmioty objęte dyrektywą obowiązek zarządzania ryzykiem w łańcuchu dostaw, w tym weryfikacji dostawców rozwiązań informatycznych. Jeżeli Twoja firma serwisuje obiekty należące do podmiotów objętych NIS2, ich dział bezpieczeństwa może pytać o narzędzia, w których prowadzona jest dokumentacja serwisowa.

Niniejsza Karta bezpieczeństwa wraz z Umową powierzenia stanowi komplet dokumentacji dostawcy do przedstawienia w takiej weryfikacji. Na dodatkowe pytania kontrahenta odpowiadamy — napisz na kontakt@hvacdesk.pl.

9. Co należy do Was

Część odpowiedzialności leży po stronie firmy korzystającej z aplikacji i nie da się jej przenieść na dostawcę:

• zabezpieczenie służbowych telefonów kodem PIN lub biometrią;
• wylogowanie z urządzeń współdzielonych;
• odbieranie dostępu osobom, które przestały pracować w firmie (usunięcie profilu w Ustawieniach firmy);
• zmiana kodu zaproszenia, gdy mógł trafić do niepowołanych osób;
• wypełnienie obowiązku informacyjnego wobec własnych klientów końcowych, których dane wprowadzacie do aplikacji.