Bezpieczeństwo w DPP Host
Ostatni przegląd: 30 września 2026 r.
DPP Host prowadzi duńska spółka Qubites ApS. Na tej stronie opisujemy, jak chronimy paszporty i dane klientów, oraz podajemy nasz status dla każdego zabezpieczenia normy ISO/IEC 27002:2022.
Stan obecny
DPP Host nie ma certyfikatu ISO/IEC 27001.
Samodzielnie oceniliśmy nasze środki ochrony względem 93 zabezpieczeń normy ISO/IEC 27002:2022, a wynik przejrzeliśmy 30 września 2026 r. Żaden audytor go nie sprawdzał. Poniżej podajemy wszystkie zabezpieczenia wraz z ich statusem.
- 28 Wdrożone Działa już dziś i możemy to wykazać.
- 53 Częściowo wdrożone Działa częściowo. Pozostała część jest opisana i ma osobę odpowiedzialną.
- 7 Zaplanowane Ma osobę odpowiedzialną i określony warunek wdrożenia. Na razie nic nie działa.
- 5 Nie dotyczy Nie dotyczy DPP Host. Uzasadnienie jest udokumentowane.
Co robimy
Gdzie są Twoje dane
Baza danych, system logowania i funkcje serwerowe działają we Frankfurcie (UE). Opublikowane paszporty, obrazy i pliki od dostawców są przechowywane w Cloudflare R2 z ograniczeniem do jurysdykcji UE. Część danych jest przetwarzana poza UE. Na przykład Cloudflare dostarcza strony z centrum danych najbliższego odwiedzającemu, Resend przechowuje kopie wysyłanych przez nas wiadomości e-mail przez 30 dni w Stanach Zjednoczonych, a połączenia aplikacji AI są zapisywane w usłudze Cloudflare Workers KV, która nie jest ograniczona do UE.
Kto co widzi
Każda tabela bazy danych ma reguły dostępu na poziomie wierszy. Członkowie jednej organizacji nie mogą odczytać danych innej. Klucz publiczny używany przez stronę internetową nie pozwala odczytać ani zapisać danych w żadnej tabeli. Dane usług dla właścicieli są przechowywane oddzielnie od paszportów i nigdy nie trafiają do kopii publicznych.
Publikacja zawsze z udziałem człowieka
Asystent AI lub integracja mogą przygotować paszport. Zatwierdza go osoba z Twojej organizacji po ponownym zalogowaniu się. Samodzielnie publikować może tylko klucz API, któremu administrator nadał uprawnienie do publikowania.
Klucze API
Klucze API są pokazywane tylko raz i przechowywane wyłącznie jako skróty obliczone z kluczem. Wygasają, można je rotować z okresem przejściowym i przestają działać, gdy osoba, która je utworzyła, opuści organizację.
Podczas przesyłania i przechowywania
Wszystkie połączenia są szyfrowane protokołem TLS z HSTS. Strona, panel i strony paszportów wysyłają nagłówek Content Security Policy. Przechowywane dane szyfrują nasi dostawcy.
Kopie zapasowe i ciągłość działania
Opublikowane paszporty są udostępniane ze statycznej kopii, która działa także wtedy, gdy panel lub baza danych są niedostępne. Każdy opublikowany paszport jest co noc kopiowany do osobnego zasobnika w UE. Naszym celem jest przywrócenie opublikowanych paszportów w ciągu 8 godzin, przy utracie danych z najwyżej 24 godzin. Opublikowane paszporty pozostają online przez 10–15 lat od publikacji, a pisemny plan wygaszenia działalności określa, jak pozostaną online, jeśli DPP Host zakończy działalność.
Integralność
Każda opublikowana wersja ma hash treści opatrzony niezależnym znacznikiem czasu. Każdy może sprawdzić, że nie została zmieniona.
Incydenty
Mamy pisemną procedurę postępowania w razie incydentów i naruszeń ochrony danych. Obejmuje ona obowiązek zgłoszenia naruszenia w ciągu 72 godzin wynikający z RODO oraz mechanizm zgłaszania i działania przewidziany w akcie o usługach cyfrowych.
Wykaz 93 zabezpieczeń
Zabezpieczenia normy ISO/IEC 27002:2022 (łącznie 93) są podzielone na cztery grupy. Każdy wiersz podaje numer zabezpieczenia, jego tytuł w normie i nasz status na dzień 30 września 2026 r. Co dokładnie robimy w ramach każdego zabezpieczenia i gdzie, pozostaje informacją wewnętrzną; udostępniamy ją po zawarciu umowy o zachowaniu poufności (NDA).
5 Zabezpieczenia organizacyjne
Zabezpieczenia: 37. Wdrożone – 14, częściowo wdrożone – 21, zaplanowane – 2, nie dotyczy – 0.
| Nr | Zabezpieczenie | Status |
|---|---|---|
| 5.1 | Polityki bezpieczeństwa informacji | Częściowo wdrożone |
| 5.2 | Role i zakresy odpowiedzialności | Wdrożone |
| 5.3 | Rozdzielenie obowiązków | Częściowo wdrożone |
| 5.4 | Odpowiedzialność kierownictwa | Wdrożone |
| 5.5 | Kontakt z organami władzy | Częściowo wdrożone |
| 5.6 | Kontakt z grupami szczególnych zainteresowań | Częściowo wdrożone |
| 5.7 | Analiza informacji o zagrożeniach | Częściowo wdrożone |
| 5.8 | Bezpieczeństwo informacji w zarządzaniu projektami | Wdrożone |
| 5.9 | Inwentaryzacja informacji i innych powiązanych aktywów | Wdrożone |
| 5.10 | Dopuszczalne użycie informacji i innych powiązanych aktywów | Wdrożone |
| 5.11 | Zwrot aktywów | Zaplanowane |
| 5.12 | Klasyfikacja informacji | Wdrożone |
| 5.13 | Oznaczanie informacji | Częściowo wdrożone |
| 5.14 | Przekazywanie informacji | Wdrożone |
| 5.15 | Kontrola dostępu | Wdrożone |
| 5.16 | Zarządzanie tożsamością | Wdrożone |
| 5.17 | Informacje uwierzytelniające | Częściowo wdrożone |
| 5.18 | Prawa dostępu | Częściowo wdrożone |
| 5.19 | Bezpieczeństwo informacji w relacjach z dostawcami | Częściowo wdrożone |
| 5.20 | Uwzględnianie bezpieczeństwa informacji w umowach z dostawcami | Częściowo wdrożone |
| 5.21 | Zarządzanie bezpieczeństwem informacji w łańcuchu dostaw ICT | Częściowo wdrożone |
| 5.22 | Monitorowanie, przegląd i zarządzanie zmianami usług dostawców | Częściowo wdrożone |
| 5.23 | Bezpieczeństwo informacji przy korzystaniu z usług chmurowych | Wdrożone |
| 5.24 | Planowanie i przygotowanie zarządzania incydentami | Częściowo wdrożone |
| 5.25 | Ocena zdarzeń związanych z bezpieczeństwem informacji i decyzje w ich sprawie | Wdrożone |
| 5.26 | Reagowanie na incydenty bezpieczeństwa informacji | Częściowo wdrożone |
| 5.27 | Wyciąganie wniosków z incydentów | Wdrożone |
| 5.28 | Gromadzenie dowodów | Częściowo wdrożone |
| 5.29 | Bezpieczeństwo informacji w czasie zakłóceń | Częściowo wdrożone |
| 5.30 | Gotowość ICT na potrzeby ciągłości działania | Częściowo wdrożone |
| 5.31 | Wymagania prawne, ustawowe, regulacyjne i umowne | Częściowo wdrożone |
| 5.32 | Prawa własności intelektualnej | Wdrożone |
| 5.33 | Ochrona zapisów | Częściowo wdrożone |
| 5.34 | Prywatność i ochrona danych osobowych | Częściowo wdrożone |
| 5.35 | Niezależny przegląd bezpieczeństwa informacji | Zaplanowane |
| 5.36 | Zgodność z politykami, zasadami i normami | Częściowo wdrożone |
| 5.37 | Udokumentowane procedury eksploatacyjne | Wdrożone |
6 Zabezpieczenia osobowe
Zabezpieczenia: 8. Wdrożone – 0, częściowo wdrożone – 3, zaplanowane – 5, nie dotyczy – 0.
| Nr | Zabezpieczenie | Status |
|---|---|---|
| 6.1 | Postępowanie sprawdzające | Zaplanowane |
| 6.2 | Warunki zatrudnienia | Zaplanowane |
| 6.3 | Świadomość, kształcenie i szkolenia w zakresie bezpieczeństwa informacji | Częściowo wdrożone |
| 6.4 | Postępowanie dyscyplinarne | Zaplanowane |
| 6.5 | Obowiązki po zakończeniu lub zmianie zatrudnienia | Zaplanowane |
| 6.6 | Umowy o zachowaniu poufności lub nieujawnianiu informacji | Zaplanowane |
| 6.7 | Praca zdalna | Częściowo wdrożone |
| 6.8 | Zgłaszanie zdarzeń związanych z bezpieczeństwem informacji | Częściowo wdrożone |
7 Zabezpieczenia fizyczne
Zabezpieczenia: 14. Wdrożone – 0, częściowo wdrożone – 10, zaplanowane – 0, nie dotyczy – 4.
| Nr | Zabezpieczenie | Status |
|---|---|---|
| 7.1 | Fizyczne granice stref bezpieczeństwa | Częściowo wdrożone |
| 7.2 | Fizyczna kontrola wejścia | Częściowo wdrożone |
| 7.3 | Zabezpieczanie biur, pomieszczeń i obiektów | Częściowo wdrożone |
| 7.4 | Monitorowanie bezpieczeństwa fizycznego | Nie dotyczy |
| 7.5 | Ochrona przed zagrożeniami fizycznymi i środowiskowymi | Częściowo wdrożone |
| 7.6 | Praca w strefach bezpieczeństwa | Nie dotyczy |
| 7.7 | Czyste biurko i czysty ekran | Częściowo wdrożone |
| 7.8 | Rozmieszczenie i ochrona sprzętu | Częściowo wdrożone |
| 7.9 | Bezpieczeństwo aktywów poza siedzibą | Częściowo wdrożone |
| 7.10 | Nośniki danych | Częściowo wdrożone |
| 7.11 | Infrastruktura wspierająca | Nie dotyczy |
| 7.12 | Bezpieczeństwo okablowania | Nie dotyczy |
| 7.13 | Konserwacja sprzętu | Częściowo wdrożone |
| 7.14 | Bezpieczna utylizacja lub ponowne użycie sprzętu | Częściowo wdrożone |
8 Zabezpieczenia technologiczne
Zabezpieczenia: 34. Wdrożone – 14, częściowo wdrożone – 19, zaplanowane – 0, nie dotyczy – 1.
| Nr | Zabezpieczenie | Status |
|---|---|---|
| 8.1 | Urządzenia końcowe użytkowników | Częściowo wdrożone |
| 8.2 | Uprzywilejowane prawa dostępu | Częściowo wdrożone |
| 8.3 | Ograniczenie dostępu do informacji | Wdrożone |
| 8.4 | Dostęp do kodu źródłowego | Częściowo wdrożone |
| 8.5 | Bezpieczne uwierzytelnianie | Częściowo wdrożone |
| 8.6 | Zarządzanie pojemnością | Częściowo wdrożone |
| 8.7 | Ochrona przed złośliwym oprogramowaniem | Częściowo wdrożone |
| 8.8 | Zarządzanie podatnościami technicznymi | Częściowo wdrożone |
| 8.9 | Zarządzanie konfiguracją | Wdrożone |
| 8.10 | Usuwanie informacji | Częściowo wdrożone |
| 8.11 | Maskowanie danych | Wdrożone |
| 8.12 | Zapobieganie wyciekom danych | Częściowo wdrożone |
| 8.13 | Kopie zapasowe informacji | Częściowo wdrożone |
| 8.14 | Nadmiarowość środków przetwarzania informacji | Częściowo wdrożone |
| 8.15 | Rejestrowanie zdarzeń | Częściowo wdrożone |
| 8.16 | Działania monitorujące | Częściowo wdrożone |
| 8.17 | Synchronizacja zegarów | Wdrożone |
| 8.18 | Korzystanie z uprzywilejowanych programów narzędziowych | Częściowo wdrożone |
| 8.19 | Instalowanie oprogramowania w systemach produkcyjnych | Wdrożone |
| 8.20 | Bezpieczeństwo sieci | Częściowo wdrożone |
| 8.21 | Bezpieczeństwo usług sieciowych | Częściowo wdrożone |
| 8.22 | Rozdzielenie sieci | Wdrożone |
| 8.23 | Filtrowanie stron internetowych | Nie dotyczy |
| 8.24 | Stosowanie kryptografii | Częściowo wdrożone |
| 8.25 | Bezpieczny cykl wytwarzania oprogramowania | Wdrożone |
| 8.26 | Wymagania bezpieczeństwa aplikacji | Wdrożone |
| 8.27 | Zasady bezpiecznej architektury i inżynierii systemów | Wdrożone |
| 8.28 | Bezpieczne kodowanie | Wdrożone |
| 8.29 | Testy bezpieczeństwa podczas wytwarzania i odbioru | Wdrożone |
| 8.30 | Wytwarzanie oprogramowania zlecone na zewnątrz | Częściowo wdrożone |
| 8.31 | Rozdzielenie środowisk deweloperskich, testowych i produkcyjnych | Częściowo wdrożone |
| 8.32 | Zarządzanie zmianami | Wdrożone |
| 8.33 | Dane testowe | Wdrożone |
| 8.34 | Ochrona systemów informacyjnych podczas testów audytowych | Wdrożone |
Dostawcy
DPP Host działa w oparciu o usługi tych dostawców. Podajemy certyfikaty, które każdy dostawca wymienia na własnej stronie poświęconej bezpieczeństwu; sprawdziliśmy je 30 września 2026 r. i sprawdzamy ponownie raz w roku. Dotyczą one dostawcy, a nie DPP Host: nasz własny status opisujemy wyżej.
| Dostawca | Zakres usług dla DPP Host | Certyfikaty deklarowane przez dostawcę |
|---|---|---|
| Cloudflare | Sieć brzegowa, Workers, przechowywanie w R2, DNS, przekazywanie poczty e-mail | ISO/IEC 27001, 27701 i 27018; SOC 2 Type II; PCI DSS |
| Supabase | Baza danych, system logowania i funkcje serwerowe we Frankfurcie | ISO/IEC 27001; SOC 2 Type 2; HIPAA |
| GitHub | Kod źródłowy i CI | ISO/IEC 27001; SOC 1 i SOC 2 Type 2 |
| Resend | Wysyłka wiadomości e-mail | SOC 2 Type II |
| Scaleway | Kopie w innej lokalizacji: przygotowane, na razie wyłączone | ISO/IEC 27001; HDS |
Dokumenty i certyfikacja
Pełną deklarację stosowania i nasze polityki udostępniamy na życzenie po zawarciu umowy o zachowaniu poufności (NDA): hello@dpphost.eu.
Certyfikacja: gdy będzie tego wymagać klient lub przepisy UE dotyczące dostawców usług w zakresie cyfrowych paszportów produktów.
Zgłoszenia dotyczące bezpieczeństwa: hello@dpphost.eu. Prywatność: privacy@dpphost.eu. Nie publikujemy gwarancji dostępności.
Statusy według przeglądu z 30 września 2026 r. Ta strona zmienia się przy każdej zmianie deklaracji stosowania.