# Załącznik DPA B — środki techniczne i organizacyjne

**Usługodawca / Operator:** Brillnet Piotr Adamski, ul. Henryka Sienkiewicza 73/6, 90-057 Łódź, Polska, NIP 7321779060, REGON 101551294
**Kontakt usługowy:** [kontakt@wm-admin.pl](mailto:kontakt@wm-admin.pl)
**Kontakt w sprawach prywatności i naruszeń:** [privacy@brillnet-app.com](mailto:privacy@brillnet-app.com)
**Serwis:** [https://wm-admin.pl/](https://wm-admin.pl/)
**Wersja:** `2026-10-12-beta.2`


## 1. Architektura i izolacja

1. Każda Wspólnota ma wydzielony prywatny tenant Worker, bazę D1 skonfigurowaną dla UE, prywatny logiczny i kryptograficzny zakres R2 skonfigurowany dla UE oraz Durable Object z jurysdykcją UE.
2. Control plane przechowuje tożsamość, członkostwo, rozliczenia i routing, ale nie przechowuje treści biznesowej Wspólnoty.
3. Komunikacja z tenantem odbywa się przez Service Bindings; publiczny dostęp bez kontekstu tenantowego i autoryzacji jest odrzucany.
4. Izolacja jest egzekwowana po stronie serwera, nie tylko przez ukrycie elementów interfejsu.

## 2. Szyfrowanie i transmisja

- transmisja przez HTTPS/TLS;
- szyfrowanie danych trwałych zapewniane przez warstwę Cloudflare;
- prywatne zasoby R2 bez publicznych bucketów;
- sekrety poza kodem źródłowym, przez mechanizmy sekretów środowiska;
- podpisane webhooki i weryfikacja pochodzenia dla integracji.

## 3. Tożsamość i dostęp

1. Indywidualne konta, bez kont współdzielonych.
2. Sesje w bezpiecznych cookies z prefiksem `wm-admin`, kontrolą pochodzenia i ochroną CSRF.
3. TOTP MFA obowiązkowe dla administracji, księgowości i zarządu; dostępne dla pozostałych ról.
4. Role i uprawnienia kontrolowane osobno dla każdej Wspólnoty; zasada najmniejszego dostępu.
5. Ochrona Turnstile dla rejestracji i logowania.
6. Dostęp wsparcia: na podstawie zgłoszenia, ograniczony zakresem, domyślnie maksymalnie 60 minut i audytowany. Dostęp break-glass: maksymalnie 30 minut, uzasadnienie i dodatkowa akceptacja, z następczym przeglądem.

## 4. Audyt i obserwowalność

1. Operacje wrażliwe są zapisywane w append-only audit logu z aktorem, czasem, tenantem, typem operacji i identyfikatorem korelacyjnym.
2. Log nie powinien zawierać haseł, tokenów, pełnej treści dokumentów ani pól formularzy.
3. Logi bezpieczeństwa są utrzymywane co najmniej 12 miesięcy, a standardowe logi operacyjne co do zasady 90 dni, o ile incydent albo obowiązek prawny nie wymaga dłużej.
4. Produkcyjne trace jest domyślnie wyłączone; czasowa diagnostyka jest minimalizowana i nie przekracza 1% próbkowania.

## 5. Kopie i ciągłość

1. Codzienny logiczny backup D1 do R2 z konfiguracją UE i 90-dniową blokadą obiektu.
2. D1 Time Travel – okno 30 dni.
3. Cele po formalnym uruchomieniu: RPO 24 h, RTO 24 h.
4. Test odtworzeniowy co najmniej kwartalnie po aktywacji produkcyjnego data plane.
5. Kopie znajdują się w tym samym koncie Cloudflare; ryzyko wspólnego dostawcy jest jawnie ujęte w ocenie ciągłości.

## 6. Bezpieczny cykl wytwarzania

- przegląd zmian i testy automatyczne;
- rozdzielenie środowisk oraz sekretów;
- zależności skanowane i aktualizowane według ryzyka;
- testy izolacji tenantów i autoryzacji jako bramka wydania;
- fail-closed dla publicznej rejestracji, danych rzeczywistych, płatności i integracji do czasu spełnienia bramek;
- zakaz danych produkcyjnych w środowiskach testowych bez kontrolowanej anonimizacji.

## 7. Zarządzanie incydentami

1. Kanał zgłoszeń, klasyfikacja, containment, zachowanie dowodów, analiza przyczyny, naprawa i post-mortem.
2. Brillnet zawiadamia Klienta bez zbędnej zwłoki po powzięciu wiadomości o naruszeniu Danych Klienta. Wewnętrznym celem jest pierwsze użyteczne zawiadomienie do 24 godzin; cel nie uzasadnia oczekiwania, jeśli wcześniejsza informacja jest już dostępna. Informacje przekazujemy etapami, bez oczekiwania na pełne potwierdzenie wszystkich okoliczności.
3. Ćwiczenie procedury co najmniej raz w roku po formalnym uruchomieniu.

## 8. Minimalizacja i prywatność

1. Brak zewnętrznego śledzenia landing page.
2. Brak tenantowych danych w `localStorage`, `IndexedDB`, Cache API i kolejkach offline.
3. Brak generatywnej AI i brak trenowania modeli na Danych Klienta.
4. E-mail zapasowy przez Resend ograniczony do minimalnych wiadomości transakcyjnych, bez dokumentów tenantowych i z wyłączonym śledzeniem otwarć/kliknięć.

## 9. Personel i dostawcy

Osoby z dostępem są związane poufnością, szkolone i podlegają cyklicznemu przeglądowi uprawnień. Podprocesorzy są oceniani pod kątem bezpieczeństwa, prywatności, lokalizacji i ciągłości; zmiany podlegają procedurze z DPA.

## 10. Przeglądy

Środki są przeglądane co najmniej raz w roku oraz po istotnym incydencie, zmianie architektury albo wymaganiach prawa. Zmiana TOM nie może obniżyć ogólnego poziomu ochrony w okresie Umowy.

## Gotowość w zakresie KSC/NIS2

Gotowość do KSC/NIS2 opieramy na środkach bezpieczeństwa, kontroli dostawców i obsłudze incydentów właściwych dla WM Administrator. Zakres ustawowych obowiązków kwalifikujemy dla konkretnego podmiotu, sektora, usługi, wielkości i wyjątków. Rozdzielamy obowiązki Operatora, Klienta i zobowiązania umowne. Na uzasadnione żądanie udostępniamy właściwe informacje w zakresie Usługi z ochroną poufności. Użycie WM Administrator samo nie zapewnia klientowi zgodności, wpisu do wykazu ani certyfikacji.


> Dane kontaktowe i domeny w tej prezentacji zaktualizowano 2026-09-08. Oryginał dokumentu i wcześniejsze akceptacje pozostają niezmienione.