Bezpieczeństwo i obsługa incydentów
Ostatnia aktualizacja: 3 października 2026
Ta strona opisuje środki techniczne i organizacyjne, którymi chronimy dane w aplikacji Pointly,
oraz to, jak postępujemy w razie incydentu bezpieczeństwa.
1. Minimalizacja danych
- przechowujemy tylko dane potrzebne do działania funkcji włączonych przez sprzedawcę,
- wybrany punkt odbioru trafia do zamówienia w Shopify, a nie do osobnej bazy klientów,
- dane do przypomnień usuwamy automatycznie najpóźniej 90 dni po ich wykorzystaniu,
- dane sklepu usuwamy od razu po odinstalowaniu aplikacji.
2. Infrastruktura
- aplikacja i baza danych działają na serwerze w centrum danych OVH we Francji (UE),
- aplikacja działa w izolowanym kontenerze i nie jest wystawiona bezpośrednio do internetu, ruch przechodzi przez serwer proxy,
- zapora sieciowa przepuszcza z internetu tylko ruch HTTP/HTTPS i administracyjny SSH; baza danych nie jest publicznie dostępna,
- system operacyjny instaluje aktualizacje bezpieczeństwa automatycznie.
3. Szyfrowanie i uwierzytelnianie
- cała komunikacja z aplikacją odbywa się przez HTTPS (TLS), a ruch HTTP jest przekierowywany na HTTPS,
- żądania z panelu Shopify i z checkoutu są weryfikowane tokenami sesji wydanymi przez Shopify,
- webhooki od Shopify są weryfikowane podpisem HMAC, a żądania bez poprawnego podpisu są odrzucane,
- klucze API i hasła usług zewnętrznych są przechowywane w zmiennych środowiskowych serwera, poza kodem źródłowym i repozytorium.
4. Dostęp
- dostęp do serwera i bazy danych ma wyłącznie dostawca aplikacji,
- dane klientów sklepu przeglądamy tylko wtedy, gdy wymaga tego zgłoszenie wsparcia lub żądanie dotyczące danych osobowych,
- nie udostępniamy danych osobom trzecim poza podprzetwarzającymi wymienionymi w DPA.
5. Obsługa incydentów
- Wykrycie i zgłoszenie. Incydent może wykryć dostawca aplikacji, sprzedawca, Shopify lub osoba z zewnątrz. Zgłoszenia przyjmujemy na support@mateuszoleksy.pl.
- Ograniczenie skutków. Odcinamy źródło problemu, na przykład unieważniamy klucze, blokujemy dostęp lub wyłączamy podatną funkcję.
- Ocena. Ustalamy, czego dotyczyło zdarzenie, których sklepów i jakich danych, oraz czy doszło do naruszenia ochrony danych osobowych.
- Powiadomienie. Sprzedawców, których dotyczy naruszenie, zawiadamiamy bez zbędnej zwłoki, nie później niż w ciągu 48 godzin od stwierdzenia naruszenia. Dzięki temu sprzedawca jako administrator może w ciągu 72 godzin zgłosić naruszenie do Prezesa UODO. Jeśli wymagają tego zasady Shopify, informujemy również Shopify.
- Usunięcie przyczyny i wnioski. Naprawiamy przyczynę, dokumentujemy przebieg incydentu i wprowadzamy zmiany, które zapobiegną jego powtórzeniu.
6. Zgłaszanie podatności
Jeśli znajdziesz podatność w Pointly, napisz na
support@mateuszoleksy.pl z tematem „Bezpieczeństwo”.
Potwierdzimy otrzymanie zgłoszenia i poinformujemy o jego rozwiązaniu. Prosimy nie ujawniać podatności
publicznie, zanim zostanie usunięta.