RODO i umowa powierzenia — informacje dla IOD

1Wprowadzenie

Wdrożenie programu w urzędzie rodzi pytania o role w rozumieniu RODO: kto jest administratorem danych, czy potrzebna jest umowa powierzenia przetwarzania i jakie obowiązki ma każda ze stron. W przypadku TRIDOT odpowiedzi wynikają bezpośrednio z budowy programu.

TRIDOT jest programem instalowanym na komputerach urzędu i działa wyłącznie lokalnie. Nie łączy się z internetem i nie przekazuje nam żadnych danych. Ta cecha przesądza o podziale ról.

2Najważniejsza informacja

Urząd korzystający z programu jest jedynym administratorem danych wprowadzanych do TRIDOT.

3Jak program chroni dane przed przekazaniem na zewnątrz

1. Program działa wyłącznie offline: nie łączy się z internetem, a blokada połączeń nie zależy od ustawień użytkownika ani od stanu licencji.
2. Mapa, wyszukiwanie adresów i wyznaczanie tras działają na danych zainstalowanych na komputerze. Wyszukiwane adresy i miejsca zdarzeń nie trafiają do żadnej zewnętrznej usługi.
3. Program nie zawiera telemetrii, nie wysyła raportów błędów ani zawartości projektów i nie korzysta z kamery, mikrofonu ani lokalizacji.
4. Licencja jest plikiem weryfikowanym lokalnie — bez rejestracji i aktywacji przez internet.

4Podział ról — przegląd

Poniżej zestawiono, jakie dane przetwarza każda ze stron i w jakiej roli:

W zakresie danych wprowadzanych do programu między dostawcą a urzędem nie ma relacji powierzenia przetwarzania.

5Gdzie znajdują się dane — informacje dla IOD

Dane osobowe mogą znaleźć się w szczególności w opisach incydentów, danych kontaktowych obiektów i zasobów, danych użytkownika programu oraz w dzienniku zmian. Wszystkie te dane są zapisywane wyłącznie na sprzęcie urzędu:

1. w plikach projektów w folderze wskazanym przez urząd (wraz z dziennikiem zmian),
2. w profilu użytkownika Windows — bieżące dane robocze, autozapis i kopie poprzednich wersji projektu,
3. w folderze kopii zapasowych, jeśli urząd go wskaże,
4. w raportach, wydrukach i plikach eksportu zapisanych przez użytkownika.

Program pozwala usunąć dane lokalne z profilu użytkownika jednym poleceniem. O plikach projektów, kopiach i eksportach decyduje urząd zgodnie z własną procedurą. Program nie szyfruje plików samodzielnie — zalecamy szyfrowanie dysków (BitLocker) i ograniczenie uprawnień do folderów z projektami.

6Dane przetwarzane przez urząd

Urząd korzystający z programu jest jedynym administratorem danych, które do niego wprowadza. Mogą to być m.in.:

1. dane pracowników odpowiedzialnych za zarządzanie kryzysowe (imiona i nazwiska, stanowiska, numery kontaktowe),
2. dane osób kontaktowych podmiotów zewnętrznych, np. służb, organizacji i przedsiębiorców ujętych w planach,
3. informacje o zdarzeniach, w tym dane osób, których zdarzenie dotyczy,
4. dokumentacja ćwiczeń i ich uczestników.

Urząd sam ustala podstawę prawną przetwarzania (najczęściej art. 6 ust. 1 lit. c lub e RODO — wypełnienie obowiązku prawnego albo wykonanie zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej), ujmuje czynności przetwarzania w rejestrze czynności przetwarzania i stosuje odpowiednie środki techniczne i organizacyjne.

7Umowa powierzenia przetwarzania danych

1. Umowa powierzenia przetwarzania danych nie jest wymagana do korzystania z programu TRIDOT, ponieważ nie przetwarzamy danych wprowadzanych do programu.
2. Umowa może być wymagana, jeżeli urząd zleci nam usługę, przy której uzyskamy dostęp do danych osobowych, np. pomoc zdalną z wglądem w projekt, przeniesienie danych lub przygotowanie danych zawierających dane osobowe.
3. Pomocy technicznej udzielamy co do zasady bez dostępu do danych. Prosimy nie przesyłać nam plików projektów, kopii zapasowych ani raportów zawierających dane osobowe. Jeżeli wgląd w dane okaże się konieczny, najpierw zawrzemy umowę powierzenia.
4. W razie wątpliwości, czy w danej sytuacji umowa jest potrzebna, prosimy o kontakt: biuro@tridot.pl. Na życzenie urzędu możemy przyjąć wzór umowy powierzenia stosowany przez urząd.

8Dane przetwarzane przez dostawcę

Jako administrator przetwarzamy wyłącznie dane związane z obsługą handlową i techniczną:

1. dane z formularza kontaktowego i korespondencji e-mail — w celu odpowiedzi na zapytanie, przesłania oferty lub udostępnienia wersji testowej,
2. dane potrzebne do zawarcia i wykonania umowy licencyjnej (dane instytucji i osób ją reprezentujących lub wskazanych do kontaktu),
3. dane ze zgłoszeń do pomocy technicznej i zgłoszeń podatności (treść zgłoszenia, imię i nazwisko, służbowy adres e-mail, opcjonalnie służbowy numer telefonu).

Korespondencja e-mail oraz serwis tridot.pl są utrzymywane u dostawcy hostingu, który przetwarza dane na nasze polecenie na podstawie umowy powierzenia przetwarzania danych osobowych nr DPA-2026-9793 (art. 28 RODO); serwery znajdują się w Unii Europejskiej. W tej relacji my jesteśmy administratorem, a dostawca hostingu podmiotem przetwarzającym. Szczegółowe zasady opisuje Polityka prywatności.

9Bezpieczeństwo i aktualizacje

1. Program działa bez dostępu do internetu, co ogranicza możliwości ataku z zewnątrz.
2. Kopie zapasowe można ustawić w programie (folder, częstotliwość); dział IT urzędu może też objąć pliki projektów własnym systemem kopii.
3. Dziennik zmian pozwala ustalić, kto (imię i nazwisko z Ustawień, konto Windows, komputer), kiedy i co zmienił w danych projektu.
4. Poprawki błędów i bezpieczeństwa udostępniamy w ramach licencji jako nowy pakiet instalacyjny z opisem zmian. Program nie aktualizuje się automatycznie.

Za fizyczne i techniczne zabezpieczenie komputerów, na których działa program, odpowiada urząd zgodnie z własnymi procedurami bezpieczeństwa informacji.

10Zgłaszanie podatności

Podatność bezpieczeństwa w programie TRIDOT lub w serwisie tridot.pl prosimy zgłosić na adres biuro@tridot.pl lub pomoc@tridot.pl z dopiskiem „Bezpieczeństwo” w temacie wiadomości (dane kontaktowe także w pliku security.txt). Zgłoszenia przyjmujemy także od osób i instytucji, które nie mają ważnej licencji. Przyjęcie zgłoszenia potwierdzamy do 15:00 następnego dnia roboczego.

W zgłoszeniu prosimy podać:

1. numer wersji programu — widoczny w oknie Pomoc → O aplikacji TRIDOT (w nowszych wersjach przycisk „Kopiuj informacje”) lub w Centrum Pomocy (klawisz F1),
2. wersję systemu Windows,
3. opis podatności i jej możliwych skutków,
4. kroki pozwalające odtworzyć problem,
5. dane do kontaktu zwrotnego.

Prosimy nie dołączać do zgłoszenia danych osobowych ani plików projektów oraz nie ujawniać szczegółów podatności publicznie, dopóki nie udostępnimy poprawki.

11Kontakt

W sprawach ochrony danych osobowych, umowy powierzenia i innych kwestii związanych z RODO prosimy o kontakt:

Zasady przetwarzania danych przez dostawcę opisuje Polityka prywatności, a zasady korzystania z serwisu tridot.pl — Regulamin serwisu. Warunki licencji programu przekazujemy wraz z ofertą.