Dokumenty dla szkoły i inspektora ochrony danych
Bezpieczeństwo i ochrona danych w AssetWave
Ten dokument opisuje, jak AssetWave chroni dane szkoły. Możesz go dołączyć do dokumentacji ochrony danych placówki albo przekazać organowi prowadzącemu. Wzór umowy powierzenia przetwarzania danych znajdziesz na stronie Umowa powierzenia.
1. Oddzielenie danych szkół
Każda organizacja ma własne, osobne bazy danych (konta, majątek, monitoring pracowni). Szkoła rozpoznawana jest po swoim adresie (np. twojaszkola.assetwave.pl), a aplikacja łączy się wyłącznie z bazami tej szkoły. Użytkownik jednej szkoły nie ma technicznej możliwości odczytu danych innej.
W zespołach szkół i sieciach placówek można dodatkowo ograniczyć pracownika do jego oddziału — widzi wtedy wyłącznie sprzęt, sale i zgłoszenia swojego oddziału.
2. Dostęp i logowanie
- Role i uprawnienia — administrator szkoły decyduje, kto ma dostęp do którego modułu i operacji (podgląd, edycja, zatwierdzanie).
- Hasła przechowywane wyłącznie jako skróty (algorytm wbudowany w PHP, z automatyczną aktualizacją przy zmianie domyślnego algorytmu).
- Logowanie dwuetapowe (kod z aplikacji Microsoft lub Google Authenticator, kody zapasowe, zaufane urządzenie na 30 dni). Sekret 2FA jest szyfrowany w bazie (AES-256-GCM).
- Logowanie przez Microsoft 365 (opcjonalnie) — konto łączone po identyfikatorze konta Microsoft, nigdy po samym adresie e-mail.
- Ochrona przed zgadywaniem haseł — limit nieudanych prób na login i na adres IP.
- Sesje wygasają po okresie bezczynności; ciasteczka sesji są oznaczone jako HttpOnly, Secure i SameSite.
- Wejście zespołu AssetWave do aplikacji szkoły (pomoc techniczna) odbywa się jednorazowym linkiem ważnym 2 minuty i jest zapisywane w dzienniku zdarzeń szkoły.
3. Ochrona aplikacji
- Połączenia wyłącznie szyfrowane (HTTPS, nagłówek HSTS).
- Ochrona formularzy przed atakami CSRF (token sesji i kontrola pochodzenia żądania).
- Zapytania do bazy przygotowane (parametryzowane), dane wyświetlane z kodowaniem znaków specjalnych.
- Pliki konfiguracyjne z hasłami poza katalogiem dostępnym z internetu; katalogi z kodem i załącznikami zablokowane dla przeglądarki.
- Klucze licencji oprogramowania szyfrowane w bazie (AES-256-GCM); każde odsłonięcie klucza trafia do dziennika.
4. Dziennik zdarzeń
Aplikacja zapisuje, kto, co i kiedy zmienił: logowania (także nieudane i odmowy dostępu), zmiany w ewidencji, dokumenty, decyzje, przeglądy, publikacje planów. Administrator szkoły przegląda dziennik w module „Dziennik zdarzeń”.
5. Kopie zapasowe
- Kopia baz każdej szkoły wykonywana automatycznie raz na dobę.
- Przechowywana w dwóch miejscach: na serwerze aplikacji (poza katalogiem strony) i w drugiej lokalizacji: [wskaż: drugi serwer / FTP w innym centrum danych].
- Każda kopia jest weryfikowana po wykonaniu (kompletność i suma kontrolna SHA-256).
- Okres przechowywania: [14] dni.
- Przed każdym przywróceniem danych automatycznie wykonywana jest kopia stanu bieżącego.
6. Szyfrowanie
- W trakcie przesyłania: zawsze (HTTPS / TLS).
- W bazie danych: szyfrowane są dane szczególnie wrażliwe — sekrety logowania dwuetapowego i klucze licencji (AES-256-GCM, klucz poza bazą).
- Nośniki serwera: [uzupełnij zgodnie z ofertą hostingu, np. „dyski szyfrowane przez dostawcę hostingu” albo usuń punkt].
7. Hosting i podmioty przetwarzające
| Podmiot | Cel | Miejsce |
|---|---|---|
| [dostawca hostingu, np. webd.pl — nazwa firmy] | serwer aplikacji i baz danych | [Polska / UE] |
| [dostawca poczty SMTP] | wysyłka powiadomień e-mail | [kraj] |
| Microsoft Ireland Operations Ltd. | tylko gdy szkoła włączy logowanie przez Microsoft 365 | UE |
Kalendarz pobiera listę świąt z publicznego serwisu Nager.Date — bez przesyłania jakichkolwiek danych szkoły ani użytkowników. Plan lekcji jest układany w przeglądarce użytkownika; dane planu nie są wysyłane do zewnętrznych usług.
8. Naruszenia ochrony danych
O każdym stwierdzonym naruszeniu dotyczącym danych szkoły AssetWave powiadamia administratora danych (szkołę) bez zbędnej zwłoki, nie później niż w ciągu [24] godzin od jego stwierdzenia, przekazując informacje wymagane art. 33 ust. 3 RODO, aby szkoła mogła wywiązać się z obowiązku zgłoszenia do Prezesa UODO.
9. Zakończenie współpracy
Po zakończeniu umowy szkoła może pobrać swoje dane (eksport do Excela/CSV z modułów oraz kopia baz). Następnie dane są usuwane z serwera aplikacji, a kopie zapasowe wygasają zgodnie z okresem przechowywania (pkt 5).
10. Kontakt
Pytania o bezpieczeństwo i ochronę danych: kontakt@assetwave.pl. [Jeśli wyznaczono — dane kontaktowe inspektora ochrony danych AssetWave]