Jak przepływają dane

Silnik analizy jest napisany w Rust i skompilowany do WebAssembly. Gdy otwierasz stronę analizy, przeglądarka pobiera moduł z naszego serwera tak samo, jak pobiera obrazy i skrypty strony. Dalej pracuje wyłącznie Twoje urządzenie:

• wybierasz plik XLSX, a odczytuje go przeglądarka;
• parsowanie arkusza, wszystkie obliczenia, macierz klas i rekomendacje wykonują się na Twoim urządzeniu;
• raport powstaje tam samo, a eksport do XLSX składa przeglądarka.

Plik nie jest wysyłany na serwer ani w całości, ani we fragmentach, ani w żadnej postaci pośredniej. Dziesiątki tysięcy wierszy zajmują około trzech sekund, a policzyć je nie ma gdzie poza Twoją maszyną — widać to po tym, że szybkość zależy od Twojego sprzętu, a nie od naszego obciążenia.

Jak sprawdzić, nie wierząc nam na słowo. Otwórz narzędzia deweloperskie przeglądarki, zakładkę „Sieć”, i wykonaj analizę. Między wyborem pliku a pojawieniem się raportu nie będzie ani jednego żądania wysyłającego dane: ani do naszej domeny, ani do żadnej innej. Sprawdzenie zajmuje minutę i nie wymaga dostępu do naszego kodu.

Lista jest wyczerpująca. Aplikacja ma dokładnie trzy grupy adresów przyjmujących cokolwiek z przeglądarki i innych nie ma.

Konto i logowanie. Rejestracja, logowanie i wylogowanie, odnowienie sesji, odzyskiwanie i zmiana hasła, ponowna wysyłka e-maila potwierdzającego, logowanie przez Google. Przesyłane są: adres e-mail, hasło (na serwerze przechowywany jest tylko jego skrót), nazwa użytkownika i język interfejsu.

Zakup dostępu. Rozpoczęcie zakupu, powrót ze strony płatności, anulowanie subskrypcji, wniosek o zwrot, historia zakupów oraz wystawienie faktury lub korekty. Przesyłane są identyfikatory sesji płatności, subskrypcji i taryfy. Dane karty w ogóle nie przechodzą przez nasze serwery: płatność odbywa się na stronie dostawcy płatności, na którą przeglądarka przechodzi w całości.

Wiadomość z formularza kontaktowego. Tylko jeśli z niego skorzystasz: imię, adres e-mail, temat, treść wiadomości, język interfejsu i strona wysyłki.

Poza tym serwer WWW prowadzi zwykły dziennik techniczny: adres IP, żądany adres, czas i identyfikator przeglądarki. Dzięki niemu zauważamy awarię lub atak i ma go każda witryna.

Adresu przyjmującego plik lub wyniki analizy w aplikacji nie ma. To stwierdzenie sprawdzalne, a nie polityka: takiej obsługi żądania nie ma w kodzie, więc nie ma też sposobu, by włączyć ją ustawieniem.

• sam plik i jakakolwiek jego część;
• wiersze arkusza, nazwy i zawartość kolumn;
• wyniki analizy: klasy, współczynniki, sumy, macierz;
• rekomendacje zbudowane na Twoich danych;
• wyeksportowany raport.

Wynika z tego to, po co najprawdopodobniej czytasz tę stronę: nie wiemy, co analizujesz, i nie wiemy nawet, czy analiza w ogóle została uruchomiona. Nie mamy metryki „ile razy wykonano obliczenia” — nie da się jej zebrać bez wysłania nam danych, a my ich nie otrzymujemy. Z tego samego powodu zasady zwrotu pieniędzy nie zależą od tego, czy usługa została wykorzystana: nie mamy jak tego sprawdzić.

Druga strona tej samej właściwości, o której warto wiedzieć: nie odtworzymy Twojej analizy. Zamknięta karta zabiera ją ze sobą, bo kopii nie było nigdzie poza Twoją przeglądarką.

• cb_access_token — token otwierający silnikowi pełny tryb pracy. Przechowywany w pamięci lokalnej, ważny nie dłużej niż dwie godziny i nigdy dłużej niż opłacony okres.
• cb_cms_jwt — plik cookie z Twoją sesją w serwisie. Oznaczony jako httpOnly, więc skrypty strony go nie odczytają, i żyje do siedmiu dni.
• Zapis Twojej odpowiedzi na baner cookie — łącznie z odpowiedzią „nie”.
• Sam plik — wyłącznie w pamięci strony, dopóki jest otwarta. Nie jest zapisywany ani do pamięci lokalnej, ani do bazy danych przeglądarki, ani do plików tymczasowych aplikacji i znika razem z kartą.

Wszystko wymienione widać w narzędziach deweloperskich przeglądarki i możesz to w każdej chwili usunąć. Pełny wykaz z okresami przechowywania jest w Polityce plików cookie.

Nasi podwykonawcy przetwarzania i to, do czego każdy służy:

• dostawca hostingu — na jego infrastrukturze działają serwis i baza danych z kontami oraz zakupami;
• dostawca płatności (Stripe) — płatności, subskrypcje, zwroty, faktury; płatność odbywa się na jego stronach;
• przekaźnik pocztowy — potwierdzenia adresu, linki do zmiany hasła, powiadomienia o zakupach i odpowiedzi na zgłoszenia;
• Google — logowanie przez Google, jeśli z niego korzystasz, oraz analityka odwiedzin.

Nikt z nich nie otrzymuje pliku, wierszy ani wyników analizy: tych danych nie mamy my, a więc nie mają ich także nasi podwykonawcy.

O analityce — wprost

Na wszystkich stronach serwisu, łącznie ze stroną analizy, ładowany jest tag Google Analytics. Mówimy o tym wprost, bo zobaczysz go sam w pierwszej minucie sprawdzania, a przemilczenie oczywistego zdewaluowałoby wszystko inne na tej stronie.

Co robi, a czego nie robi:

• liczy odsłony stron: jaki adres otwarto, skąd przyszedł odwiedzający, jaki język i typ urządzenia;
• dopóki nie odpowiesz na baner cookie, tag pracuje w stanie „odmowa”: jest załadowany, ale nie wysyła zdarzeń i nie tworzy własnych plików cookie;
• nie otrzymuje Twojego pliku, wierszy, wyników ani rekomendacji. Nie ma ich w dokumencie strony w postaci dostępnej obcemu skryptowi, a tag ich nie czyta;
• nie jest używany do reklamy ani profilowania.

Jeśli w Twojej organizacji obcy skrypt na stronie przetwarzania danych jest niedopuszczalny sam w sobie — napisz do nas. To rozsądne wymaganie i rozwiązuje się je konfiguracją środowiska, a nie sporem o to, co dokładnie zbiera tag.

Czego na stronach nie ma

• Czcionki są serwowane z naszej domeny: są wbudowane w build serwisu, a przeglądarka nie wysyła żądania do zewnętrznych usług czcionek.
• Obrazy przychodzą z naszej domeny, nawet gdy ich źródłem jest nasz system zarządzania treścią: przeglądarka nie łączy się z nim.
• Silnik analizy ładuje się z naszej domeny i sam nigdzie się nie zwraca.
• Nie ma sieci reklamowych, zewnętrznych widżetów czatu, liczników społecznościowych ani usług nagrywania sesji.

Dane Twojej analizy. Nie jesteśmy ani ich administratorem, ani podmiotem przetwarzającym — nie otrzymujemy ich. Przetwarzanie odbywa się w całości na Twoim sprzęcie i pozostaje Twoje: w kategoriach RODO to to samo, co otwarcie pliku w arkuszu kalkulacyjnym zainstalowanym na Twoim komputerze. Umowy powierzenia przetwarzania (DPA) w odniesieniu do danych analizy nie ma więc z kim i o co zawierać: nie ma polecenia, nie ma przekazania, nie ma przetwarzania po naszej stronie.

Z praktyki wiadomo, że tego pola często nie można w ankiecie zostawić pustego. Poprawne sformułowanie: dostawca nie otrzymuje danych przetwarzanych w narzędziu; przetwarzanie odbywa się lokalnie w przeglądarce użytkownika; powierzenie przetwarzania nie powstaje.

Dane konta, zakupy i zgłoszenia. Tu jesteśmy administratorem, z własnymi celami i okresami przechowywania, opisanymi w Polityce prywatności. To do tych danych odnoszą się prawa dostępu, sprostowania, usunięcia i pozostałe tam wymienione.

Przekazywanie poza EOG. Możliwe u dostawcy płatności i w Google — na podstawie standardowych klauzul umownych, a tam, gdzie ma to zastosowanie, decyzji Komisji Europejskiej o odpowiednim stopniu ochrony. Danych analizy to nie dotyczy: nie przekraczają granicy, bo nie opuszczają Twojego urządzenia.

Wolimy powiedzieć to sami, niż zostawić cię z szukaniem.

• Nie mamy certyfikatu ISO/IEC 27001 ani raportu SOC 2.
• Nie mamy raportu z niezależnych testów penetracyjnych.
• Nie prowadzimy całodobowej służby reagowania na incydenty ani formalnego, certyfikowanego procesu zarządzania podatnościami.
• Nie powołaliśmy inspektora ochrony danych: skala przetwarzania tego nie wymaga.

Jesteśmy niewielkim dostawcą i powyższa lista uczciwie oddaje naszą wielkość. Istotne jest tu co innego: certyfikat potwierdza, że organizacja dobrze chroni otrzymane dane. Danych Twojej analizy nie otrzymujemy — po naszej stronie nie ma czego chronić. Ryzyko, które zdejmuje certyfikacja, jest w tej części usunięte inaczej: nie procedurą, lecz tym, że danych nie ma.

Do wszystkiego, co jednak otrzymujemy — konta, zakupy, zgłoszenia — to rozumowanie się nie odnosi i tam obowiązują zwykłe środki: szyfrowanie połączenia, przechowywanie hasła w postaci skrótu, ograniczony dostęp do serwerów, kopie zapasowe, dzienniki. Oceniaj je zwykłą miarą, jak u każdego innego dostawcy.

Data obowiązującego wydania jest podana na początku strony. Zobowiązujemy się aktualizować ten tekst tym samym wdrożeniem, którym zmienia się cokolwiek z opisanego: każde nowe wywołanie serwera, każdy nowy obcy skrypt na stronie analizy. Nieaktualny opis w tym miejscu to nie nieścisłość marketingowa, lecz nieprawdziwe stwierdzenie złożone audytorowi.

Jeśli do decyzji wewnętrznej potrzebne są dokumenty pod Twój przypadek — wypełniona ankieta bezpieczeństwa, część do oceny skutków dla ochrony danych (DPIA), załącznik do umowy — napisz na checkbusiness.pl@gmail.com. Takie dokumenty przygotowujemy indywidualnie.