Podsumowanie:
Dane systemu Odpadomat przechowywane są w europejskich centrach danych: serwery aplikacyjne w Warszawie, baza danych w Londynie. Połączenia są szyfrowane, kopie zapasowe wykonywane codziennie, a dostęp do danych produkcyjnych ograniczony do jednej osoby, z uwierzytelnianiem dwuskładnikowym. Przetwarzanie odbywa się zgodnie z RODO, na podstawie umów powierzenia.

1. Lokalizacja Danych (Data Residency)

Wszystkie dane osobowe, dane transakcyjne, informacje o lokalizacjach oraz historia zleceń systemu Odpadomat są przetwarzane i przechowywane wyłącznie w europejskich centrach danych:

  • Baza danych i uwierzytelnianie (Baza PostgreSQL): Chmura AWS, region eu-west-2 (Londyn, Europa).
  • Warstwa aplikacyjna i API (Kotlin / Spring Backend): kontenery na dedykowanym serwerze OVH, Warszawa (Polska).
  • Warstwa sieciowa (panel, ruch użytkowników): Cloudflare - terminacja TLS, zapora aplikacyjna (WAF) oraz ochrona przed atakami DDoS.

⚖️ Zgodność RODO a Wielka Brytania (UK)

Wielka Brytania po Brexicie podlega brytyjskiemu RODO (UK GDPR), którego standardy ochrony są tożsame z unijnym RODO. Komisja Europejska wydała dla Wielkiej Brytanii decyzję o adekwatności (Adequacy Decision) 28 czerwca 2021 r., a 19 grudnia 2025 r. odnowiła ją na kolejny okres, do 27 grudnia 2031 r. Decyzja formalnie potwierdza, że Wielka Brytania zapewnia stopień ochrony danych osobowych zasadniczo równoważny stopniowi ochrony w Unii Europejskiej. Dzięki temu transfery danych z UE do UK są całkowicie legalne i nie wymagają żadnych dodatkowych zezwoleń ani mechanizmów zabezpieczających.

2. Środki Bezpieczeństwa Technicznego

Architektura bezpieczeństwa systemu projektowana jest z uwzględnieniem wytycznych OWASP i opiera się na następujących filarach:

A. Szyfrowanie Danych (Data Encryption)

  • Dane w spoczynku (Encryption at Rest): dyski bazodanowe są szyfrowane po stronie dostawcy bazy danych.
  • Dane w transmisji (Encryption in Transit): Każde połączenie między przeglądarką klienta a serwerem (API, panel) jest zabezpieczone protokołem TLS 1.3 / TLS 1.2 z silnymi szyframi (AES-GCM). Certyfikaty SSL są automatycznie odnawiane i zarządzane przez Cloudflare.

B. Izolacja Sieciowa i Konteneryzacja

  • Konteneryzacja: backend Kotlin API oraz warstwa pośrednia działają jako odizolowane kontenery na dedykowanym serwerze. Obrazy budowane są automatycznie w procesie ciągłej integracji i wdrażane z prywatnego rejestru, bez ręcznej ingerencji w serwer.
  • Zarządzanie Sekretami: Wszystkie hasła do baz danych, tokeny API i klucze integracji nie są zapisywane w kodzie źródłowym. Są wstrzykiwane w czasie uruchomienia ze zmiennych środowiskowych serwera oraz z szyfrowanego magazynu sekretów procesu wdrożeniowego.
  • Ochrona przed DDoS: połączenia zewnętrzne przechodzą przez Cloudflare, gdzie są filtrowane przez zaporę aplikacyjną i objęte ochroną przed atakami DDoS.

C. Kopie Zapasowe i Dostępność

  • Backupy: automatyczne, codzienne kopie zapasowe bazy danych, wykonywane i przechowywane po stronie dostawcy bazy.
  • Dostęp do danych produkcyjnych: dostęp do bazy produkcyjnej ma wyłącznie prezes zarządu Odpadomat, a konta chronione są uwierzytelnianiem dwuskładnikowym.

3. Zgodność z RODO (GDPR Compliance)

Odpadomat realizuje wszystkie prawa osób, których dane dotyczą, bezpośrednio w swoich procesach biznesowych:

  1. Zasada minimalizacji danych: Zbieramy wyłącznie te dane, które są niezbędne do realizacji usługi podstawienia i odbioru kontenera (imię, telefon, adres dostawy, opcjonalnie NIP do faktury oraz ewentualny adres e-mail do płatności).
  2. Prawo do bycia zapomnianym (Anonimizacja): Baza danych umożliwia administratorom natychmiastowe usunięcie lub pełną anonimizację konta klienta oraz historii jego zamówień na żądanie.
  3. Zgody i regulaminy: Formularz zamówień posiada wyraźne, aktywne checkboxy akceptacji Regulaminu, Polityki Prywatności oraz zgód RODO niezbędnych do realizacji transakcji.
  4. Umowa Powierzenia Przetwarzania Danych (DPA): Jako podmiot przetwarzający (Processor), Odpadomat opiera swoje usługi na standardowych umowach powierzenia zgodnych z art. 28 RODO dla wszystkich swoich partnerów (w tym firm podwykonawczych realizujących transport).

Na pytania dotyczące bezpieczeństwa odpowiadamy wprost, również pisemnie: piotr@odpadomat.pl.

Ostatnia aktualizacja: 31 sierpnia 2026 r.