Bezpieczeństwo danych i zgodność z RODO (GDPR)

1. Lokalizacja danych (data residency)

Odpadomat przetwarza i przechowuje wszystkie dane osobowe, dane transakcyjne, informacje o lokalizacjach i historię zleceń wyłącznie w europejskich centrach danych:

• Baza danych i uwierzytelnianie (PostgreSQL): chmura AWS, region eu-west-2 (Londyn, Europa).
• Warstwa aplikacji i API (backend w Kotlinie i Springu): kontenery na osobnym serwerze OVH, Warszawa (Polska).
• Warstwa sieciowa (panel, ruch użytkowników): Cloudflare: terminacja TLS, zapora aplikacyjna (WAF) i ochrona przed atakami DDoS.

2. Techniczne środki bezpieczeństwa

Zabezpieczenia systemu projektujemy z uwzględnieniem wytycznych OWASP. Opierają się na tych filarach:

A. Szyfrowanie danych (data encryption)

• Dane w spoczynku (Encryption at Rest): dostawca bazy danych szyfruje dyski bazy.
• Dane w transmisji (Encryption in Transit): każde połączenie między przeglądarką klienta a serwerem (API, panel) chroni protokół TLS 1.3 / TLS 1.2 z silnymi szyframi (AES-GCM). Certyfikatami SSL zarządza Cloudflare, który sam je odnawia.

B. Izolacja sieciowa i konteneryzacja

• Konteneryzacja: backend Kotlin API i warstwa pośrednia działają jako odizolowane kontenery na osobnym serwerze. Obrazy kontenerów budujemy automatycznie w procesie ciągłej integracji i wdrażamy z prywatnego rejestru, bez ręcznych zmian na serwerze.
• Zarządzanie sekretami: wszystkie hasła do baz danych, tokeny API i klucze integracji trzymamy poza kodem źródłowym. Aplikacja dostaje je przy uruchomieniu, ze zmiennych środowiskowych serwera i z szyfrowanego magazynu sekretów procesu wdrożeniowego.
• Ochrona przed DDoS: połączenia z zewnątrz przechodzą przez Cloudflare, który filtruje je zaporą aplikacyjną i chroni przed atakami DDoS.

C. Kopie zapasowe i dostępność

• Backupy: automatyczne, codzienne kopie zapasowe bazy danych. Wykonuje je i przechowuje dostawca bazy.
• Dostęp do danych produkcyjnych: dostęp do danych produkcyjnych ma tylko zespół techniczny Odpadomat, w zakresie potrzebnym do utrzymania systemu.

3. Zgodność z RODO (GDPR)

Odpadomat obsługuje wszystkie prawa osób, których dane dotyczą, bezpośrednio w swoich procesach:

1. Zasada minimalizacji danych: zbieramy wyłącznie dane niezbędne do podstawienia i odbioru kontenera: imię, telefon, adres dostawy, opcjonalnie NIP do faktury i ewentualnie adres e-mail do płatności.
2. Prawo do bycia zapomnianym (anonimizacja): na żądanie administrator może od razu usunąć albo w pełni zanonimizować konto klienta i historię jego zamówień.
3. Zgody i regulaminy: formularz zamówień ma wyraźne, aktywne pola wyboru do akceptacji regulaminu, polityki prywatności i zgód RODO niezbędnych do realizacji transakcji.
4. Umowa powierzenia przetwarzania danych (DPA): jako podmiot przetwarzający (processor) Odpadomat opiera swoje usługi na standardowych umowach powierzenia zgodnych z art. 28 RODO, dla wszystkich swoich partnerów (w tym firm podwykonawczych, które wykonują transport).