Start / Bezpieczeństwo i ochrona danych
Bezpieczeństwo i ochrona danych
Państwa dokumentacja zgodności opisuje, gdzie firma jest podatna na zagrożenia. Tutaj widać, jak Complass chroni te dane, kto co może robić i jak sami zachowują Państwo kontrolę.
Spis treści
- Logowanie i dostęp
- Brak wglądu administratorów bez Państwa zgody
- Szyfrowanie
- Szyfrowane backupy
- Hosting i eksploatacja
- Bezpieczeństwo aplikacji
- Wszystkie zmiany możliwe do prześledzenia
- Ochrona danych i kontrola
- Dane o podatnościach bez wysyłania danych na zewnątrz
- Przejrzystość
- Czego świadomie nie robimy
- Szczegóły techniczne
Pięć warstw między internetem a Państwa danymi
- 1
Szyfrowane połączenie i nagłówki bezpieczeństwa
Portal jest dostępny wyłącznie przez HTTPS, a przeglądarki zapamiętują to przez rok (HSTS). Ścisła polityka bezpieczeństwa treści (CSP) zezwala na skrypty, style i czcionki wyłącznie z naszego własnego serwera, a portalu nie można osadzać w innych stronach internetowych.
- 2
Logowanie hasłem i MFA
Wszyscy logują się hasłem i kodem z aplikacji uwierzytelniającej. Logowanie MFA jest obowiązkowe dla wszystkich użytkowników, także dla naszych własnych administratorów.
- 3
Role i szczegółowe uprawnienia
Administrator, edytor lub tylko odczyt, opcjonalnie ograniczone do poszczególnych projektów z „odczytem” lub „edycją”. Ponadto Państwa administratorzy ustawiają brak dostępu, odczyt lub zapis dla każdej osoby i obszaru (ramy regulacyjne, moduł, pozycja menu) oraz uprawnienia specjalne, takie jak eksport, usuwanie czy zatwierdzanie. Zmiany obowiązują natychmiast i są rejestrowane.
- 4
Ścisłe rozdzielenie klientów
Przy każdym dostępie serwer sprawdza, czy projekt należy do Państwa firmy. Projekty innych firm z punktu widzenia portalu po prostu nie istnieją: odpowiedź brzmi „nie znaleziono”.
- 5
Szyfrowane pliki dowodowe
Przesłane dowody są szyfrowane osobnym kluczem dla każdego klienta i przechowywane poza publicznie dostępnym katalogiem. Pobrać je mogą wyłącznie osoby, które mogą widzieć projekt.
Nasze środki w szczegółach
Logowanie i dostęp
Serwer przy każdym żądaniu decyduje, kto może wejść i co może robić.
- Obowiązkowe MFA
- Passkeye
- Logowanie kontem firmowym (SSO)
- Hasła z Argon2id
- Progresywna blokada konta
- Rate Limiting i blokada adresów IP
- Powiadomienie o nowym urządzeniu
- Limit czasu sesji
- Ponowne potwierdzenie przed wrażliwymi działaniami
- Role i szczegółowe uprawnienia
- Profile ról
- Zasada czterech oczu
- Rozdzielenie klientów
- Dostęp dla dostawców
Pokaż wszystkie środki w tym obszarze (14)
Obowiązkowe MFA
Hasło i kod z aplikacji uwierzytelniającej – lub passkey, który obejmuje oba czynniki – dla każdej osoby, także dla naszych administratorów.
Passkeye
Logowanie odciskiem palca, Face ID, Windows Hello lub kluczem bezpieczeństwa. Passkey obejmuje oba czynniki; hasło i aplikacja uwierzytelniająca pozostają jako rozwiązanie zapasowe.
Logowanie kontem firmowym (SSO)
Logowanie przez Państwa dostawcę tożsamości (OpenID Connect z PKCE), np. Microsoft Entra ID, Google Workspace, Okta lub Keycloak. Państwa administratorzy mogą uczynić SSO obowiązkowym dla firmy.
Hasła z Argon2id
Co najmniej 12 znaków, przechowywane wyłącznie jako skrót Argon2id.
Progresywna blokada konta
Blokada po powtarzających się nieudanych próbach, dłuższa przy kolejnych próbach: 15 minut, 1 godzina, 24 godziny.
Rate Limiting i blokada adresów IP
Liczba prób logowania z jednego adresu IP jest ograniczona; przy wzorcach ataku adres jest blokowany, a dział operacyjny alarmowany.
Powiadomienie o nowym urządzeniu
Gdy ktoś loguje się z nowego urządzenia, osoba otrzymuje wiadomość e-mail.
Limit czasu sesji
Wylogowanie po 30 minutach nieaktywności, najpóźniej po 10 godzinach (domyślnie; do ustawienia dla każdej firmy: 10–60 minut lub 4–12 godzin).
Ponowne potwierdzenie przed wrażliwymi działaniami
Przy szczególnie wrażliwych działaniach Complass wymaga ponownego potwierdzenia kodem z aplikacji lub passkeyem („step-up”), także w trwającej sesji.
Role i szczegółowe uprawnienia
Brak dostępu, odczyt lub zapis dla każdej osoby i obszaru, a także uprawnienia specjalne, opcjonalnie ograniczone w czasie.
Profile ról
Gotowe profile ról, takie jak „Audytor zewnętrzny”, można przejąć, a Państwa administratorzy mogą dostosować je do firmy.
Zasada czterech oczu
Dla akceptacji ryzyka i zatwierdzania dokumentów Państwa administratorzy mogą ustawić zasadę czterech oczu. Ingerencje Complass w Państwa dane (np. reset hasła i MFA, zmiana adresu e-mail, trwałe usunięcie projektu) następują u nas zawsze dopiero po zatwierdzeniu przez drugą osobę.
Rozdzielenie klientów
Każde zapytanie jest ograniczone do Państwa firmy; inne obiekty są „nieznalezione”.
Dostęp dla dostawców
Dostawcy widzą tylko przydzielone im kwestionariusze i dowody; separacja jest testowana automatycznie.
Kto co może?
Role określają, co ktoś może w zasadzie robić. Dodatkowo można ograniczyć edytorów i osoby z dostępem do odczytu do poszczególnych projektów i ustawić „odczyt” lub „edycję” dla każdego projektu, nigdy więcej, niż pozwala rola.
Pokaż tabelę ról i uprawnień
| Rola | Wyświetlanie projektów | Edycja treści | Zatwierdzanie dokumentów | Tworzenie projektów | Zarządzanie zespołem | Eksport | Usuwanie projektów |
|---|---|---|---|---|---|---|---|
| Administrator | wszystko | tak | tak | tak | tak | tak | tak1 |
| Edytor | wszystko lub wybrane | tak2 | nie | tak3 | nie | tak | nie |
| Tylko odczyt | wszystko lub wybrane | nie | nie | nie | nie | tak | nie |
| Audytor„tylko odczyt” z datą wygaśnięcia | wybrane, do daty wygaśnięcia | nie | nie | nie | nie | tak | nie |
| Konsultant Complasstylko za Państwa zgodą | wszystko, w czasie obowiązywania zgody | tak | nie | nie | nie | tak | nie |
- Do kosza, z możliwością przywrócenia przez 30 dni; dopiero po wpisaniu nazwy projektu.
- We wszystkich projektach lub tylko w tych ustawionych na „edycję”.
- Wyłącznie z dostępem do wszystkich projektów.
Edycja wymaga ważnej licencji; po wygaśnięciu licencji nadal możliwe są przeglądanie i eksport. Ostatniego administratora firmy nie można zdegradować, dzięki czemu Państwa zespół nigdy nie zostaje bez osoby zarządzającej.
Tabela pokazuje ustawienia domyślne ról. W sekcji „Uprawnienia” Państwa administratorzy szczegółowo dostosowują prawa dla każdej osoby: dla każdego obszaru (każde ramy regulacyjne, każdy moduł, każda pozycja menu) brak dostępu, odczyt lub zapis, a także uprawnienia specjalne, takie jak eksport (również dla każdego obszaru), usuwanie, zatwierdzanie dokumentów, przekazywanie etapów zgłoszenia, import zasobów, zapraszanie osób i zarządzanie uprawnieniami, opcjonalnie ograniczone w czasie i za pośrednictwem profili ról. Zawsze obowiązuje najbardziej restrykcyjna reguła; tylko odczyt nigdy nie zapisuje. Pozycje menu bez uprawnień są ukryte, a serwer odrzuca bezpośrednie żądania. Poszczególne osoby można też zaprosić do dokładnie jednego obiektu (np. zadania lub dokumentu), aby komentowały lub współedytowały bez uzyskiwania dalszych uprawnień. Przefiltrowaną macierz uprawnień eksportują Państwo jako dowód (Excel, CSV, PDF).
Brak wglądu administratorów bez Państwa zgody
W interfejsie użytkownika administratorzy Complass widzą wyłącznie dane administracyjne, takie jak firma, zarezerwowane moduły i liczba użytkowników. Wgląd w Państwa treści jest możliwy wyłącznie za Państwa wyraźną zgodą ograniczoną w czasie.
- Zasoby, incydenty, podatności, zadania
- Projekty wyłącznie za zgodą na dostęp konsultanta
- Dostęp awaryjny tylko za Państwa zgodą
- Załączniki do zgłoszeń wsparcia tylko po zatwierdzeniu
- Sesja wsparcia wyłącznie za zgodą
- Widoczna i możliwa do zakończenia w każdej chwili
- Oddzielne role w Complass
Pokaż wszystkie środki w tym obszarze (7)
Zasoby, incydenty, podatności, zadania
Niedostępne dla administratorów Complass w interfejsie użytkownika.
Projekty wyłącznie za zgodą na dostęp konsultanta
Projekty, dokumenty i dowody nasi konsultanci widzą tylko wtedy, gdy Państwa administrator udzieli dostępu konsultanta. Każda sesja, w której konsultant otwiera projekt, jest zapisywana w Państwa dzienniku zdarzeń wraz z rodzajem dostępu.
Dostęp awaryjny tylko za Państwa zgodą
Tylko jeśli Państwo wcześniej na niego zezwolili, z uzasadnieniem i zatwierdzeniem przez drugą osobę, na najwyżej 60 minut, tylko do odczytu, w dzienniku i z natychmiastowym e-mailem do Państwa administratorów.
Załączniki do zgłoszeń wsparcia tylko po zatwierdzeniu
Załączniki do zgłoszeń wsparcia widzimy dopiero po tym, jak Państwa administrator zatwierdzi zgłoszenie.
Sesja wsparcia wyłącznie za zgodą
Zainteresowana osoba zatwierdza sesję, ograniczoną do 30, 60 lub 120 minut, domyślnie tylko do odczytu i bez plików oraz eksportu. Dostęp do zapisu wymaga dodatkowo zgody Państwa administratora.
Widoczna i możliwa do zakończenia w każdej chwili
Baner pokazuje „sesja wsparcia aktywna”, a Państwo mogą ją zakończyć w dowolnym momencie. Każde wyświetlenie strony jest rejestrowane, a Complass dodatkowo wymaga MFA dla sesji.
Oddzielne role w Complass
Role są rozdzielone wewnętrznie, np. inżynieria, sprzedaż i finanse: pracownicy widzą tylko to, czego potrzebują do swojego zadania.
Szyfrowanie
Data in Transit i Data at Rest.
- Data in Transit
- Pliki dowodowe dla każdego klienta
- Secrets i kody MFA
Pokaż wszystkie środki w tym obszarze (3)
Data in Transit
Wyłącznie HTTPS, HSTS przez rok, wraz z subdomenami.
Pliki dowodowe dla każdego klienta
Szyfrowane osobnym kluczem dla każdego klienta (XChaCha20-Poly1305), poza katalogiem publicznym.
Secrets i kody MFA
Secrets MFA szyfrowane, linki zaproszeń i kody odzyskiwania przechowywane wyłącznie jako HMAC.
Szyfrowane backupy
Backup jest tak dobry, jak jego ochrona. Dlatego nawet osoba z dostępem do serwera nie może odczytać backupów bazy danych.
- Codziennie
- Szyfrowane kluczem publicznym
- Klucz prywatny nie znajduje się na serwerze
- Pliki dowodowe pozostają zaszyfrowane
- Manipulacja jest wykrywana
- Do 60 dni i odtwarzanie punktowe
- Backup poza serwerem
Pokaż wszystkie środki w tym obszarze (7)
Codziennie
Codzienny backup bazy danych i wszystkich plików dowodowych.
Szyfrowane kluczem publicznym
Backup bazy danych jest szyfrowany za pomocą libsodium (XChaCha20-Poly1305) dla klucza publicznego.
Klucz prywatny nie znajduje się na serwerze
Klucz prywatny do odszyfrowania przechowujemy wyłącznie offline.
Pliki dowodowe pozostają zaszyfrowane
Pliki dowodowe są archiwizowane w postaci zaszyfrowanej (klucz dla każdego klienta).
Manipulacja jest wykrywana
Zmienione lub uszkodzone backupy są wykrywane podczas odtwarzania i nie są stosowane.
Do 60 dni i odtwarzanie punktowe
Na serwerze pozostaje ostatnich 30 dziennych backupów; poza serwerem są dodatkowo dzienne stany, których nie można usunąć z poziomu serwera, oraz comiesięczny backup offline. Każdy backup jest usuwany lub nadpisywany najpóźniej po 60 dniach; poszczególne projekty można odtwarzać selektywnie jako kopię.
Backup poza serwerem
Zaszyfrowana kopia każdego backupu jest dodatkowo przechowywana poza serwerem w centrum danych w Niemczech.
Hosting i eksploatacja
Gdzie działa Complass i jak monitorujemy eksploatację.
- Hosting w Niemczech
- Monitoring
- Codzienny raport z eksploatacji
- Dostępność sprawdzalna z zewnątrz
- Publiczny jest wyłącznie punkt wejścia
Pokaż wszystkie środki w tym obszarze (5)
Hosting w Niemczech
W Hetzner Online GmbH w centrach danych w Niemczech, z umową powierzenia przetwarzania danych.
Monitoring
Backupy, zadania cron, pamięć masowa, dane o podatnościach, dostarczanie e-maili, błędy serwera i czasy odpowiedzi są stale kontrolowane; Complass jest automatycznie alarmowany, gdy cokolwiek odbiega od normy.
Codzienny raport z eksploatacji
Complass otrzymuje codzienny raport o stanie eksploatacji, bez treści klientów.
Dostępność sprawdzalna z zewnątrz
Adres statusowy bez danych klientów umożliwia monitoring dostępności z zewnątrz; monitoring zewnętrzny jest w trakcie wdrażania.
Publiczny jest wyłącznie punkt wejścia
Baza danych, dowody, backupy i kod programu są zablokowane od strony internetu.
Bezpieczeństwo aplikacji
Ochrona przed typowymi atakami na aplikacje internetowe.
- Polityka bezpieczeństwa treści
- Nagłówki bezpieczeństwa i ochrona CSRF
- Kontrola przesyłanych plików
- Bezpieczne przetwarzanie XML
- Zapisy ruchu sieciowego wyłącznie w przeglądarce
- Automatyczne skany bezpieczeństwa
- OWASP ASVS 5.0
Pokaż wszystkie środki w tym obszarze (7)
Polityka bezpieczeństwa treści
Wyłącznie skrypty, style i czcionki z naszego własnego serwera, bez skryptów inline, bez osadzania w innych stronach.
Nagłówki bezpieczeństwa i ochrona CSRF
Nagłówki bezpieczeństwa w każdej odpowiedzi, token CSRF przy każdej zmianie.
Kontrola przesyłanych plików
Przesyłane pliki są sprawdzane pod kątem rozszerzenia i faktycznej zawartości; dozwolone są tylko określone typy.
Bezpieczne przetwarzanie XML
Importy XML (np. Nmap, skanery, Excel) bez ładowania zasobów zewnętrznych i bez rozwiązywania encji zewnętrznych.
Zapisy ruchu sieciowego wyłącznie w przeglądarce
Pliki PCAP są analizowane w przeglądarce i nie są przesyłane.
Automatyczne skany bezpieczeństwa
Przy każdej zmianie w kodzie: statyczna analiza kodu, wyszukiwanie przypadkowo zapisanych Secrets, sprawdzanie wszystkich komponentów zewnętrznych pod kątem znanych podatności, wykaz komponentów oprogramowania (SBOM) oraz dynamiczny skan działającej aplikacji.
OWASP ASVS 5.0
OWASP ASVS 5.0: poziom 1 98 % · poziom 2 93 % · poziom 3 85 % (samoocena, stan na 21.10.2026). Jeden uzasadniony wyjątek, wskazany otwarcie.
Wszystkie zmiany możliwe do prześledzenia
Dla Państwa dowodów audytowych: kto, co i kiedy zmienił.
- Historia zmian dla każdego obiektu
- Wersje z zatwierdzeniem
- Historia komentarzy
- Eksport audytowy
- Dziennik zdarzeń klienta
- Dziennik zdarzeń z wykrywaniem manipulacji
Pokaż wszystkie środki w tym obszarze (6)
Historia zmian dla każdego obiektu
Kto, kiedy, stara i nowa wartość, np. przy wpisach katalogu, zadaniach i fazach.
Wersje z zatwierdzeniem
Wcześniejsze wersje dokumentów z zatwierdzeniem (nazwa, data) oraz wersje plików dowodowych pozostają dostępne.
Historia komentarzy
Edytowane komentarze zachowują swoje wcześniejsze wersje; wycofane i ukryte komentarze są zachowywane.
Eksport audytowy
Zaszyfrowany pakiet na potrzeby audytów wewnętrznych i zewnętrznych: projekty, dokumenty, dowody, rejestry i dziennik, tylko w zakresie praw odczytu osoby, która o niego prosi. Link do pobrania otrzymuje ona e-mailem. Manifest z sumami kontrolnymi potwierdza, że pakiet nie został zmieniony; sprawdzają Państwo to w portalu.
Dziennik zdarzeń klienta
Logowania, eksporty, zmiany uprawnień, usunięcia i inne ważne działania, z możliwością filtrowania i eksportu dla Państwa administratorów.
Dziennik zdarzeń z wykrywaniem manipulacji
Każdy wpis w Państwa dzienniku zdarzeń klienta i w zdarzeniach bezpieczeństwa jest powiązany z poprzednim łańcuchem skrótów (HMAC-SHA-256); zmiany lub usunięcia stają się widoczne podczas weryfikacji. Status weryfikacji (ostatnio sprawdzono, wartość kontrolna) widać w dzienniku zdarzeń klienta i w eksporcie.
Ochrona danych i kontrola
Państwa dane należą do Państwa.
- Bez trackerów reklamowych
- Okresy przechowywania
- Eksport w dowolnym momencie, bez uzależnienia od dostawcy
- Zmiana dostawcy bez kosztów
- Dostęp do odczytu po zakończeniu umowy
- Usunięcie danych na życzenie
Pokaż wszystkie środki w tym obszarze (6)
Bez trackerów reklamowych
W obszarze klienta brak narzędzi śledzących i analitycznych, zewnętrznych czcionek i skryptów; na publicznej stronie internetowej statystyki odwiedzin bez plików cookie (Plausible, UE); wyłącznie technicznie niezbędne pliki cookie: sesji oraz, jeśli wybiorą Państwo język, Państwa języka.
Okresy przechowywania
Adresy IP w dzienniku są skracane po 90 dniach, wpisy dziennika usuwane po 24 miesiącach, zapytania potencjalnych klientów po 12 miesiącach.
Eksport w dowolnym momencie, bez uzależnienia od dostawcy
Dokumenty, tabele, raporty i pakiet zgodności ze wszystkimi plikami dowodowymi można eksportować w dowolnym momencie.
Zmiana dostawcy bez kosztów
Przejście do innego dostawcy lub do własnego systemu ze stałymi terminami i eksportem danych Państwa firmy w otwartych formatach. Przebieg i formaty opisuje strona „Zmiana dostawcy i eksport danych”.
Dostęp do odczytu po zakończeniu umowy
Po zakończeniu umowy Państwa treści pozostają dostępne do odczytu i eksportu; zablokowana jest wyłącznie edycja.
Usunięcie danych na życzenie
W portalu: najpierw eksport, następnie potwierdzenie hasłem, MFA, nazwą firmy i adresem e-mail, 7-dniowy okres oczekiwania, potwierdzenie usunięcia w formacie PDF.
Dane o podatnościach bez wysyłania danych na zewnątrz
Dopasowanie do publicznych danych o podatnościach odbywa się na naszym serwerze.
- Kopia publicznych źródeł
- Żadne dane klientów nie są wysyłane na zewnątrz
Pokaż wszystkie środki w tym obszarze (2)
Kopia publicznych źródeł
NVD, CISA KEV, EPSS i ENISA EUVD są pobierane na serwer.
Żadne dane klientów nie są wysyłane na zewnątrz
Informacje z Państwa inwentarza zasobów nie są wysyłane do usług zewnętrznych w celu dopasowania.
Przejrzystość
Z czego korzystamy, jak dalej rozwijamy Complass i jak mogą Państwo zgłaszać nam podatności w zabezpieczeniach.
- Dalsze podmioty przetwarzające
- Wsparcie za pośrednictwem administratora
- Historia wersji
- Zgłoś podatność
- Treści wspierane przez AI
Pokaż wszystkie środki w tym obszarze (5)
Dalsze podmioty przetwarzające
Dla treści, które zapisują Państwo w portalu, korzystamy z Hetzner Online GmbH (hosting). Z dodatkowym modułem „Alarmowanie SMS-em i telefonem” dochodzi sms77 io GmbH (seven.io) dla numeru telefonu i treści alarmu.
Wsparcie za pośrednictwem administratora
Błędy, wnioski i pytania docierają do nas zebrane za pośrednictwem Państwa administratora. Status i odpowiedzi widać w zgłoszeniu, aż do „rozwiązano w wersji …”. Nigdy nie widzą Państwo zgłoszeń innych klientów, i odwrotnie.
Historia wersji
Zmiany w poszczególnych wersjach są wymienione w sekcji „Co nowego”.
Zgłoś podatność
Zgłoszenia podatności w zabezpieczeniach prosimy przesyłać na adres security@complass.de; kontakt także pod /.well-known/security.txt.
Treści wspierane przez AI
Treści powstają przy wsparciu AI i są weryfikowane z tekstami oryginalnymi przez naszych ekspertów.
Co się stanie, jeśli …?
Bezpieczeństwo widać w codziennych sytuacjach. Te przypadki zdarzają się w każdej firmie i tak postępuje z nimi Complass.
… hasło wpadnie w niepowołane ręce?
Bez kodu z aplikacji uwierzytelniającej nikt nie wejdzie. Po 5 błędnych hasłach logowanie hasłem z danej sieci jest blokowane, po 5 błędnych kodach – całe konto, najpierw na 15 minut, a przy ponownej blokadzie w ciągu 24 godzin na dłużej. Dzięki temu nikt, kto zna tylko Państwa adres e-mail, nie może Państwa zablokować. Dana osoba oraz Państwa administratorzy otrzymują e-mail o blokadzie. Gdy ktoś loguje się z nowego urządzenia, ta osoba również otrzymuje e-mail. Nieudane logowania są widoczne w Państwa dzienniku zdarzeń.
… ktoś odchodzi z firmy?
Państwa administrator dezaktywuje konto w sekcji „Zespół i dostępy”. Wszystkie otwarte sesje tej osoby kończą się natychmiast, a logowanie nie jest już możliwe. Miejsce w Państwa limicie użytkowników znów staje się wolne.
… ktoś zostawi otwartą przeglądarkę?
Po 30 minutach bez aktywności portal automatycznie wylogowuje użytkownika; najpóźniej po 10 godzinach wymagane jest ponowne logowanie z MFA. Administratorzy firmy mogą wybrać od 10 do 60 minut oraz od 4 do 12 godzin. Każda osoba widzi swoje aktywne sesje i może wylogować inne urządzenia.
… telefon z aplikacją zostanie zgubiony?
Kluczem odzyskiwania logują się Państwo jednorazowo i od razu konfigurują nową aplikację. Bez klucza Państwa administrator na życzenie resetuje logowanie MFA; hasło pozostaje, a poprzednie sesje wygasają.
Pokaż więcej przypadków (5)
… audytor potrzebuje wglądu?
Wystarczy utworzyć konto z rolą „tylko odczyt”, ograniczone do danego projektu i z datą wygaśnięcia. Po tej dacie logowanie nie jest już możliwe, bez konieczności pamiętania o tym przez kogokolwiek.
… Complass ma Państwa wesprzeć?
Nasi konsultanci widzą Państwa projekty dopiero wtedy, gdy Państwa administrator udzieli dostępu konsultanta, każdorazowo na najwyżej 90 dni. Każda sesja, w której konsultant otwiera projekt, jest zapisywana w Państwa dzienniku zdarzeń, a zgodę można cofnąć jednym kliknięciem. Dostęp awaryjny istnieje tylko wtedy, gdy Państwa firma wcześniej na niego zezwoliła: z ponownym logowaniem, zatwierdzeniem przez drugą osobę z naszego zespołu, na najwyżej 60 minut i tylko do odczytu; Państwa administratorzy są natychmiast informowani e-mailem. Jeśli nasz zespół resetuje dostęp danej osoby (hasło i logowanie z MFA), zmienia jej adres e-mail lub trwale usuwa projekt, dzieje się to wyłącznie po zatwierdzeniu przez drugą osobę z naszego zespołu, a Państwa administratorzy otrzymują o tym e-mail. Link do ponownej konfiguracji otrzymuje sama osoba e-mailem; nasz zespół nigdy go nie widzi. Dotyczy to również specjalistów, których Complass angażuje do pojedynczych zleceń: działają w imieniu Complass i wyłącznie poprzez udzielony przez Państwa dostęp konsultanta.
… Complass potrzebuje wglądu w Państwa widok, aby pomóc?
Kontrolę nad dostępem wsparcia technicznego zachowują Państwo sami: nasze wsparcie widzi Państwa widok wyłącznie za Państwa zgodą, którą udzielają Państwo samodzielnie w zgłoszeniu lub w sekcji „Moje konto”. Zgoda jest ograniczona w czasie (od 30 minut do 2 godzin), domyślnie tylko do odczytu, bez plików i bez eksportu, i można ją zakończyć w każdej chwili jednym kliknięciem. Strona Państwa konta, hasło i logowanie MFA, zespół, uprawnienia i subskrypcja pozostają zablokowane. Państwo i Państwa administratorzy są powiadamiani o rozpoczęciu sesji, a każde wyświetlenie strony jest zapisywane w Państwa dzienniku zdarzeń. Zatwierdzeń, wydań, odbiorów, akceptacji ryzyka i potwierdzeń zapoznania się wsparcie nie może udzielać nawet z dostępem do zapisu; to, co tworzy lub zmienia, jest w historii oznaczone jako „utworzone we wsparciu przez …”.
… projekt zostanie usunięty przez pomyłkę?
Usuwać mogą tylko administratorzy (lub osoby, którym Państwa administratorzy nadadzą prawo „Usuwanie”), i to dopiero po wpisaniu nazwy projektu i potwierdzeniu aktualnym kodem z aplikacji lub passkey. Projekt pozostaje następnie 30 dni w koszu i można go przywrócić jednym kliknięciem. Wcześniejsze wersje dokumentów i list kontrolnych są zachowywane, a dodatkowo wykonywany jest codzienny backup.
… licencja wygaśnie?
Państwa projekty pozostają dostępne do odczytu i eksportu; zablokowana jest wyłącznie edycja. Pakiet zgodności jako plik ZIP zawiera dokumenty, tabele, raporty i wszystkie pliki dowodowe z sumami kontrolnymi.
Czego świadomie nie robimy
- Bez trackerów reklamowych, bez analityki w obszarze klienta
- Bez sprzedaży i przekazywania Państwa danych
- Bez trenowania AI na Państwa danych
- Bez narzędzi zdalnego sterowania firm trzecich
Szczegóły dotyczące przetwarzania danych osobowych znajdują się w polityce prywatności.
Szczegóły techniczne dla Państwa IT
Dla kierownictwa IT i inspektorów bezpieczeństwa informacji: środki szczegółowo.
Logowanie i hasła
- Hasła o długości co najmniej 12 znaków; odrzucane są m.in. hasła zawierające adres e-mail, własne imię i nazwisko lub nazwę firmy, o zbyt prostej budowie, należące do najpopularniejszych haseł lub takie, które pojawiły się w znanych wyciekach danych.
- Przy sprawdzaniu pod kątem wycieków danych poza serwer trafia tylko pierwszych 5 znaków skrótu hasła (k-anonimowość); samo hasło nigdy nie jest przesyłane.
- Jednolity komunikat o błędzie i wyrównany czas odpowiedzi, aby nie można było ustalić, czy adres e-mail jest zarejestrowany.
- Stopniowa blokada po 5 nieudanych próbach (15 min, 1 godz., 1 dzień; licznik wygasa po 24 godzinach bez nieudanej próby): błędne hasła blokują tylko logowanie hasłem z sieci, z której pochodzą, błędne kody – całe konto. Dodatkowo obowiązuje Rate Limiting wynoszący 30 prób logowania na adres IP w ciągu 15 minut, także dla passkeyów.
- Konta powstają wyłącznie przez linki zaproszeń: ważne 72 godzin, jednorazowego użytku, także przy jednoczesnych próbach użycia.
- Połączenia wychodzące (Egress), np. do dostawcy logowania kontem firmowym lub do komunikatów producentów o bezpieczeństwie, odbywają się wyłącznie przez https do adresów publicznych; przekierowania są sprawdzane pojedynczo. Sieci wewnętrzne centrum danych są w ten sposób niedostępne.
Ochrona przed atakami na logowanie
- Stopniowa blokada: po 5 błędnych hasłach logowanie hasłem z tej sieci jest zablokowane na 15 minut, po 5 błędnych kodach – całe konto; przy ponownej blokadzie w ciągu 24 godzin jest ona stopniowo wydłużana (15 min, 1 godz., 1 dzień). Udane logowanie zeruje licznik. Błędne hasła i kody liczą się także w otwartej sesji; po 5 nieudanych próbach sesja się kończy.
- Rate Limiting na połączenie: najwyżej 30 prób logowania z jednego adresu IP w ciągu 15 minut; po powtarzających się nieudanych próbach logowanie odpowiada z opóźnieniem (do 2 sekund). Wiele nieudanych prób z wielu różnych adresów z jednego połączenia tymczasowo blokuje mu możliwość logowania.
- Ten sam komunikat i ten sam czas odpowiedzi dla nieznanego adresu, błędnego hasła i zablokowanego konta: z zewnątrz nie można ustalić, czy konto istnieje lub jest zablokowane.
- Powiadomienie: w razie blokady dana osoba i administratorzy Państwa firmy otrzymują e-mail; administratorzy mogą zdjąć blokadę. Przy logowaniu z dotychczas nieznanego urządzenia osoba otrzymuje e-mail (można to wyłączyć w „Moje konto”). Znane urządzenie jest rozpoznawane po podpisanym pliku cookie urządzenia, także gdy zmieni się adres IP, w przeciwnym razie w przybliżeniu po przeglądarce, systemie operacyjnym i zakresie sieci, bez usług lokalizacji.
- Alarmowanie działu operacyjnego: nieudane próby, blokady, blokady adresów IP i zapytania do typowych celów ataków są rejestrowane jako zdarzenia bezpieczeństwa. W przypadku nagromadzenia, zablokowanych połączeń i zdarzeń na kontach naszych administratorów nasz zespół operacyjny jest natychmiast alarmowany e-mailem; otrzymuje też codzienny raport.
- Państwa administratorzy widzą zdarzenia bezpieczeństwa na kontach Państwa firmy (nieudane logowania, blokady, nowe urządzenia) z filtrami i eksportem.
Logowanie MFA
- TOTP zgodnie z RFC 6238 (6 cyfr, 30 sekund), zgodne z popularnymi aplikacjami uwierzytelniającymi. Każdy kod jest ważny tylko raz (ochrona przed odtwarzaniem).
- Kod QR do konfiguracji jest generowany w przeglądarce; secret nie jest wysyłany do żadnej zewnętrznej usługi.
- Jeden klucz odzyskiwania (28 znaków), jednorazowego użytku, po którym konieczna jest ponowna konfiguracja aplikacji; można go wygenerować ponownie w dowolnym momencie.
- Nie ma dostępu bez MFA; konfiguracja jest wymuszana przy pierwszym logowaniu.
Sesje i ochrona przed atakami
- Plik cookie sesji z prefiksem __Host-, Secure, HttpOnly i SameSite=Strict; nowy identyfikator sesji po każdym etapie logowania.
- Wylogowanie po 30 minutach nieaktywności, najpóźniej po 10 godzinach (domyślnie; do ustawienia dla każdej firmy: 10–60 minut lub 4–12 godzin).
- Po zmianie hasła lub urządzenia MFA wszystkie pozostałe sesje osoby kończą się; po dezaktywacji – wszystkie.
- Token CSRF przy każdej zmianie.
- Polityka bezpieczeństwa treści bez skryptów inline i bez źródeł zewnętrznych (default-src 'self', frame-ancestors 'none', object-src 'none'), a także X-Content-Type-Options, Referrer-Policy, Permissions-Policy, Cross-Origin-Opener-Policy i Cache-Control: no-store.
Szyfrowanie
- Data in Transit: wyłącznie HTTPS, HSTS przez rok, wraz z subdomenami.
- Pliki dowodowe: libsodium secretstream (XChaCha20-Poly1305) w blokach 64 KiB, klucz dla każdego klienta wyprowadzany z klucza głównego przez KDF. Przechowywane pod losowymi nazwami poza katalogiem głównym serwera WWW (katalogi 0700, pliki 0600).
- Secrets MFA: szyfrowane za pomocą libsodium secretbox (XSalsa20-Poly1305).
- Hasła: przechowywane wyłącznie jako skrót Argon2id; starsze skróty są automatycznie odnawiane przy następnym logowaniu. Linki zaproszeń i klucze odzyskiwania: przechowywane wyłącznie jako HMAC-SHA-256.
- Backup plików dowodowych: zawiera pliki w postaci zaszyfrowanej.
- Backup bazy danych: szyfrowanie hybrydowe (libsodium: klucz pliku dla każdego backupu, zawartość za pomocą XChaCha20-Poly1305, klucz pliku zapieczętowany publicznym kluczem backupu). Klucz prywatny nie jest przechowywany na serwerze.
Pliki dowodowe
- Dozwolone są tylko określone typy plików; sprawdzane jest zarówno rozszerzenie, jak i faktyczna zawartość.
- Dostęp do plików wyłącznie z uprawnieniem do projektu lub zadania: jako plik do pobrania lub, w przypadku plików PDF, obrazów i plików tekstowych, jako podgląd w przeglądarce. W obu przypadkach zawsze w odizolowanym środowisku (sandbox) bez skryptów.
- Ta sama nazwa pliku tworzy nową wersję; wcześniejsze wersje pozostają dostępne. Usunięte pliki są trwale usuwane po 30 dniach.
Backup i odtwarzanie
- Codzienny backup bazy danych (spójna, skompresowana i zaszyfrowana kopia) oraz plików dowodowych; przechowywanych jest ostatnich 30 backupów.
- Kosz dla wszystkich wpisów (projekty, ryzyka, incydenty, zadania, zasoby, pliki dowodowe i inne): możliwość przywrócenia przez 30 dni, potem trwałe usunięcie.
- Wcześniejsze wersje: ostatnie 100 dla każdego dokumentu (wersje zatwierdzone bezterminowo), ostatnie 50 stanów dla każdej listy kontrolnej.
- Własny klucz każdego klienta w backupach: przy usunięciu zostaje zniszczony; dane stają się wtedy od razu nieczytelne w większości kopii, a we wszystkich najpóźniej po ich wygaśnięciu.
- Poszczególne projekty można odtworzyć z backupu jako kopię obok bieżącego stanu, bez nadpisywania istniejących danych.
Dostęp ze strony Complass
- Konsultanci widzą projekty klientów tylko za zgodą administratora klienta; dostępy konsultantów są zapisywane w dzienniku klienta (dostęp konsultanta według sesji i projektu, dostęp awaryjny przy każdym otwarciu projektu wraz z jego numerem).
- Dostęp awaryjny tylko wtedy, gdy klient wcześniej na niego zezwolił, z pisemnym uzasadnieniem, ponownym logowaniem i zatwierdzeniem przez drugą osobę, na najwyżej 60 minut, tylko do odczytu, w dzienniku klienta i z natychmiastowym e-mailem do administratorów klienta.
- Sesje wsparcia wyłącznie za zgodą zainteresowanej osoby, ograniczone w czasie, domyślnie tylko do odczytu, rozpoczynane kodem MFA naszego administratora w oddzielnej sesji (Państwa sesja nigdy nie jest przejmowana) i możliwe do zakończenia przez Państwa w każdej chwili; każde wyświetlenie strony jest zapisywane w dzienniku zdarzeń klienta.
- Działania wsparcia naszych administratorów, takie jak reset hasła i MFA czy kończenie sesji, również pojawiają się w Państwa dzienniku zdarzeń.
Działanie
- Hosting w Hetzner Online GmbH na serwerach w Niemczech.
- Publicznie dostępny jest wyłącznie punkt wejścia portalu; baza danych, pliki dowodowe, backupy i kod programu są zablokowane od strony internetu.
- Monitoring: dostępność, backupy, zadania cron, pamięć masowa, dane o podatnościach, dostarczanie e-maili, błędy serwera, czas odpowiedzi i PHP są stale kontrolowane; alarmy trafiają do Complass e-mailem. W monitoringu nie ma treści klientów.
Często zadawane pytania o bezpieczeństwo
Kto może widzieć moje dane?
Osoby z Państwa firmy, którym Państwa administratorzy udzielają dostępu, w granicach ich uprawnień. Complass widzi w interfejsie wyłącznie dane administracyjne; treści tylko za Państwa zgodą dla konsultanta, w udostępnionej przez Państwa sesji wsparcia lub w zapisywanym w dzienniku dostępie awaryjnym, jeśli Państwo wcześniej na niego zezwolili.
Czy Complass technicznie może uzyskać dostęp do danych?
Jako operator zarządzamy serwerem i kluczami do szyfrowania plików dowodowych. Dostęp poza interfejsem użytkownika reguluje umowa powierzenia przetwarzania danych i jest ograniczony do działu operacyjnego.
Co dzieje się w razie incydentu bezpieczeństwa w Complass?
Niezwłocznie informujemy dotkniętych klientów. Naruszenia ochrony danych osobowych są zgłaszane zgodnie z RODO, jako podmiot przetwarzający – najpierw Państwu jako administratorowi.
Czy Complass jest certyfikowany?
Nie. Na tej stronie opisujemy, jakie środki są wdrożone; chętnie szczegółowo odpowiemy na pytania Państwa zespołu bezpieczeństwa IT.
Pytania od Państwa zespołu bezpieczeństwa IT?
Chętnie odpowiemy na Państwa pytania dotyczące bezpieczeństwa Complass, także podczas demo.
Jak oceniamy według OWASP ASVS 5.0
Lub e-mailem na adres info@complass.eu.