Polityka bezpieczeństwa serwisu Cookie360

Wersja 2026-01 · środki techniczne i organizacyjne (art. 32 RODO)

1. Zakres

Dokument opisuje środki bezpieczeństwa stosowane przez BMD LAB Sp. z o.o. przy świadczeniu usługi Cookie360: panelu klienta, skryptu CMP oraz zaplecza przechowującego dowody zgód.

2. Zasady naczelne

• Minimalizacja danych. Zbieramy wyłącznie dane niezbędne do wykazania zgody. Nigdy nie przechowujemy surowego adresu IP odwiedzającego - wyłącznie jego posolony skrót (SHA-256 + sól serwerowa).
• Domyślna odmowa. Wszystkie kategorie inne niż niezbędne są domyślnie wyłączone do czasu zgody.
• Izolacja najemców. Każda funkcja panelu wymusza przypisanie do konta; dane jednego klienta są niedostępne dla innego.
• Rozdzielenie ról. Dostęp naszego zespołu (super-admin) jest odrębnym mechanizmem od kont klientów.

3. Środki techniczne

Obszar	Środek
Transmisja	Wyłącznie HTTPS/TLS; skrypt i API serwowane po TLS
Uwierzytelnianie	Hasła przechowywane jako skróty; wymagane potwierdzenie adresu e-mail; reset przez link czasowy
Autoryzacja	Kontrola dostępu po stronie serwera dla każdej operacji; identyfikator konta zawsze wyznaczany serwerowo, nigdy przyjmowany od klienta
Dane zgód	Zapis wyłącznie dopisywany (append-only) - pełna historia decyzji, bez nadpisywania
Adres IP	Solony skrót SHA-256; surowy IP nie jest zapisywany ani logowany
CORS	Lista dozwolonych domen czytana dynamicznie z rejestru; nigdy *
Płatności	Obsługiwane przez operatora płatności; nie przechowujemy danych kart. Webhooki weryfikowane podpisem HMAC z ochroną przed powtórzeniem
Retencja	Dowody zgód usuwane automatycznie po 24 miesiącach (zadanie cykliczne)
Monitoring	Moduł Security: kontrola certyfikatu TLS i nagłówków bezpieczeństwa domen objętych usługą

4. Środki organizacyjne

• Dostęp do danych klientów wyłącznie dla upoważnionych osób, w zakresie niezbędnym do obsługi.
• Rejestrowanie dostępu międzynajemcowego - każda operacja naszego zespołu na danych klienta jest zapisywana w dzienniku audytu.
• Zobowiązania do poufności dla osób mających dostęp do danych.
• Przegląd uprawnień przy zmianach w zespole.

5. Podmioty przetwarzające

Korzystamy z dostawców infrastruktury (Convex, Vercel - USA) na podstawie umów powierzenia i standardowych klauzul umownych (SCC) wraz z oceną skutków transferu. Pełna lista i zasady: Umowa powierzenia.

6. Kopie zapasowe i ciągłość działania

Dane przechowywane są u dostawcy zaplecza zapewniającego trwałość i kopie zapasowe zgodnie z jego regulaminem. Skrypt CMP zawiera wbudowaną konfigurację awaryjną - baner działa nawet przy niedostępności zaplecza, a domyślny stan pozostaje „odmowa".

7. Postępowanie w razie naruszenia

1. Wykrycie i ograniczenie skutków.
2. Ocena ryzyka dla praw i wolności osób.
3. Powiadomienie Administratora (Klienta) bez zbędnej zwłoki - zgodnie z Umową powierzenia.
4. Dokumentacja zdarzenia i działań naprawczych.

8. Zgłaszanie podatności

Podatności prosimy zgłaszać na kontakt@cookie360.pl. Nie podejmujemy kroków wobec osób zgłaszających w dobrej wierze i bez naruszania danych osób trzecich.

9. Aktualizacja

Polityka jest przeglądana przy istotnych zmianach architektury lub zakresu usługi.