AthenaVault: bezpieczeństwo danych, RODO i DORA

01

Wasze dane nie trenują modeli

Ani trenowania, ani dostrajania żadnego modelu.¹¹

02

Osobna baza, backend i load balancer

Dla każdego klienta. Wasze dane nie dzielą bazy z danymi innej firmy.¹¹

03

Ślad audytowy każdej akcji

Kto, kiedy i na podstawie którego dokumentu. Każda akcja w systemie zostaje zapisana.

04

Szyfrowanie AES-256, klucze w UE

W transmisji TLS 1.2 lub nowszy. Klucze w usłudze KMS dostawcy chmury w UE.¹¹

Dokumenty z danymi osobowymi to przypadek, dla którego system powstał, a nie wyjątek, który obsługuje.

Bezpieczeństwo w projekcie

Żaden system nie usuwa ryzyka do zera. Dlatego nie obiecujemy wyniku, tylko pokazujemy mechanizmy, które możecie sprawdzić w produkcie i w umowie.

Ochrona danych nie jest nakładką na gotowy produkt. Te mechanizmy wbudowaliśmy w to, jak system działa i gdzie pracuje.

Dane w UE, zapisane w umowie

SaaS hostowany przez xdivision. w Unii Europejskiej, u dostawcy chmury z certyfikatem ISO/IEC 27001. Lokalizacja danych jest wpisana do umowy. Korzystamy z otwartych modeli, a reguła w kodzie nie pozwala po cichu przełączyć przetwarzania na model spoza UE.¹

Szyfrowanie z kluczami w UE

Dane w spoczynku szyfrujemy AES-256, w transmisji TLS 1.2 lub nowszym. Klucze trzymamy w usłudze KMS dostawcy chmury w UE.¹¹

Osobna infrastruktura dla każdego klienta

Każdy klient ma osobną bazę danych, osobny backend i osobny load balancer. Dane jednej firmy nie leżą w tej samej bazie co dane innej.¹¹

Wasze dane nie trenują modeli

Dokumenty i decyzje klienta nie służą do trenowania ani dostrajania żadnego modelu. Tryb cienia, w którym system proponuje reguły na podstawie Waszych decyzji, jest opcjonalny: to Wy decydujecie, czy go włączyć.¹¹

Role i uprawnienia

Administrator po Waszej stronie widzi wszystko. Analityk i rola tylko do odczytu widzą to, co nada im administrator. Aplikacja mobilna, nad którą pracujemy, ma działać tylko do odczytu i na zaproszenie.¹¹

Kopie zapasowe i usunięcie

Kopie zapasowe powstają codziennie, są szyfrowane i zostają w UE przez 30 dni. Dane przechowujemy tak długo, jak wymaga umowa. Usunięcie obejmuje usunięcie klucza szyfrującego, więc dane stają się nieodczytywalne.¹¹

Zasady w kodzie, nie w poleceniu

Zasady i zgody działają poza modelem, na trzech poziomach: konto, agent, rozmowa. Model nie może ich zmienić. Model może poprosić o zgodę, ale nie może jej sam wytworzyć.

Anonimizacja przed analizą

Anonymizer zamienia polskie dane osobowe na aliasy, zaczernienie albo dane syntetyczne, zanim dokument trafi do dalszej analizy. Działa bez generatywnego AI, więc te same dane i ustawienia dają ten sam wynik, a przy wątpliwości domyślnie ukrywa. Pracuje na tekście; inne formaty konfigurujemy w ramach wdrożenia. Dane spseudonimizowane nadal są danymi osobowymi.⁵

Pełny ślad audytowy

Każda decyzja i akcja zostawia ślad: wersja procesu, źródło, reguła i osoba. Zmiana procesu przechodzi przez szkic, pre-prod i produkcję, a automaty uruchamiają tylko wersje opublikowane.

Człowiek zatwierdza

Akcje, które tego wymagają, czekają na akceptację wskazanej osoby. Jeśli włączycie tryb cienia, system tylko proponuje, a człowiek decyduje. Po kilku zgodnych decyzjach system proponuje regułę i pokazuje, jak zadziałałaby na historii.

UE

SaaS hostowany przez nas w Unii Europejskiej, lokalizacja wpisana do umowy.
DORA wymaga wskazania lokalizacji, UE to nasz wybór.¹

Warstwy

Wasze dane chronią cztery warstwy i każdą z nich opisuje umowa.

01DaneWasze dokumenty i wyniki, zaszyfrowane AES-256 w bazie przeznaczonej tylko dla Was. Miejsce ich przetwarzania i przechowywania jest wpisane do umowy.

02UEKażdy moduł działa w tej samej lokalizacji: w interfejsie, przez API i w procesie. Reguła w kodzie nie pozwala po cichu przenieść przetwarzania poza UE.

03Zasady w kodzieZasady działają poza modelem. Model może poprosić o zgodę, ale nie może jej sam wytworzyć.

04CzłowiekAkcje, które tego wymagają, czekają na akceptację wskazanej osoby. Odpowiedzialność za zgodność zostaje u Was.²

Co chroni dane w produkcie (3)

Najedź na moduł

AnonymizerDane osobowe

Workflow SandboxZasady i wersje

VerifactSprawdzenie naszej umowy

DORA

Dla banku, ubezpieczyciela czy TFI jesteśmy dostawcą ICT. Do każdego wymogu wskazujemy dokument.

Ocenę dostawcy prowadzicie Wy, my przygotowujemy do niej materiał z góry. Zakres obowiązków zależy od typu podmiotu i ocenia go Wasz dział prawny.

DORA, art. 28 i 30 · co dostarczamyStan na IX 2026

Wymóg	Podstawa	Co dostarczamy	Dokument
Lokalizacja danych	art. 30 ust. 2 lit. b¹	Lokalizacja wskazana w umowie. UE wybraliśmy sami.	Przy umowiezałącznik lokalizacji
Dostęp i zwrot danych	art. 30 ust. 2 lit. d¹	Eksport xlsx z arkuszem cytatów, dane ze stałymi ID, procedura zwrotu.	Eksport w produkcieklauzula zwrotu
Klauzule umowne	art. 30 ust. 2 i 3¹	Wzór klauzul z art. 30 przekazujemy w pakiecie dostawcy przy umowie, do negocjacji z Waszym działem prawnym.	Przy umowiewzór klauzul DORA art. 30
Rejestr informacji	art. 28 ust. 3³	Dane dostawcy i usługi przygotowane z góry, bez zbierania mailami.	Przy umowiekarta do rejestru
Prawo audytu	art. 30 ust. 3¹	Prawo audytu w umowie i ślad każdej akcji w systemie.	Ślad w produkcieklauzula audytu
Strategia wyjścia	art. 30 ust. 3¹	Eksport, okres przejściowy, usunięcie z potwierdzeniem.	Przy umowieplan wyjścia
Standardy bezpieczeństwa	rozp. del. 2024/1773, art. 6⁴	Opis zabezpieczeń: szyfrowanie, izolacja klientów, kopie zapasowe, role. Hosting u dostawcy chmury z certyfikatem ISO/IEC 27001 w UE. Certyfikat osoby trzeciej to jedna z dróg, prawo go nie wymaga.	W pakiecie dostawcyopis zabezpieczeń
Odpowiedzialność	art. 28 ust. 1²	Zostaje u Was. Wspieramy proces śladem audytowym i nadzorem człowieka.	Po Waszej stronienie dotyczy

Artykuły z rozporządzenia (UE) 2022/2554, o ile nie wskazano inaczej.

RODO

Pseudonimizacja zmniejsza ryzyko, ale to nadal dane osobowe.⁵

Umowa powierzenia

Jesteśmy podmiotem przetwarzającym. Umowę z art. 28 podpisujemy przed pierwszym dokumentem, także przed pilotem, na naszym wzorze albo na Waszym.⁶

Dostęp, art. 15

Znajdziemy wszystko o osobie. Stały ID w Ontology łączy ją we wszystkich źródłach, więc nie przeszukujecie każdego systemu osobno.⁷

Usunięcie, art. 17

Zależy od przesłanek. Gdy przepisy wymagają przechowywania, na przykład w rachunkowości albo AML (ust. 3 lit. b), dane zostają, a decyzję podejmujecie Wy.⁷

Ślad audytowy

Audytor pyta, skąd wzięła się liczba i kto zatwierdził akcję. Odpowiedź jest w śladzie audytowym: wersja procesu, źródło, reguła i osoba.

Okres przechowywania śladu audytowego i format jego eksportu ustalamy w umowie.

ślad audytowyProces: odpowiedź na pozew. Wersja 7, produkcja. Krok 3: wyślij projekt pisma. Reguła konta nr 4: akceptacja wymagana. Decyzja: zatwierdzone przez radcę prawnego zespołu procesowego.

Ślad audytowy · Workflow Sandbox · wersja 7 · krok 3

Akcja „wyślij projekt pisma” czekała na akceptację. Zatwierdził radca prawny, podstawa: reguła konta nr 4.

Zapisane w śladzie audytowymdecyzja z datą i autorem

Przykład ilustracyjny.

Rekomendacje KIRP

Kancelaria zada dostawcy AI kilka pytań. Odpowiadamy na nie z góry.

KIRP zaleca sprawdzić przetwarzanie danych i dokumentację dostawcy oraz unikać narzędzi, które przyznają prawa do danych stronom trzecim.⁸ Pytania sformułowaliśmy sami na podstawie tych zaleceń.

Gdzie i przez kogo przetwarzane są dokumenty?

W naszym SaaS w UE, u dostawcy chmury z certyfikatem ISO/IEC 27001, a lokalizacja jest wpisana do umowy. Listę podmiotów przetwarzających dalej przekazujemy w pakiecie dostawcy.

Czy dokumentację dostawcy da się sprawdzić przed zakupem?

Tak, w pakiecie dostawcy. Część dokumentów uzgadniamy z Wami przy umowie.

Czy narzędzie przyznaje prawa do danych stronom trzecim albo trenuje na nich modele?

Dane kancelarii nie służą do trenowania ani dostrajania żadnego modelu. Jesteśmy podmiotem przetwarzającym, a zakres przetwarzania opisuje umowa powierzenia.

Czy wynik da się sprawdzić, zanim trafi do pisma?

Każda teza ma cytat z paragrafem albo jawne „brak danych”. OCR oznacza nieczytelne słowo jako nieczytelne i go nie zgaduje.

Czy radca lub adwokat zachowuje kontrolę nad decyzją?

Tak. Akcje wymagające akceptacji czekają na wskazaną osobę, a decyzja trafia do śladu audytowego.

Czy dane wrócą do kancelarii i zostaną usunięte?

Tak. Eksport, zwrot i usunięcie z potwierdzeniem obowiązują także po pilocie. Usunięcie obejmuje klucz szyfrujący, więc dane stają się nieodczytywalne. Terminy ustalamy w umowie.

Czy jest umowa powierzenia?

Tak, z art. 28 RODO, podpisana przed pierwszym dokumentem. Wzór przekazujemy w pakiecie dostawcy przy umowie; możecie też pracować na własnym.

AI Act i KNF

Dla AI Act liczy się data z załącznika III. Dla chmury w finansach punktem odniesienia jest DORA.

AI Act

Wymogi dla systemów wysokiego ryzyka z zał. III, m.in. oceny zdolności kredytowej osób fizycznych, obowiązują od 2.12.2027.⁹ Czy Wasz proces do nich należy, oceniacie Wy. My dajemy ślad audytowy, cytat ze źródła i nadzór człowieka.

KNF

KNF odwołała komunikat chmurowy z 23.01.2020 razem z Rekomendacją D z dniem 17.01.2025.¹⁰ Dlatego w umowie odnosimy się do DORA.

Wyjście

Warunki zakończenia współpracy ustalamy, zanim ją zaczniemy.

DORA wymaga dostępu do danych, ich odzyskania i zwrotu w łatwo dostępnym formacie, a przy funkcjach krytycznych także strategii wyjścia.¹

01EksportW trakcie umowy tabele Verifact do xlsx z arkuszem cytatów, dane z Ontology ze stałymi ID. Pełny format uzgadniamy z Wami.

02ZwrotOddajemy komplet danych i wyników w uzgodnionym formacie. Termin ustalamy w umowie.

03Okres przejściowyNa czas migracji zostaje Wam dostęp tylko do odczytu. Długość ustalamy w umowie.

04UsunięciePo zwrocie usuwamy dane razem z kluczem szyfrującym, więc stają się nieodczytywalne, i potwierdzamy to na piśmie. Po pilocie postępujemy tak samo.

Odpowiedzi dla działu bezpieczeństwa

Te same odpowiedzi dostaniecie na piśmie w pakiecie dostawcy, a to, co wymaga zapisu, trafi do umowy.

Pytania, które zadaje każdy dział bezpieczeństwa, i nasze odpowiedzi.¹¹

Czy szyfrujecie dane?

Tak. W spoczynku AES-256, w transmisji TLS 1.2 lub nowszy. Klucze są w usłudze KMS dostawcy chmury w UE.

Czy nasze dane trenują modele?

Nie. Dane klienta nie trenują ani nie dostrajają żadnego modelu. Tryb cienia jest opcjonalny i włączacie go sami.

Jak oddzielacie klientów?

Każdy klient ma osobną bazę danych, osobny backend i osobny load balancer.

Kto widzi dane w naszej organizacji?

Administrator widzi wszystko. Analityk i rola tylko do odczytu widzą to, co nada im administrator.

Jak robicie kopie zapasowe?

Codziennie. Kopie są szyfrowane, trzymamy je 30 dni i zostają w UE.

Jak długo przechowujecie dane i jak je usuwacie?

Tak długo, jak wymaga umowa. Usunięcie obejmuje usunięcie klucza szyfrującego, więc dane stają się nieodczytywalne. Procedurę usuwania pod RODO opisuje umowa.

Kto testuje bezpieczeństwo?

Testy bezpieczeństwa prowadzi zespół xdivision.

Czy macie ISO/IEC 27001?

System działa u dostawcy chmury w UE z certyfikatem ISO/IEC 27001. Opis naszych zabezpieczeń dostaniecie w pakiecie dostawcy.

Czy dostaniemy wzory umów?

Tak. Wzór umowy powierzenia (RODO art. 28) i klauzul DORA art. 30 przekazujemy w pakiecie dostawcy przy umowie. Możecie też pracować na własnym wzorze.

Kontakt

Poproś o pakiet dostawcy

Wyślemy dokumenty, które mamy, a pozostałe uzgodnimy z Wami przy umowie. Jeśli wolicie pracować na własnym wzorze umowy, napiszcie o tym.

Administratorem danych z formularza jest BLM Media sp. z o.o. (Pruszków). Dane przetwarzamy, żeby odpowiedzieć na zgłoszenie. Szczegóły w polityce prywatności.

Źródła

Rozporządzenie (UE) 2022/2554 (DORA), stosowane od 17.01.2025, art. 28, art. 30 ust. 2 lit. b i d, art. 30 ust. 3, eur-lex.europa.eu [F-REG-01]
Rozporządzenie (UE) 2022/2554, art. 28 ust. 1: podmiot finansowy pozostaje w pełni odpowiedzialny za zgodność [F-REG-02]
Rozporządzenie (UE) 2022/2554, art. 28 ust. 3: rejestr informacji o umowach z dostawcami ICT [F-REG-03]
Rozporządzenie delegowane (UE) 2024/1773, art. 6 ust. 3 lit. d: certyfikaty wydane przez osoby trzecie, eur-lex.europa.eu [F-REG-04]
Rozporządzenie (UE) 2016/679 (RODO), motyw 26: dane spseudonimizowane są danymi osobowymi [F-REG-07]
Rozporządzenie (UE) 2016/679, art. 28: podmiot przetwarzający i umowa powierzenia [F-REG-09]
Rozporządzenie (UE) 2016/679, art. 15 i art. 17, w tym art. 17 ust. 3 lit. b [F-REG-08]
KIRP, rekomendacje dotyczące korzystania z AI z 13.05.2025, za prawo.pl [F-REG-10]
Rozporządzenie (UE) 2024/1689 (AI Act), zał. III; termin 2.12.2027 wg rozporządzenia (UE) 2026/1744, eur-lex.europa.eu [F-REG-06]
KNF, komunikat z 16.01.2025: odwołanie komunikatu chmurowego z 23.01.2020 z dniem 17.01.2025; uchwała KNF nr 6/2025 z 10.01.2025 uchylająca Rekomendację D, knf.gov.pl/?articleId=92241&p_id=18 [F-REG-05]
Opis zabezpieczeń AthenaVault potwierdzony przez CTO xdivision., IX 2026: szyfrowanie, izolacja klientów, dostęp, role, kopie zapasowe, usunięcie danych, hosting [F-PRD-09, F-PRD-11 do F-PRD-19]

Opis modułów: dokumentacja produktu AthenaVault, IX 2026 [F-PRD-01 do F-PRD-08]. Strona nie jest poradą prawną.