Bezpieczeństwo

Szyfrowanie podczas przesyłania

Cały ruch między witryną i panelem a backendem w chmurze jest szyfrowany przez HTTPS/TLS. Dane takie jak informacje o koncie, szablony wycieczek i statystyki nie są wysyłane do sieci jako zwykły tekst.

PODCZAS wycieczki system jest w trybie offline z założenia. Telefon przewodnika działa jako serwer w lokalnej sieci WiFi; uczestnicy skanują kod QR i łączą się przez sieć lokalną przy użyciu http/ws. Ten ruch pozostaje w sieci lokalnej i nie trafia do internetu. Audio i interakcje uczestników pozostają w sieci lokalnej, w której odbywa się wycieczka, dlatego dane wycieczki są przechowywane na Twoich urządzeniach i w sieci lokalnej domyślnie. Jedynym wyjątkiem jest tłumaczenie na żywo, które przewodnik włącza wyraźnie: gdy jest aktywne, głos przewodnika jest przesyłany do naszego zaplecza i do Google Gemini w celu tłumaczenia w czasie rzeczywistym.

Uwierzytelnianie

Sesje panelu są zarządzane za pomocą krótkotrwałego tokenu dostępu (access) i dłużej ważnego tokenu odświeżania (refresh). Token dostępu jest przechowywany w pamięci; sesja jest podtrzymywana przez ciche odświeżanie.

Konta obsługują opcjonalną weryfikację dwuetapową (2FA / TOTP). Po jej włączeniu logujesz się, podając oprócz hasła jednorazowy kod z aplikacji uwierzytelniającej.

Kontrola dostępu i uprawnienia oparte na rolach

Konta firmowe (organizacji) korzystają z autoryzacji opartej na rolach. Role owner, manager i member mają różne uprawnienia; użytkownik uzyskuje dostęp wyłącznie do danych i operacji dozwolonych dla jego roli.

Zapraszanie, zmiana ról i zarządzanie członkami są wykonywane przez uprawnione role. Dzięki temu dane i statystyki firmy pozostają dostępne wyłącznie dla upoważnionych osób.

Minimalizacja danych i brak śledzenia przez firmy trzecie

Zbieramy wyłącznie dane niezbędne do świadczenia usługi. Unikamy żądania nadmiarowych danych, a zebrane dane ograniczamy do określonych celów.

Witryna nie uruchamia żadnych narzędzi śledzących ani analitycznych firm trzecich. W Twojej przeglądarce przechowywane są niezbędny (strictly-necessary) token uwierzytelniający oraz Twój wybór dotyczący zgody na pliki cookie (localStorage: dw_refresh, dw_consent); a jeśli trafisz przez link kampanii lub polecenia, także atrybucja kampanii pierwszej strony (dw_attr_first, dw_attr_last) służąca do zmierzenia, która kampania doprowadziła do rejestracji. Nie stosujemy pikseli reklamowych firm trzecich, odcisków palca (fingerprinting) ani modułów śledzących między witrynami.

Kontrola nad Twoim kontem

Hasło możesz w każdej chwili zmienić z poziomu panelu.

Wylogowując się ze wszystkich urządzeń, możesz zakończyć wszystkie aktywne sesje w jednej operacji; jest to skuteczne w przypadku utraty urządzenia lub podejrzanej sytuacji.

Możesz usunąć swoje konto z panelu. Możesz również złożyć wniosek o wyeksportowanie kopii swoich danych.

Zgłoszenie luki bezpieczeństwa

Jeśli zauważysz lukę bezpieczeństwa lub podejrzaną sytuację, prosimy o zgłoszenie szczegółów na adres [email protected]. Rozpatrzymy Twoje zgłoszenie i odpowiemy w rozsądnym terminie.

Oczekujemy, że badacze działający w dobrej wierze będą z nami współpracować zgodnie z zasadą odpowiedzialnego ujawniania (responsible disclosure): skontaktuj się z nami przed opublikowaniem ustalenia i daj nam rozsądny czas na wprowadzenie poprawki.

Certyfikaty i szczegóły

Ta strona opisuje wyłącznie środki, które stosujemy obecnie; nie rościmy sobie prawa do żadnego certyfikatu, którego nie posiadamy. Oficjalne certyfikaty bezpieczeństwa oraz szczegółowy dokument dotyczący bezpieczeństwa (whitepaper) mogą zostać udostępnione na życzenie, a prace nad nimi są w toku.

W sprawach związanych z oceną korporacyjną, zakupem lub procesami zgodności możesz skontaktować się z nami pod adresem [email protected].