Bezpieczeństwo danych w Atut CRM
Atut CRM chroni dane izolacją organizacji, kontrolą dostępu i dziennikiem zdarzeń. Opisujemy tu tylko to, co faktycznie działa w systemie, razem z narzędziami ułatwiającymi obowiązki RODO.
Ochrona danych
Jak chronimy dane w systemie
Zabezpieczenia działają na poziomie danych, logowania, plików i uprawnień. Wiele z nich jest sprawdzanych testami automatycznymi.
Izolacja organizacji
Każde zapytanie o rekord jest ograniczone do Twojej organizacji, nawet gdy ktoś poda cudzy identyfikator. Testy automatyczne sprawdzają to dla każdego typu danych.
Uprawnienia per osoba
Uprawnienia sprawdzane są na każdej trasie serwera, a nie tylko w interfejsie. Zakres „tylko własne” ukrywa cudze rekordy.
Hasła i logowanie
Hasła mają co najmniej 10 znaków, są zapisywane jako skróty (Argon2id lub bcrypt), a próby logowania są limitowane. Logowanie możliwe też kontem Connect lub kodem QR.
Sesje i urządzenia
Sesja wygasa po 2 godzinach bezczynności i po 12 godzinach od logowania. „Zapamiętaj mnie” działa do 30 dni, na maksymalnie pięciu urządzeniach, i kończy się przy zmianie hasła.
Załączniki
Dozwolone są wybrane typy plików sprawdzane po zawartości. Pliki mają losowe nazwy, leżą poza katalogiem publicznym i są pobierane tylko z kontrolą dostępu.
Dziennik zdarzeń
Logowania, zmiany zgód, dodawanie osób do zespołu i inne zdarzenia zapisują się w dzienniku dostępnym dla osób z uprawnieniem. Okres przechowywania jest konfigurowalny.
Ochrona przed typowymi atakami
Każde żądanie zapisu wymaga tokenu CSRF, interfejs nie wstawia danych jako HTML, a polityka CSP ogranicza źródła skryptów. Zapytania do bazy są przygotowane, bez sklejania tekstu.
Bezpieczny eksport
Eksport do CSV poprzedza niebezpieczne znaki w komórkach, żeby arkusz nie wykonał wstrzykniętej formuły.
Zespół i dostęp
Administrator systemu widzi liczby i zespoły. Dane klientów organizacji eksportuje lub usuwa wyłącznie jako jawną akcję, która zapisuje się w dzienniku.
RODO
CRM zgodny z RODO: narzędzia dla administratora danych
Twoja organizacja jest administratorem danych klientów, a Partner IT Polska podmiotem przetwarzającym. Atut CRM daje narzędzia do obsługi najczęstszych wniosków.
- Zgoda marketingowa zapisuje datę i źródło, a każda zmiana trafia do dziennika zdarzeń.
- Prawo dostępu: przycisk „Pobierz dane osoby” eksportuje dane kontaktu w formacie JSON.
- Prawo do usunięcia: „Anonimizuj” usuwa dane osobowe kontaktu, a szanse i historia zostają bez nich.
- Retencja: okres przechowywania dziennika zdarzeń jest konfigurowany, a stare wpisy są czyszczone automatycznie.
- Eksport i usunięcie danych całej organizacji wykonuje administrator systemu jako jawną, zapisywaną akcję.
- Powierzenie przetwarzania: zasady przetwarzania danych klientów na zlecenie Twojej organizacji określa umowa powierzenia (art. 28 RODO).
- Pamięć podręczna kont (imię, e-mail, stanowisko) jest czyszczona po 30 dniach bez odświeżenia.
- Odpowiedzialność wspólna: narzędzia ułatwiają zgodność, ale nie zastępują procedur w Twojej firmie ani oceny prawnej.
Opcjonalnie
Sejf haseł zespołu
Wtyczka dla organizacji, którym administrator systemu ją włączy. Ma osobne zabezpieczenia niezależne od reszty CRM.
Szyfrowanie
Baza sejfu jest szyfrowana (AES-256), a klucz wyprowadzany z hasła głównego przez Argon2id. Plik leży poza katalogiem publicznym.
PIN i blokady
Każda osoba ma własny PIN. Błędne próby powodują coraz dłuższe blokady, a po wielu próbach twardą blokadę do odblokowania przez administratora.
Role i dziennik
Role: podgląd, edycja, zarządzanie, administrator sejfu. Dziennik dostępu ma łańcuch skrótów, który wykrywa ukrywanie śladów.
Sejf nie jest zastępstwem dla zabezpieczenia komputera użytkownika: złośliwe oprogramowanie na urządzeniu może przechwycić odsłonięte hasła.
FAQ
Pytania o bezpieczeństwo i RODO
Czy Atut CRM jest zgodny z RODO?
Atut CRM udostępnia funkcje ułatwiające spełnienie wymogów RODO: zgody marketingowe z datą i źródłem, eksport danych osoby, anonimizację kontaktu, dziennik zdarzeń i kontrolę dostępu. Zgodność jako całość zależy także od tego, jak Twoja organizacja używa systemu i jakie ma procedury.
Kto ma dostęp do danych moich klientów?
Dostęp mają osoby z Twojego zespołu, w zakresie ich uprawnień. Administrator systemu widzi liczby i zespoły, a dane klientów organizacji może wyeksportować lub usunąć wyłącznie jako jawną akcję zapisywaną w dzienniku.
Jak usunąć dane osoby na jej żądanie?
Na karcie kontaktu wybierz „Anonimizuj”. Dane osobowe znikają, a szanse i historia zostają bez nich. Wcześniej możesz pobrać dane osoby w formacie JSON, jeśli osoba o to prosi.
Czy mogę zawrzeć umowę powierzenia przetwarzania danych?
Tak. Umowa powierzenia (art. 28 RODO) określa zasady przetwarzania danych klientów Twojej organizacji. Aby ją otrzymać, skontaktuj się z nami.
Uporządkuj sprzedaż, zanim zrobi to konkurencja
Załóż konto i korzystaj z Atut CRM przez 30 dni. Zespół zacznie pracować jeszcze dziś.