Demozia logotyp
Demozia Certyfikowany system płatności

Polityka Bezpieczeństwa

Ostatnia aktualizacja: 10 lipca 2025

Niniejsza Polityka Bezpieczeństwa opisuje środki techniczne i organizacyjne wdrożone przez Demozia w celu ochrony danych, systemów i infrastruktury wykorzystywanej do świadczenia usług automatyzacji przetwarzania płatności. Bezpieczeństwo informacji stanowi fundament naszej działalności i jest nieodłącznym elementem każdego procesu realizowanego w ramach platformy demozia.com.

1. Zakres obowiązywania

Polityka obejmuje wszystkie systemy informatyczne, aplikacje, dane oraz procesy operacyjne związane ze świadczeniem usług przez Demozia. Dotyczy wszystkich pracowników, współpracowników, podwykonawców oraz podmiotów trzecich mających dostęp do zasobów infrastruktury Demozia.

2. Zasady ogólne

Bezpieczeństwo informacji w Demozia opiera się na trzech fundamentalnych zasadach:

3. Bezpieczeństwo infrastruktury

3.1. Środowisko hostingowe

Infrastruktura Demozia jest utrzymywana w certyfikowanych centrach danych spełniających uznane standardy bezpieczeństwa fizycznego i środowiskowego. Stosujemy redundancję na poziomie sprzętu, sieci oraz zasilania, aby minimalizować ryzyko przerw w działaniu usług.

3.2. Segmentacja sieci

Środowiska produkcyjne, testowe i deweloperskie są od siebie logicznie oddzielone. Ruch sieciowy jest kontrolowany przez zapory sieciowe i systemy wykrywania intruzów. Dostęp do wewnętrznych zasobów sieciowych wymaga autoryzacji i jest rejestrowany.

3.3. Aktualizacje i zarządzanie poprawkami

Systemy operacyjne, biblioteki i komponenty oprogramowania są regularnie aktualizowane. Krytyczne poprawki bezpieczeństwa są wdrażane niezwłocznie po ich udostępnieniu przez producentów oprogramowania.

4. Ochrona danych w transmisji i spoczynku

4.1. Szyfrowanie transmisji

Cała komunikacja między użytkownikami a platformą demozia.com odbywa się z wykorzystaniem protokołu TLS w aktualnie zalecanej wersji. Certyfikaty SSL są regularnie odnawiane i weryfikowane. Połączenia nieszyfrowane są automatycznie przekierowywane do bezpiecznego kanału.

4.2. Szyfrowanie danych przechowywanych

Dane wrażliwe przechowywane w systemach Demozia są szyfrowane przy użyciu uznanych algorytmów kryptograficznych. Klucze szyfrowania są zarządzane zgodnie z procedurami bezpiecznego przechowywania i rotacji kluczy.

4.3. Dane dotyczące płatności

Przetwarzanie danych płatniczych odbywa się zgodnie z wymogami obowiązujących standardów branżowych. Demozia nie przechowuje pełnych danych kart płatniczych na własnych serwerach. Operacje finansowe są realizowane przez certyfikowanych dostawców usług płatniczych.

5. Kontrola dostępu

5.1. Zarządzanie tożsamością

Dostęp do systemów Demozia jest przyznawany na podstawie udokumentowanej potrzeby biznesowej. Stosujemy zasadę najmniejszych uprawnień - każdy użytkownik i system otrzymuje wyłącznie te uprawnienia, które są niezbędne do wykonywania określonych zadań.

5.2. Uwierzytelnianie

Dostęp administracyjny do systemów krytycznych wymaga uwierzytelniania wieloskładnikowego. Hasła muszą spełniać minimalne wymagania dotyczące złożoności i długości. Nieaktywne sesje są automatycznie wygaszane po określonym czasie bezczynności.

5.3. Przegląd uprawnień

Uprawnienia dostępowe są przeglądane w regularnych odstępach czasu. Dostęp jest niezwłocznie cofany w przypadku zmiany roli, zakończenia współpracy lub zaistnienia podstaw do jego ograniczenia.

6. Bezpieczeństwo aplikacji

6.1. Bezpieczny cykl wytwarzania oprogramowania

Kwestie bezpieczeństwa są uwzględniane na każdym etapie projektowania i wytwarzania oprogramowania. Kod jest poddawany przeglądom pod kątem bezpieczeństwa przed wdrożeniem na środowisko produkcyjne. Stosujemy statyczną i dynamiczną analizę kodu w procesie ciągłej integracji.

6.2. Testowanie bezpieczeństwa

Przeprowadzamy regularne testy penetracyjne i oceny podatności systemów. Wyniki testów są analizowane, a zidentyfikowane słabości są eliminowane zgodnie z priorytetem ryzyka. Zachęcamy do odpowiedzialnego ujawniania podatności przez zewnętrznych badaczy bezpieczeństwa.

6.3. Ochrona przed typowymi zagrożeniami

Systemy Demozia są zabezpieczone przed powszechnie występującymi klasami zagrożeń aplikacyjnych, w tym przed atakami typu injection, cross-site scripting, fałszowaniem żądań oraz nieautoryzowanym dostępem do zasobów. Stosujemy nagłówki bezpieczeństwa HTTP oraz mechanizmy ochrony przed nadużyciami.

7. Monitorowanie i wykrywanie zagrożeń

7.1. Rejestrowanie zdarzeń

Zdarzenia bezpieczeństwa, próby uwierzytelnienia oraz operacje na danych są rejestrowane w centralnym systemie logowania. Logi są przechowywane przez określony czas i chronione przed nieautoryzowaną modyfikacją.

7.2. Monitorowanie ciągłe

Infrastruktura i aplikacje są monitorowane w trybie ciągłym pod kątem anomalii i potencjalnych incydentów bezpieczeństwa. Systemy alertowania powiadamiają odpowiednie osoby o zdarzeniach wymagających interwencji.

7.3. Reagowanie na incydenty

Demozia dysponuje udokumentowaną procedurą reagowania na incydenty bezpieczeństwa. Procedura obejmuje etapy identyfikacji, analizy, ograniczenia skutków, usunięcia przyczyn oraz odtworzenia normalnego funkcjonowania. W przypadku incydentów mających wpływ na dane użytkowników stosujemy procedury powiadamiania zgodne z obowiązującymi wymaganiami.

8. Ciągłość działania i odtwarzanie po awarii

8.1. Kopie zapasowe

Dane są regularnie kopiowane do bezpiecznych, geograficznie oddzielonych lokalizacji. Kopie zapasowe są szyfrowane i chronione przed nieautoryzowanym dostępem. Procedury przywracania danych są regularnie testowane w celu weryfikacji ich skuteczności.

8.2. Plan ciągłości działania

Demozia utrzymuje plan ciągłości działania obejmujący scenariusze awarii na poziomie komponentów, systemów oraz całej infrastruktury. Plany są regularnie przeglądane i aktualizowane w odpowiedzi na zmiany w środowisku technicznym i operacyjnym.

9. Bezpieczeństwo fizyczne

Dostęp fizyczny do obiektów, w których przetwarzane są dane, jest ograniczony do upoważnionych osób. Centra danych wykorzystywane przez Demozia stosują wielowarstwowe zabezpieczenia fizyczne, w tym systemy kontroli dostępu, monitoring wizyjny oraz ochronę przed zagrożeniami środowiskowymi.

10. Zarządzanie dostawcami i podmiotami trzecimi

Podmioty trzecie mające dostęp do systemów lub danych Demozia są zobowiązane do przestrzegania wymagań bezpieczeństwa zgodnych z niniejszą polityką. Przed nawiązaniem współpracy przeprowadzamy ocenę bezpieczeństwa dostawców. Umowy z podmiotami trzecimi zawierają postanowienia dotyczące ochrony danych i bezpieczeństwa informacji.

11. Szkolenia i świadomość bezpieczeństwa

Wszyscy pracownicy i współpracownicy Demozia przechodzą szkolenia z zakresu bezpieczeństwa informacji. Szkolenia są dostosowane do roli i zakresu odpowiedzialności danej osoby. Wiedza z zakresu bezpieczeństwa jest regularnie odświeżana, a pracownicy są informowani o nowych zagrożeniach i metodach ochrony.

12. Zarządzanie podatnościami

Demozia prowadzi systematyczny proces identyfikacji, oceny i eliminacji podatności w komponentach infrastruktury i oprogramowania. Podatności są klasyfikowane według stopnia ryzyka, a terminy ich usunięcia są uzależnione od potencjalnego wpływu na bezpieczeństwo systemów i danych.

13. Przegląd i aktualizacja polityki

Niniejsza Polityka Bezpieczeństwa jest przeglądana co najmniej raz w roku lub w przypadku istotnych zmian w środowisku technicznym, operacyjnym lub regulacyjnym. Zmiany w polityce są zatwierdzane przez osoby odpowiedzialne za bezpieczeństwo informacji w Demozia i komunikowane zainteresowanym stronom.

14. Kontakt w sprawach bezpieczeństwa

W przypadku pytań dotyczących niniejszej Polityki Bezpieczeństwa, zgłoszenia podatności lub incydentu bezpieczeństwa prosimy o kontakt:

Zobowiązujemy się do niezwłocznego rozpatrzenia każdego zgłoszenia dotyczącego bezpieczeństwa oraz do podjęcia stosownych działań w odpowiedzi na zidentyfikowane zagrożenia.