ISO 27001:2022
aktywneMiędzynarodowy standard zarządzania bezpieczeństwem informacji
Postęp100%
Wdrożony system ISMS zgodny z najnowszą wersją standardu
Bezpieczeństwo i zgodność
Bezpieczeństwo danych w platformie Gamfi
Twój dział bezpieczeństwa, IT i prawnicy sprawdzą nas przed wdrożeniem. Pokazujemy od razu to, co zobaczą: certyfikat ISO 27001, dane w EOG, pełny audit log i prawo audytu zapisane w umowie.
Lokalizacja danych
Europejski Obszar Gospodarczy
Wszystkie dane przechowujemy na terenie EOG.
Szyfrowanie
AES-256 i TLS 1.2/1.3
Tam, gdzie dane są zapisane, i w drodze do przeglądarki.
System zarządzania
ISO/IEC 27001:2022
Certyfikat nr NK-31/2025, ważny do 29.06.2028.
Dane osobowe
RODO
Inspektor ochrony danych, rejestr czynności przetwarzania, DPIA.
Nasze certyfikacje i ramy zgodności
Systematycznie budujemy nasze standardy bezpieczeństwa i zgodności, aby zapewnić najwyższy poziom ochrony danych naszych klientów.
GDPR
aktywneZgodność z Rozporządzeniem o Ochronie Danych Osobowych
Postęp100%
Pełna zgodność z wymaganiami RODO
OWASP CRS
aktywneCore Rule Set dla zaawansowanej ochrony aplikacji webowych
Postęp100%
Implementacja standardowych reguł OWASP przeciwko atakom web
SOC 2 Type I
planowaneAudyt bezpieczeństwa systemów i kontroli organizacyjnych
Postęp25%
Planowany proces certyfikacji z niezależnym audytorem
Odporność i ciągłość działania
Trzy liczby, które trafiają do umowy: dostępność, dopuszczalna utrata danych i czas powrotu do pracy po awarii.
Dostępność w umowie
99%
Platforma działa całą dobę. Wsparcie w trybie 5/8.
Utrata danych (RPO)
do 4 godzin
Kopie przyrostowe powstają automatycznie co godzinę.
Powrót po awarii (RTO)
do 8 godzin
Odtworzenie z kopii testujemy cyklicznie, ostatnio w październiku 2026.
Architektura
Niezależne lokalizacje
Po awarii jednej z nich platforma działa dalej.
Co zapisujemy w umowie
Zobowiązania dotyczące ochrony danych zapisujemy w umowie z klientem.
Powierzenie przetwarzania
Umowę powierzenia zawieramy przed startem wdrożenia. Gamfi działa jako procesor i przetwarza dane na polecenie klienta.
Prawo audytu
Klient i wskazany przez niego audytor mają prawo przeprowadzić audyt. Zasady wykonywania tego prawa określa umowa powierzenia.
Zgłaszanie incydentów
Informujemy klienta o incydencie niezwłocznie, nie później niż w ciągu 48 godzin.
Zwrot i usunięcie danych
Po zakończeniu współpracy zwracamy dane w uzgodnionym formacie i usuwamy je w terminie określonym w umowie. Konta archiwalne pozostają dostępne dla administratorów w raportach przez czas retencji danych.
Klauzule dla sektora finansowego
Wspieramy klientów z sektora finansowego w spełnieniu wymogów art. 30 DORA: prawo audytu i inspekcji, dostęp organu nadzoru, wsparcie przy incydentach ICT oraz plan wyjścia.
Lokalizacja i transfery danych
Dane przechowujemy w Europejskim Obszarze Gospodarczym. Każdy przepływ poza EOG opisujemy i zabezpieczamy w umowie.
Jak chronimy dane w praktyce
Mechanizmy ochrony danych w platformie.
Dane każdej firmy osobno
Dane Twojej organizacji trzyma osobno sama baza danych, nie kod aplikacji. Zapytanie o dane innej firmy zostaje odrzucone, nawet gdy aplikacja się pomyli.
Logowanie firmowym kontem
Pracownicy logują się kontem firmowym, a konta zakładają się i wyłączają razem ze zmianami w Twoich systemach. Dostęp chroni też kod z telefonu albo klucz sprzętowy.
Minimalne uprawnienia
Każde konto ma tylko te uprawnienia, których potrzebuje do swojej pracy – ani jednego więcej.
Pełny audit log
Każda zmiana danych zostawia wpis: kto, kiedy, co zmienił i czy działał w imieniu innego użytkownika. Wpisy są dostępne przez 12 miesięcy i nie można ich usunąć ani nadpisać.
Szyfrowanie
Dane szyfrujemy tam, gdzie są zapisane, i w drodze między przeglądarką a platformą.
Dane zostają w EOG
Dane przechowujemy w centrach danych na terenie Europejskiego Obszaru Gospodarczego.
Nasz dostęp do Twoich danych
Wchodzimy w dane klienta tylko wtedy, gdy wymaga tego konkretne zadanie, i tylko na czas jego wykonania. Każde takie wejście zostaje w audit logu.
Bezpieczne wytwarzanie
Zmiany w platformie przechodzą przegląd i testy przed wypuszczeniem. Środowisko produkcyjne jest odseparowane od testowych.
Nadzór i kopie zapasowe
Systemy są pod stałym nadzorem, więc awarię i nietypowy ruch widzimy od razu. Kopie przyrostowe powstają automatycznie co godzinę, bez udziału człowieka.
Wymogi sektorowe: finanse, telekomunikacja, AI
Spełniamy też wymagania sektorowe dla poszczególnych branż regulowanych, na przykład wynikające z RODO, NIS2 i ustawy o krajowym systemie cyberbezpieczeństwa (KSC). Wspieramy klientów w uzupełnieniu rejestrów dostawców i zapewniamy w umowie klauzule, których wymaga ich regulator.
DORA
Stosujemy klauzule DORA dla instytucji finansowych, między innymi wyjście z usługi, wsparcie przy incydentach i informowanie o zmianie podwykonawców z wyprzedzeniem.
Komunikat chmurowy KNF
Wspieramy instytucje finansowe w wymaganiach komunikatu chmurowego KNF: dostarczamy dane do szacowania ryzyka, klasyfikacji informacji i planu wyjścia.
NIS2 i KSC
Wspieramy operatorów telekomunikacyjnych i firmy energetyczne w zapewnieniu bezpieczeństwa łańcucha dostaw, zgodnie z NIS2 i KSC.
AI Act w HR
Wspieramy pracodawców w spełnieniu wymogów AI Act dla zastosowań HR.
Gdzie są dane i kto jeszcze je przetwarza
Pokazujemy, którzy podwykonawcy przetwarzają dane, i aktualizujemy ich listę w umowie powierzenia.
Infrastruktura
- Microsoft AzureInfrastruktura i hosting platformy. Lokalizacja centrów: EOG.
- Google Cloud PlatformInfrastruktura i hosting platformy. Lokalizacja centrów: EOG.
Komunikacja
- Dostawca poczty transakcyjnejPowiadomienia e-mail. Lokalizacja centrów: EOG.
- Dostawca SMSZaproszenia i powiadomienia SMS. Lokalizacja centrów: EOG.
Pozostali
- Dostawca modeli AIAsystent AI i generowanie treści. Lokalizacja centrów: EOG.
- Partnerzy nagrodowi i operator dostawRealizacja i dostawa nagród. Lokalizacja centrów: EOG.
- Podwykonawcy rozwoju i wsparciaRozwój platformy i wsparcie. Lokalizacja centrów: EOG.
O zmianie podwykonawcy informujemy z wyprzedzeniem, z prawem klienta do zgłoszenia sprzeciwu.
Testy penetracyjne
Testy realizuje firma zewnętrzna, a za naszą zgodą także klienci. Podatności wykrywają też narzędzia działające w czasie rzeczywistym, a my naprawiamy to, co znajdą.
Ostatni test
ryzyko niskieGłówna aplikacja Gamfi
Wykryte luki bezpieczeństwa:
- Krytyczne: 0
- Wysokie: 0
- Średnie: 0
- Niskie: 5
- Info: 3
Wszystkie luki zostały naprawione
Jak prowadzimy proces:
Polityki i rejestry, które prowadzimy
Dokumentów wewnętrznych nie publikujemy, więc pokazujemy, jakie polityki, rejestry i procedury prowadzimy.
Wdrożone systemy
- System zarządzania bezpieczeństwem informacjiZgodny z ISO/IEC 27001:2022, z audytami wewnętrznymi i zewnętrznymi.
- System ochrony danych osobowychZgodny z RODO, z inspektorem ochrony danych i pełną dokumentacją.
- Polityka prywatnościDostępna publicznie, bez zapytania.
- Rejestr incydentów bezpieczeństwaZgłoszone incydenty i sposób ich obsługi.
- Rejestr ryzykZidentyfikowane ryzyka i sposób postępowania z nimi.
- Rejestr aktywówZasoby informacyjne i ich właściciele.
- Rejestr sub-procesorówPodwykonawcy przetwarzający dane powierzone przez klientów.
Bezpieczeństwo informacji
- Polityka bezpieczeństwa informacjiZasady ochrony informacji: poufność, integralność i dostępność.
- Polityka haseł i uwierzytelnianiaStandardy tworzenia haseł i metody uwierzytelniania w organizacji.
- Polityka zarządzania dostępamiNadawanie, zmiana i odbieranie uprawnień do systemów i danych.
- Polityka zarządzania incydentami bezpieczeństwaIdentyfikacja, reagowanie i raportowanie incydentów.
- Polityka ciągłości działania (BCP/DRP)Utrzymanie i odtworzenie kluczowych usług po awarii.
- Polityka klasyfikacji i ochrony informacjiJak klasyfikujemy dane i jakie środki stosujemy do ich ochrony.
- Polityka bezpieczeństwa treści (CSP)Co może się wykonać w przeglądarce, żeby zablokować obcy kod.
- Polityka kryptografiiZasady szyfrowania danych i zarządzania kluczami.
- Polityka bezpiecznego rozwoju oprogramowaniaPrzegląd, testy i oddzielenie środowisk przy zmianach w platformie.
- Polityka użycia usług chmuryZasady korzystania z usług chmurowych przy przetwarzaniu danych.
Ochrona danych osobowych
- Polityka ochrony danych osobowychZasady zgodności z RODO i reguły przetwarzania danych.
- Procedura realizacji praw osób, których dane dotycząObsługa wniosków o dostęp, usunięcie i sprostowanie danych.
- Rejestr czynności przetwarzania (RoPA)Spis wszystkich procesów, w których przetwarzamy dane osobowe.
- Polityka retencji i usuwania danychOkresy przechowywania i sposób bezpiecznego usuwania danych.
- Procedura oceny skutków dla ochrony danych (DPIA)Analiza ryzyka nowych projektów dla ochrony danych osobowych.
- Procedura zgłaszania naruszeń danych osobowychPostępowanie i raportowanie w razie naruszenia.
Często zadawane pytania
Pytania, które dostajemy mailem w trakcie przeglądu bezpieczeństwa.
Jak dbacie o bezpieczeństwo informacji w organizacji?
Pracujemy na podstawie systemu zarządzania bezpieczeństwem informacji zgodnego z ISO/IEC 27001:2022. Mamy polityki i procedury obejmujące dostęp do systemów, incydenty, retencję danych i ciągłość działania. Regularnie przeprowadzamy audyty wewnętrzne i zewnętrzne.
Jak chronicie dane osobowe pracowników i klientów?
Dane przetwarzamy zgodnie z RODO. Szyfrujemy je tam, gdzie są zapisane (AES-256), i w drodze między przeglądarką a platformą (TLS 1.2/1.3). Dane przechowujemy w Europejskim Obszarze Gospodarczym. Wyznaczyliśmy inspektora ochrony danych, a dla projektów i systemów przetwarzających dane osobowe prowadzimy ocenę skutków dla ochrony danych (DPIA, art. 35 RODO).
Czy macie wdrożone polityki i procedury bezpieczeństwa?
Tak. Polityki obejmują zarządzanie dostępami, incydenty, hasła i uwierzytelnianie, retencję danych oraz klasyfikację informacji. Całość mieści się w systemie zarządzania bezpieczeństwem informacji zgodnym z ISO/IEC 27001, a zgodność z regulacjami sprawdzamy na bieżąco.
Kto jest stroną umowy?
Stroną umowy jest Gamfi Sp. z o.o.
Czy możemy przeprowadzić u Was audyt?
Tak. Prawo klienta i wskazanego przez niego audytora do audytu zapisujemy w umowie powierzenia przetwarzania, zgodnie z art. 28 ust. 3 lit. h RODO.
W jakim czasie powiadomicie nas o incydencie?
Niezwłocznie, nie później niż w ciągu 48 godzin. Zobowiązanie zapisujemy w umowie powierzenia. Dla klientów z sektora finansowego ustalamy krótszy czas indywidualnie, zgodnie z ich terminami raportowania do regulatora.
Jak reagujecie na incydent bezpieczeństwa?
Postępujemy według ustalonej procedury: incydent identyfikujemy, rejestrujemy i analizujemy, a jeśli trzeba – zgłaszamy do właściwych organów zgodnie z art. 33 RODO. W zespole są osoby odpowiedzialne za obszar bezpieczeństwa.
Gdzie stoi infrastruktura platformy?
Platforma działa w chmurze, w centrach danych w Europejskim Obszarze Gospodarczym.
Jak zapewniacie ciągłość działania platformy?
Utrzymujemy plan ciągłości działania (BCP). Platforma działa całą dobę, a kopie przyrostowe powstają automatycznie co godzinę. Dopuszczalna utrata danych to do 4 godzin, a czas powrotu po awarii do 8 godzin.
Co się stanie z danymi, gdy zakończymy współpracę?
Dane zwracamy w uzgodnionym formacie i usuwamy w terminie zapisanym w umowie. Zakres i okresy przechowywania opisuje polityka retencji.
Czy pracownicy Gamfi mają dostęp do danych w naszej instancji?
Dostęp mają osoby, które potrzebują go do wykonania konkretnego zadania, i tylko na czas tego zadania. Każde wejście w dane klienta zostawia wpis w audit logu, z informacją, że operację wykonał pracownik Gamfi w imieniu użytkownika.
Wypełniacie kwestionariusze bezpieczeństwa klienta?
Tak. Wypełniamy Twój kwestionariusz, w Twoim formacie, i nie odsyłamy w zamian własnego.
Czy możemy zobaczyć Wasze polityki i dokumentację?
Dokumentów wewnętrznych nie publikujemy. Na stronie pokazujemy, jakie polityki, rejestry i procedury prowadzimy, a na pytania z przeglądu bezpieczeństwa odpowiadamy wprost. Napisz do nas.
Pytania techniczne kieruj wprost do nas
Na pytania o architekturę, przetwarzanie danych i zgodność odpowiada osoba, która za to odpowiada, a nie dział sprzedaży. Napisz, czego potrzebujesz do przeglądu bezpieczeństwa.