Polityka bezpieczeństwa informacji — Collaborator

Data wejścia w życie: 04.03.2025

1. Wprowadzenie

Platforma Collaborator (collaborator.pro) jest prowadzona przez spółkę I.M. COLLABORATOR LTD, zarejestrowaną zgodnie z prawem Republiki Cypryjskiej, numer rejestracyjny HE 403087, z siedzibą pod adresem: Peiraios, 30, 1st floor, Flat / Office 1, Strovolos, 2023, Nicosia, Cyprus. W niniejszej Polityce termin „Collaborator” oznacza I.M. COLLABORATOR LTD.

Collaborator (collaborator.pro) to marketplace content marketingu i link buildingu, który łączy reklamodawców z wydawcami na całym świecie. Nasza platforma umożliwia reklamodawcom wyszukiwanie, zamawianie i zarządzanie publikacją treści w serwisach wydawców, podczas gdy wydawcy otrzymują i realizują zamówienia na publikacje za pośrednictwem swoich kont w Collaborator.

Ze względu na specyfikę naszego biznesu — w ramach którego dwie różne strony wchodzą w interakcje, wymieniają informacje i dokonują transakcji za pośrednictwem jednej platformy — bezpieczeństwo danych użytkowników, informacji o kontach oraz danych dotyczących transakcji jest naszym najwyższym priorytetem. Collaborator wdrożył formalny wewnętrzny program bezpieczeństwa informacji obejmujący zarządzanie dostępem, ochronę infrastruktury, reagowanie na incydenty, tworzenie kopii zapasowych i odzyskiwanie danych, a także bezpieczeństwo personelu. Niniejszy dokument przedstawia nasze podejście do bezpieczeństwa w odniesieniu do klientów, wydawców i partnerów.

Niniejszy dokument jest udostępniany wyłącznie w celach informacyjnych i opisuje praktyki Collaborator w zakresie bezpieczeństwa. Żadne postanowienie niniejszego dokumentu nie powinno być interpretowane jako oferta, gwarancja lub zobowiązanie umowne ani jako tworzące jakiekolwiek prawa na rzecz osób trzecich. Jeżeli umowa zawarta pomiędzy Collaborator a kontrahentem reguluje kwestię opisaną w niniejszym dokumencie, pierwszeństwo mają postanowienia takiej umowy.

2. Jak odbywa się wymiana danych na platformie Collaborator

Collaborator działa jako pośrednik w formie marketplace. Nie publikujemy treści samodzielnie — zapewniamy realizację transakcji pomiędzy reklamodawcami a wydawcami. Zrozumienie sposobu przetwarzania danych pomiędzy uczestnikami platformy ma kluczowe znaczenie dla naszego podejścia do bezpieczeństwa.

Widoczność profili reklamodawców i wydawców

Gdy reklamodawca składa zamówienie u wydawcy, określone informacje profilowe są przekazywane pomiędzy obiema stronami w celu umożliwienia współpracy biznesowej — w szczególności nazwa firmy, szczegóły kampanii oraz specyfikacja zamówienia. Collaborator ogranicza taką widoczność wyłącznie do informacji niezbędnych do realizacji operacji. Poufne dane konta, dane płatnicze oraz prywatne dane uwierzytelniające nigdy nie są ujawniane pomiędzy stronami.

Dane dotyczące treści i publikacji

Briefy dotyczące treści, wymagania dotyczące publikacji oraz opublikowane adresy URL są przekazywane pomiędzy reklamodawcami a wydawcami za pośrednictwem platformy. Wydawcy zachowują pełną kontrolę nad własnymi serwisami; Collaborator nie posiada dostępu administracyjnego ani dostępu do systemów CMS serwisów wydawców. Weryfikacja publikacji odbywa się wyłącznie poprzez sprawdzanie publicznie dostępnych adresów URL.

Czego Collaborator nie robi

Nie posiada dostępu do backendu serwisów wydawców, systemów CMS ani paneli administracyjnych.
Nie przekazuje prywatnych danych konta ani danych płatniczych jednego użytkownika innemu użytkownikowi.
Nie sprzedaje danych użytkowników osobom trzecim w żadnym celu.
Nie przechowuje pełnych danych kart płatniczych na własnych serwerach.

3. Dane, które gromadzimy i przetwarzamy

Dane konta i profilu

Imię i nazwisko, nazwa firmy, adres e-mail oraz dane uwierzytelniające zarejestrowanych użytkowników.
Adresy URL serwisów wydawców, kategorie tematyczne, dane dotyczące ruchu oraz ceny podane przez wydawców.
Preferencje dotyczące kampanii reklamowych, rynki docelowe oraz wymagania dotyczące treści określone przez reklamodawców.

Dane dotyczące transakcji i zamówień

Historia zamówień, informacje o publikacjach treści oraz rejestry komunikacji pomiędzy reklamodawcami a wydawcami.
Metadane transakcji (identyfikatory, kwoty, status płatności) — Collaborator nie przechowuje bezpośrednio pełnych danych kart płatniczych.
Faktury i dokumentacja płatności przechowywane do celów księgowych oraz zapewnienia zgodności z obowiązującymi przepisami.

Dane techniczne i dane dotyczące korzystania z platformy

Adresy IP, informacje o urządzeniach oraz dane sesji gromadzone w celu zapewnienia bezpieczeństwa i zapobiegania oszustwom.
Rejestry aktywności na platformie wykorzystywane do rozstrzygania sporów, zapobiegania nadużyciom oraz ulepszania Usług.

4. Bezpieczeństwo infrastruktury i usług chmurowych

Platforma Collaborator jest hostowana w infrastrukturze chmurowej kilku dostawców, w tym Amazon Web Services (AWS), DigitalOcean, OVH oraz Hetzner. Takie podejście, oparte na wielu dostawcach, zapewnia geograficzną redundancję i eliminuje pojedyncze punkty awarii.

Wszystkie systemy produkcyjne są wdrażane w odizolowanych środowiskach wirtualnej chmury prywatnej (VPC) z rygorystyczną segmentacją sieci.
Zapory sieciowe i grupy zabezpieczeń domyślnie blokują cały ruch przychodzący; dozwolone są wyłącznie wyraźnie autoryzowane usługi i porty.
Infrastruktura jest stale monitorowana za pomocą scentralizowanych narzędzi z automatycznymi powiadomieniami o nietypowej aktywności, zmianach uprawnień dostępu oraz dostępności usług.
Dzienniki dostępu SSH, dzienniki serwera WWW oraz dzienniki usług systemowych są przechowywane przez 30 dni na potrzeby audytów bezpieczeństwa i badania incydentów.

5. Ochrona danych i szyfrowanie

Wszystkie dane przesyłane pomiędzy użytkownikami a platformą Collaborator są szyfrowane podczas transmisji z wykorzystaniem protokołu TLS 1.2 lub nowszego.
Poufne dane przechowywane w naszych systemach są szyfrowane w stanie spoczynku.
Hasła użytkowników są przechowywane z wykorzystaniem jednokierunkowego haszowania kryptograficznego — hasła w postaci jawnej nigdy nie są przechowywane i nie mogą zostać odzyskane.
Dane płatnicze: Collaborator przechowuje wyłącznie metadane transakcji. Pełne dane kart są przetwarzane i przechowywane wyłącznie przez naszych certyfikowanych zewnętrznych operatorów płatności i nigdy nie są przekazywane ani przechowywane na serwerach Collaborator.

6. Kopie zapasowe i odtwarzanie po awarii

Collaborator utrzymuje udokumentowany program tworzenia kopii zapasowych i odtwarzania po awarii, z określonymi docelowymi parametrami odtworzenia.

Kopie zapasowe bazy danych są wykonywane automatycznie co 24 godziny.
Kopie zapasowe są replikowane do trzech niezależnych zewnętrznych lokalizacji: Amazon Web Services S3, dedykowanego serwera DigitalOcean oraz dedykowanego serwera OVH — zapewniając redundancję geograficzną i wielodostawczą.
Docelowy czas odtworzenia (RTO): do 4 godzin dla systemów krytycznych.
Docelowy punkt odtworzenia (RPO): do 24 godzin.
Wskazane powyżej wartości RTO i RPO są wewnętrznymi docelowymi parametrami, mierzonymi w normalnych warunkach operacyjnych, i nie stanowią gwarancji poziomu świadczenia usług.
Procedury odtwarzania są testowane co najmniej raz na kwartał w celu potwierdzenia możliwości skutecznego odzyskania danych.
Magazyn kopii zapasowych posiada kontrolowany dostęp i jest odizolowany od środowisk produkcyjnych.

7. Zarządzanie dostępem i tożsamością

We wszystkich systemach wewnętrznych stosowany jest model kontroli dostępu opartej na rolach (RBAC): każdy pracownik otrzymuje wyłącznie dostęp niezbędny do wykonywania obowiązków związanych z jego konkretną rolą (zasada najmniejszych uprawnień).
Każdy pracownik i podwykonawca posiada indywidualne konto — współdzielenie danych uwierzytelniających jest niedozwolone.
Wieloskładnikowe uwierzytelnianie (MFA) jest obowiązkowe w przypadku każdego dostępu do systemów krytycznych i infrastruktury produkcyjnej.
Wszystkie działania administracyjne w systemach produkcyjnych są rejestrowane i podlegają audytowi.
Uprawnienia dostępu są weryfikowane co najmniej raz na kwartał i niezwłocznie cofane po rozwiązaniu umowy z pracownikiem lub zakończeniu współpracy z podwykonawcą — nie później niż w ostatnim dniu roboczym.
W przypadku rozwiązania współpracy w trybie natychmiastowym (jeśli istnieją ku temu podstawy) dostęp jest niezwłocznie cofany o każdej porze.

8. Izolacja danych użytkowników i bezpieczeństwo marketplace

Ponieważ Collaborator jest dwustronnym marketplace, stosowane są szczególne mechanizmy kontroli mające na celu zapewnienie odpowiedniej izolacji danych reklamodawców i wydawców:

Każde konto użytkownika działa w ramach zabezpieczonej sesji; użytkownicy mogą uzyskiwać dostęp wyłącznie do danych powiązanych z własnym kontem.
Dane dotyczące zamówień i kampanii są widoczne wyłącznie dla konkretnego reklamodawcy i wydawcy uczestniczących w danej transakcji.
Dane uwierzytelniające oraz dostęp do systemów CMS serwisów wydawców nigdy nie są wymagane ani przekazywane Collaborator.
Informacje dotyczące płatności reklamodawców nie są widoczne dla wydawców i odwrotnie.
Dzienniki dostępu do platformy umożliwiają wykrywanie prób nieautoryzowanego dostępu do danych innych użytkowników.

9. Zarządzanie podatnościami i aktualizacjami

Aktualizacje bezpieczeństwa systemów operacyjnych serwerów i usług są wdrażane z uwzględnieniem priorytetu ryzyka; krytyczne aktualizacje są stosowane bez zbędnej zwłoki.
Zależności aplikacji i biblioteki zewnętrzne są monitorowane pod kątem znanych podatności i aktualizowane w razie potrzeby.
Kod aplikacji jest sprawdzany pod kątem typowych podatności bezpieczeństwa na etapie tworzenia oprogramowania.
Okresowo przeprowadzane są oceny bezpieczeństwa i testy penetracyjne w celu weryfikacji skuteczności stosowanych mechanizmów kontroli.
Jeśli aktualizacja nie może zostać zastosowana natychmiast, do czasu usunięcia problemu wdrażane są środki kompensacyjne (segmentacja sieci, rozszerzone logowanie, reguły WAF lub tymczasowa izolacja funkcji).

10. Reagowanie na incydenty bezpieczeństwa

Collaborator utrzymuje udokumentowany plan reagowania na incydenty, z jasno określonymi rolami, ścieżkami eskalacji oraz docelowymi czasami reakcji zależnymi od poziomu powagi incydentu.

Klasyfikacja incydentów

P1 — Krytyczny: poważna awaria usługi, potwierdzony wyciek danych lub kompromitacja danych uwierzytelniających administratorów środowiska produkcyjnego. Eskalacja: natychmiastowa, 24/7.
P2 — Wysoki: kompromitacja pojedynczego konta, awaria systemu kopii zapasowych lub złośliwa aktywność na węźle systemu. Eskalacja: w ciągu 1 godziny.
P3 — Średni: pojedyncza próba phishingu, niezgodność konfiguracji. Eskalacja: w ciągu 1 dnia roboczego.
P4 — Niski: ustalenia wynikające z obserwacji, drobne usprawnienia logowania. Rozwiązanie: w ramach planowanych działań.

Proces reagowania

Po wykryciu incydent jest niezwłocznie zgłaszany za pośrednictwem wyznaczonego wewnętrznego kanału i klasyfikowany według poziomu powagi.
Podejmowane są wstępne działania mające na celu ograniczenie skutków incydentu: cofnięcie dostępu, izolacja węzła, rotacja danych uwierzytelniających, ograniczenie ruchu. P
rzed podjęciem jakichkolwiek działań naprawczych zabezpieczane są dowody — logi, oś czasu zdarzeń oraz zrzuty stanu systemu.
Po ograniczeniu skutków incydentu przeprowadzana jest analiza przyczyn źródłowych oraz określane i monitorowane są działania naprawcze.
W przypadku wycieku danych mającego wpływ na dane użytkowników Collaborator niezwłocznie poinformuje poszkodowanych użytkowników zgodnie z obowiązującymi przepisami prawa oraz zobowiązaniami umownymi.

11. Bezpieczeństwo personelu i szkolenia

Wszyscy pracownicy i podwykonawcy podpisują umowy o zachowaniu poufności przed uzyskaniem dostępu do systemów.
Nowi pracownicy przechodzą szkolenie z zakresu bezpieczeństwa podczas wdrożenia na stanowisko, przed uzyskaniem pełnego dostępu. Szkolenie obejmuje zasady korzystania z haseł, świadomość zagrożeń phishingowych, przetwarzanie danych oraz zgłaszanie incydentów.
Coroczne szkolenie z zakresu świadomości bezpieczeństwa jest przeprowadzane dla wszystkich pracowników posiadających dostęp do systemów.
Dodatkowe szkolenia ukierunkowane mogą być organizowane po wystąpieniu incydentów bezpieczeństwa lub zmianie polityk.
Procedury związane z zakończeniem współpracy przewidują niezwłoczne cofnięcie wszystkich danych uwierzytelniających, tokenów, dostępu VPN, dostępu do repozytoriów oraz uprawnień do usług chmurowych.

12. Zewnętrzni dostawcy i podwykonawcy przetwarzania danych

Collaborator współpracuje z zewnętrznymi dostawcami usług w zakresie hostingu infrastruktury, przetwarzania płatności oraz innych funkcji platformy. Do wszystkich relacji z zewnętrznymi dostawcami stosowane są następujące mechanizmy kontroli:

Nowi dostawcy posiadający dostęp do danych klientów lub systemów produkcyjnych są oceniani pod kątem poziomu bezpieczeństwa oraz zgodności z wymaganiami umownymi przed rozpoczęciem współpracy.
Wszyscy podwykonawcy przetwarzania danych osobowych są związani umownymi zobowiązaniami dotyczącymi ochrony danych.
Podwykonawcy otrzymują wyłącznie tymczasowy i ograniczony zakres dostępu, przy jasno określonym celu, oraz podlegają tym samym wymaganiom bezpieczeństwa co pracownicy.
Operatorzy płatności wykorzystywani przez Collaborator działają zgodnie z certyfikacją PCI DSS; pełne dane kart płatniczych są przetwarzane wyłącznie w ramach ich certyfikowanych środowisk.
Zewnętrzne integracje są okresowo weryfikowane pod kątem dalszej potrzeby ich stosowania oraz zgodności z wymaganiami bezpieczeństwa.

13. Monitorowanie i rejestrowanie

Collaborator korzysta ze scentralizowanej infrastruktury monitorowania i rejestrowania zdarzeń w celu wczesnego wykrywania incydentów bezpieczeństwa oraz anomalii w działaniu usług.

Zdarzenia uwierzytelniania, zmiany uprawnień dostępu, działania administracyjne, zmiany konfiguracji oraz błędy usług są rejestrowane w scentralizowanych dziennikach.
Skonfigurowano automatyczne powiadomienia o krytycznych zdarzeniach, w tym zmianach uprawnień dostępu, awariach kopii zapasowych, błędach wdrożeń, zmianach danych uwierzytelniających oraz nietypowych obciążeniach.
Dzienniki infrastruktury (dostęp SSH, serwer WWW, usługi systemowe) są przechowywane przez 30 dni.
Dostęp do dzienników jest ograniczony do upoważnionego personelu; dzienniki nie mogą być modyfikowane ani usuwane bez zatwierdzonej procedury.

14. Prywatność i zgodność z wymogami prawnymi

Collaborator przetwarza dane osobowe użytkowników w Ukrainie, Unii Europejskiej oraz innych jurysdykcjach zgodnie z obowiązującymi przepisami dotyczącymi ochrony danych, w szczególności z Ustawą Ukrainy „O ochronie danych osobowych” oraz Ogólnym rozporządzeniem o ochronie danych Unii Europejskiej (GDPR).

Dane są gromadzone i przetwarzane wyłącznie w określonym, zgodnym z prawem celu i na podstawie obowiązującej podstawy prawnej.
Dane osobowe nie są przechowywane dłużej, niż jest to konieczne do realizacji pierwotnego celu, chyba że obowiązujące przepisy prawa wymagają ich dłuższego przechowywania.
Użytkownicy mają prawo dostępu do swoich danych osobowych, ich sprostowania oraz żądania ich usunięcia — wnioski można przesyłać na adres [email protected].
Collaborator nie sprzedaje danych osobowych reklamodawców, wydawców ani innych użytkowników platformy osobom trzecim.
Szczegółowe informacje dotyczące praktyk przetwarzania danych można znaleźć w Polityce prywatności Collaborator na collaborator.pro.

15. Zgodność ze standardami i certyfikacja

Niniejsza sekcja przedstawia stanowisko Collaborator dotyczące certyfikacji zgodnie z międzynarodowymi standardami bezpieczeństwa informacji.

Program bezpieczeństwa informacji Collaborator został opracowany z uwzględnieniem uznanych międzynarodowych standardów, w szczególności ISO/IEC 27001. Na dzień obowiązywania niniejszej Polityki program nie został zgłoszony do formalnej certyfikacji zgodnie z ISO/IEC 27001 ani ISO/IEC 27701, a także nie uzyskał atestacji SOC 2 ani SOC 3. Certyfikacja zgodnie z tymi standardami jest dobrowolna: GDPR wymaga stosowania odpowiednich do poziomu ryzyka środków technicznych i organizacyjnych, a certyfikację traktuje jako jeden ze sposobów potwierdzenia zgodności, a nie jako obowiązkowy wymóg.

Collaborator stale analizuje zasadność uzyskania formalnej certyfikacji, uwzględniając skalę swojej działalności, wymagania klientów oraz zmiany regulacyjne. Każda zmiana statusu certyfikacji zostanie odzwierciedlona w kolejnej wersji niniejszej Polityki.

Przy ocenie zasadności certyfikacji Collaborator bierze pod uwagę charakter informacji przetwarzanych na platformie:

Collaborator nie przetwarza szczególnych kategorii danych osobowych, takich jak dane dotyczące zdrowia, dane biometryczne czy genetyczne.
Collaborator nie przechowuje pełnych danych kart płatniczych, co znacząco ogranicza zakres wymagań PCI DSS mających zastosowanie do Collaborator.
Przetwarzane dane osobowe ograniczają się do informacji niezbędnych do funkcjonowania marketplace: danych kontaktowych użytkowników biznesowych, parametrów zamówień oraz metadanych transakcji.

Następujące środki wspierają poziom bezpieczeństwa Collaborator:

Infrastruktura Collaborator jest hostowana u wiodących dostawców usług chmurowych posiadających własne niezależne certyfikaty bezpieczeństwa.
Przetwarzanie płatności jest realizowane przez dostawców spełniających branżowe standardy bezpieczeństwa danych kart płatniczych.
Środki opisane w niniejszej Polityce są udokumentowane w wewnętrznych procedurach i okresowo poddawane przeglądowi.

16. Przegląd Polityki i dane kontaktowe

Niniejsza Polityka jest poddawana przeglądowi i aktualizowana po istotnych zmianach w infrastrukturze, działalności lub obowiązujących wymogach prawnych dotyczących Collaborator, a także nie rzadziej niż raz w roku. Aktualna wersja jest publikowana na stronie collaborator.pro.

W przypadku pytań dotyczących niniejszej Polityki lub praktyk bezpieczeństwa Collaborator prosimy o kontakt: [email protected].

Collaborator zastrzega sobie prawo do aktualizowania swoich praktyk bezpieczeństwa w dowolnym momencie. Niniejszy dokument nie ujawnia poufnych informacji dotyczących infrastruktury, wewnętrznych danych uwierzytelniających ani zastrzeżonych konfiguracji systemów.