Gdzie są dane szkoły i kto je widzi
Cerium tworzy fire-gem, software house, a nie sieć szkół: nie konkurujemy z Tobą o kursantów i nie sprzedajemy danych. Poniżej to, co jest sprawdzone, i to, czego jeszcze nie ma.
Jak to jest zbudowane
Każde zdanie poniżej ma za sobą test albo sprawdzenie na działającej instalacji.
Serwery w Polsce
Aplikacja, baza i serwer zajęć online stoją na naszych maszynach w Polsce. Pliki leżą w magazynie Hetznera w Niemczech, a poczta wychodzi przez dostawcę z centrum danych w UE.
Szkoła oddzielona w bazie
Każde zapytanie wskazuje szkołę wprost, a baza i tak przepuszcza wyłącznie jej wiersze (RLS z FORCE). Pilnuje tego 320 testów izolacji, uruchamianych przed każdym wdrożeniem.
Hasło zna tylko jego właściciel
Hasło losuje serwer i wysyła listem, a w bazie zostaje skrót Argon2id. Szkoła nie widzi hasła, a zgubione osoba odzyskuje sama linkiem ważnym 15 minut.
Sesja bez sekretu w przeglądarce
Ciasteczko HttpOnly z losowym tokenem, w bazie tylko jego skrót. Sesja wygasa po 30 dniach albo po 14 dniach bez ruchu, a odebrany dostęp kończy ją od następnego żądania.
Blokada, która nic nie zdradza
Po 10 nieudanych próbach konto czeka 15 minut, a odpowiedź wygląda jak złe hasło, więc nie mówi obcemu, czy konto istnieje.
Kopia bazy codziennie
Zrzut bazy powstaje raz na dobę i jest trzymany 14 dni, na osobnym dysku tego samego serwera. Kopii poza serwerem dziś nie ma; to następny krok.
Co jest sprawdzone, a czego nie ma
Bezpieczeństwo to także lista rzeczy niezrobionych. Wolimy ją pokazać, niż żeby ktoś odkrył ją sam.
Sprawdzone
- Izolacja szkół: testy na bazie, w tym zapis do cudzej szkoły i wiązanie z cudzym rekordem.
- Odebranie dostępu: otwarta sesja dostaje odmowę od następnego żądania.
- Płatności: dane karty zostają u Stripe, Cerium trzyma identyfikatory i etykietę.
- Pliki: wgrać można tylko rozszerzenia z listy, a pobranie idzie zawsze jako załącznik.
- Webhook płatności: podpis sprawdzany, powtórzone zdarzenie nie księguje się drugi raz.
Czego jeszcze nie ma
- Testu penetracyjnego wykonanego przez firmę z zewnątrz.
- Kopii bazy poza serwerem: kopia leży na drugim dysku tej samej maszyny.
- Dziennika zdarzeń: to, kto czytał dane, nie zostawia śladu.
- Logowania dwuetapowego.
- Skanowania zawartości plików; sprawdzane jest rozszerzenie.
Kto co widzi
Rola decyduje o tym, co widać. Granicę pilnuje serwer przy każdym żądaniu, a nie ukryty przycisk w menu.
| Rola | Widzi | Zmienia |
|---|---|---|
| Operator | Liczby zużycia limitów, listę osób z datą ostatniej aktywności i zgłoszenia do Wsparcia. | Zakłada przestrzeń i nadaje limity. Do przestrzeni szkoły nie wchodzi. |
| Dyrekcja | Całą szkołę. PESEL i dokument ucznia widzi tylko dyrekcja. | Wszystko; umowy i stawki zespołu metodyk dostaje dopiero nadaniem. |
| Lektor | Swoje grupy, zajęcia i uczniów ze swojej obsady. | Obecność, oceny i pracę domową na swoich zajęciach. Umów i stawek zespołu nie dostanie. |
| Uczeń, opiekun | Siebie albo swoje dzieci: dziennik, płatności i materiały. Składu grupy nie widzi. | Własne konto: hasło, adres i język. |
Pytania o dane
RODO, miejsce przechowywania, dostęp i to, co dzieje się po rezygnacji.
Szkoła. Dane, które szkoła wpisuje do systemu albo zbiera na swoich stronach publicznych, należą do niej, a my przetwarzamy je jako podmiot przetwarzający, na podstawie powierzenia zawartego w umowie. Rozszerzoną umowę powierzenia udostępniamy na prośbę. Szczegóły w polityce prywatności i regulaminie.
Do przestrzeni szkoły nie wchodzimy. Operator platformy widzi liczby zużycia limitów, listę osób z datą ostatniej aktywności i ich zalogowane urządzenia, zgłoszenia wysłane do Wsparcia oraz dziennik doręczeń poczty: adres odbiorcy i temat listu, bez treści. Na prośbę szkoły przygotowujemy paczkę jej danych do pobrania (RODO art. 15 i 20); każde takie pobranie zostaje w rejestrze czynności operatora. Hasło właściciela widzi raz, przy zakładaniu przestrzeni, i właściciel zmienia je potem w Koncie. Haseł reszty szkoły nie zna ani szkoła, ani my.
Aplikacja, baza danych i serwer zajęć online stoją na naszych serwerach w Polsce. Pliki z DocHubu i E-learningu leżą w magazynie Hetznera w Niemczech, poczta wychodzi przez ZeptoMail z centrum danych w UE, a ruch do strony i panelu przechodzi przez sieć Cloudflare. Płatności online idą przez konto Stripe szkoły.
W czasie umowy szkoła pobiera dane sama: eksport CSV z tabel, dokumenty i pliki. Po rozwiązaniu umowy dostęp jest blokowany, a dane przechowujemy 90 dni, żeby można je było wydać na prośbę szkoły. Potem są trwale usuwane, a z kopii zapasowych znikają w ciągu kolejnych 14 dni.
Wyłącznie dyrekcja: właściciel i metodyk. Każdemu innemu z modułem Uczniowie serwer oddaje PESEL, numer dokumentu i datę urodzenia puste, także w eksporcie CSV. To zawężenie po stronie serwera, a nie ukryta kolumna na ekranie.
Połączenia idą po HTTPS, a ciasteczko sesji jest Secure i HttpOnly. Hasła i tokeny leżą w bazie jako skróty, a klucze do programów księgowych są zaszyfrowane. Samej bazy w spoczynku osobno nie szyfrujemy i mówimy to wprost.
Dziś nie. Konto chroni hasło od 10 znaków, blokada po 10 nieudanych próbach i sesja, którą gasi zmiana hasła albo adresu. Własną zmianę hasła potwierdza obecne hasło, a pozostałe sesje kończą się w tej samej chwili.
Dokumenty
Pełne zasady przetwarzania danych i warunki umowy.
Polityka prywatności
Kto jest administratorem, jakim dostawcom przekazujemy dane i jak długo je trzymamy.
PrzejdźRegulamin
Warunki umowy, powierzenie danych, wypowiedzenie i wydanie danych po jej końcu.
PrzejdźPodprocesorzy
Którym dostawcom powierzamy dane szkół, w jakim kraju i jak uprzedzamy o zmianie.
PrzejdźPoznaj Cerium od środka.
14 dni na Twoich grupach i ratach. Bez karty i bez zobowiązań.