Budowane defensywnie. Często audytowane.

Nie ma nic, co moglibyśmy posiadać. NIS2 dotyczy podmiotów kluczowych i ważnych; system zarządzania transportem nie należy do żadnego sektora z załącznika I ani II, a Druma jest daleko poniżej progu 50 pracowników / 10 mln €. Każdy dostawca, który oferuje „certyfikat NIS2”, opisuje coś, co nie istnieje. Zamiast tego ułatwiamy Ci odpowiedź na własne obowiązki dotyczące łańcucha dostaw w odniesieniu do nas — ta strona, umowa DPA, lista podprocesorów i nasza polityka ujawniania podatności są publiczne, bez NDA. Warto wiedzieć: jeśli jesteś przewoźnikiem, bardzo prawdopodobnie również jesteś poza zakresem. Podsektor drogowy obejmuje zarządców dróg i operatorów inteligentnych systemów transportowych, a nie przewoźników ani spedytorów. Zapytanie zwykle pochodzi od Twojego załadowcy, który jest w zakresie.

Baza danych, pamięć plików i funkcje serwerowe są hostowane w UE (Irlandia). Frontend webowy jest serwowany przez globalną sieć brzegową Cloudflare, która nie jest ograniczona do UE. Pewna liczba wymienionych odbiorców może przetwarzać dane poza EOG — na przykład Cloudflare (CDN), Resend (e-maile transakcyjne) oraz Supabase w zakresie zdalnego dostępu wsparcia do bazy danych hostowanej w UE — każdy wymieniony w załączniku III naszej umowy powierzenia przetwarzania danych wraz z otrzymywanymi danymi osobowymi i obejmującym je zabezpieczeniem. Nasze żądania AI są przetwarzane na wieloregionalnym endpoincie UE usługi Google Vertex AI; zgodnie z warunkami Google dane są tam przechowywane, a przetwarzanie ML odbywa się w UE, a warunki Google Cloud (Service Specific Terms) wykluczają trenowanie na Twoich danych. Jedynym wyjątkiem jest opcjonalne badanie sieciowe firm i lokalizacji (Google Search grounding), które warunki Google wyłączają ze zobowiązania dotyczącego UE, więc może być przetwarzane poza UE; Google przechowuje zapytania grounding do 3 dni i nie można tego wyłączyć; wysyła ono publiczne identyfikatory biznesowe (nazwę firmy lub lokalizacji, kraj, miasto, numer VAT i flagę ważności, nazwę prawną z VIES, adres strony internetowej oraz publiczny tekst własnej strony internetowej danej lokalizacji), bez danych zleceń, dokumentów i kierowców oraz bez rekordów kontaktów z Twojego konta Druma; publiczny tekst strony internetowej firmy i nazwa handlowa jednoosobowego przedsiębiorcy mogą incydentalnie zawierać dane osobowe.

Tak, per firma, i jest to egzekwowane w bazie danych, a nie tylko w aplikacji webowej — działa więc także przy bezpośrednim dostępie do API, nie tylko dla osoby korzystającej z przeglądarki. Uczciwy zakres: obejmuje aplikację planisty i uprzywilejowane akcje serwerowe. Nie dotyczy aplikacji kierowcy (kierowcy logują się kodem PIN i nie mają przepływu z aplikacją uwierzytelniającą), udostępnianych linków do portali ani tokenów API.

Nie i nie twierdzimy, że tak. Mamy sześć wewnętrznych pełnych audytów bezpieczeństwa, ostatni w sierpniu 2026, oraz opublikowany opis naszych zabezpieczeń, który możesz zweryfikować na tym produkcie. Naszym celem jest CyberFundamentals Basic — poziom, który belgijskie Centrum Cyberbezpieczeństwa wprost zaleca organizacjom wymagać od dostawców. Jeśli certyfikat jest dla Ciebie twardym wymogiem, dziś tej poprzeczki nie przejdziemy.

W ciągu 48 godzin od stwierdzenia naruszenia ochrony danych osobowych dotyczącego Twoich danych i w każdym razie bez zbędnej zwłoki. To zobowiązanie umowne w DPA, a nasza wewnętrzna procedura zakłada ostrzejszy cel 24 godzin. Uczciwie o granicy: zobowiązanie to obejmuje naruszenia ochrony danych osobowych. Incydent dotyczący dostępności lub integralności bez elementu danych osobowych nie powoduje dziś umownego obowiązku powiadomienia. Druma jest prowadzona przez jedną osobę i nie ma dyżuru 24/7.

Codzienne automatyczne kopie zapasowe, przechowywane 7 dni. Nasze udokumentowane cele to punkt odtwarzania 24 godziny i czas odtwarzania 8 godzin roboczych, a procedura, siedem scenariuszy i znane luki są spisane i dostępne na życzenie. Dwóch rzeczy nie chcemy wyolbrzymiać: pełne odtworzenie nie zostało jeszcze przećwiczone, więc te wartości wynikają z zachowania platformy, a nie z wykazanych testów; oraz kopie zapasowe znajdują się obecnie na tym samym koncie dostawcy co produkcja, co jest najważniejszą pozycją w naszym własnym rejestrze ryzyk.

Na oba pytania dziś odpowiedź brzmi nie. Logowanie odbywa się przez e-mail i hasło lub Google/Microsoft OAuth; nie ma jednokrotnego logowania SAML ani OIDC ani wymuszania domeny. Nie ma też zobowiązania do procentu dostępności — nasz Regulamin mówi to wprost, zamiast zostawiać to domyślnie. Jeśli którekolwiek z nich jest wymogiem, daj nam znać; żadne nie jest tajemnicą, a oba są w planach, a nie w produkcie.