Bezpieczeństwo akt sprawy w Legalnaut: RODO, SOC 2, ISO 27001 A Markdown version of this page is available at https://legalnaut.com/pl/bezpieczenstwo.md for AI and LLM tools. Nic nie trafia do pisma bez sprawdzenia. ========================================== Ta strona jest dla osoby, która w kancelarii zatwierdza nowe narzędzia. Opisujemy na niej, gdzie przechowujemy dane, kto ma do nich dostęp i czego program nie zrobi. OPERATOR · RAPORT SOC 2 TYPE II CENTRUM DANYCH · ISO/IEC 27001:2022 HOSTING · BSI C5 TYPE 2 RODO · PDPA Osobne akta dla każdej sprawy ------------------------------- Każda sprawa jest odizolowana od pozostałych. Wyszukiwanie i asystent działają tylko w obrębie jednej sprawy. W planie z kilkoma sprawami każda ma własne akta, a klient zaproszony z rolą „Klient” widzi wyłącznie swoją sprawę. Gdzie są Twoje dane ---------------------- Aplikację i akta utrzymujemy w Hetzner Cloud w Falkenstein (Niemcy), w centrum danych z certyfikatem ISO/IEC 27001:2022. Usługi chmurowe Hetznera mają też raport BSI C5 Type 2. BSI C5 to standard bezpieczeństwa chmury opracowany przez niemiecki Federalny Urząd Bezpieczeństwa Informacji. Operator, A2Z WEB PTE. LTD., ma raport SOC 2 Type II. W planie Enterprise aplikacja i akta mogą działać na Twoich serwerach, w wybranym przez Ciebie regionie. OCR i modele językowe zapewniają wtedy dostawcy wybrani wspólnie z Tobą, z użyciem Twoich kluczy API. Poza nasze serwery dane trafiają tylko do dwóch rodzajów dostawców. Strony, których nie uda się odczytać na naszych serwerach, odczytuje (OCR) Amazon Textract w regionie AWS we Frankfurcie. Analizę modelami językowymi prowadzą OpenAI i Anthropic w Stanach Zjednoczonych, na podstawie standardowych klauzul umownych i umów, które zabraniają trenowania modeli na Twoich materiałach. Żaden inny podmiot zewnętrzny nie otrzymuje dokumentów. Jak każdy z dostawców przetwarza otrzymane dane, opisujemy na stronie o [przetwarzaniu danych i zgodności z przepisami](https://legalnaut.com/data-handling-and-compliance). RODO i PDPA ------------- Wobec klientów z Unii Europejskiej stosujemy RODO, wobec klientów z Wielkiej Brytanii jego brytyjski odpowiednik (UK GDPR), a jako spółka z Singapuru także singapurską ustawę o ochronie danych osobowych (Personal Data Protection Act). Dane osobowe zawarte w aktach przetwarzamy jako podmiot przetwarzający w Twoim imieniu, na podstawie [umowy powierzenia przetwarzania danych](https://legalnaut.com/dpa), a każde przekazanie danych do państwa trzeciego zabezpieczają standardowe klauzule umowne. Działamy wyłącznie na Twoje udokumentowane polecenie, pomagamy w realizacji praw osób, których dane dotyczą, i bez zbędnej zwłoki zgłaszamy Ci każde naruszenie ochrony danych osobowych dotyczące Twoich akt. Jakie dane zbieramy i w jakim celu, opisuje [polityka prywatności](https://legalnaut.com/policy). Dowodu nie da się podmienić ----------------------------- W chwili, gdy dokument trafia do akt, zapisujemy plik, odczytany z niego tekst i skrót SHA-256 pliku. Aplikacja nie pozwala ich nadpisać. Opisy i analizy AI przechowujemy osobno, więc można je wygenerować ponownie bez ingerencji w dowód. Ten sam skrót potwierdza, że plik nie zmienił się od wpływu, i nie pozwala dodać tego samego dokumentu dwa razy pod różnymi nazwami. Żadnych publicznych linków do akt ----------------------------------- Dokument otworzy tylko zalogowana osoba zaproszona do danej sprawy. Nie ma publicznego linku, który można komuś przesłać, ani linku, który działa dalej, gdy ktoś straci dostęp do sprawy. Role i uprawnienia do usuwania -------------------------------- Każda osoba w sprawie ma rolę, która określa, co wolno jej zrobić. Wspólne materiały mogą usuwać tylko osoby z rolą Właściciel lub Administrator. Osoby z niektórymi rolami nie mają dostępu do kategorii oznaczonych jako wrażliwe, a Przeglądający może czytać i eksportować, ale nie może niczego zmieniać. Każda istotna czynność trafia do dziennika zdarzeń, którego nikt w sprawie nie może edytować. AI i jego granice ------------------- Analizę wykonują komercyjne modele językowe, a umowy z ich dostawcami zabraniają trenowania modeli na Twoich materiałach. Każdy dokument przygotowany przez model ma oznaczenie „szkic roboczy”, a każde ustalenie AI pozostaje propozycją, dopóki nie potwierdzi go prawnik. Zapisujemy, kto i kiedy je potwierdził. Każdy projekt i każdą odpowiedź czatu porównujemy z aktami, zanim je zobaczysz: czy wskazany dokument i strona istnieją i czy cytat naprawdę tam jest. Jeśli coś nie przejdzie tej kontroli, pokazujemy to wprost i niczego nie poprawiamy po cichu. Asystent czyta akta i widzi tylko to, co wolno zobaczyć osobie, która pyta. Na prośbę dodaje do teczki dokument, twierdzenie, zdarzenie lub sprzeczność albo zostawia notatkę oznaczoną jako notatka asystenta. Sam z siebie nie robi żadnej z tych rzeczy i niczego innego nie zmienia. Legalnaut nie udziela porad prawnych, nie wnosi pism do sądu i nie ocenia znaczenia dokumentów. [Jak działa sprawdzanie cytatów](https://legalnaut.com/pl/funkcje#prove), pokazujemy na stronie z funkcjami. Dalsze podmioty przetwarzające -------------------------------- PODMIOT CEL Hetzner Online GmbH (Falkenstein, Niemcy) Hosting aplikacji i przechowywanie akt w Hetzner Cloud (ISO/IEC 27001:2022, BSI C5 Type 2) Amazon Web Services (Frankfurt, eu-central-1) Amazon Textract: OCR zeskanowanych stron, których nie uda się odczytać na naszych serwerach OpenAI i Anthropic (Stany Zjednoczone) Analiza dokumentów, podsumowania, projekty pism i odpowiedzi czatu, bez trenowania modeli na danych klientów Aktualną listę z nazwami i siedzibami podmiotów znajdziesz w treści [umowy powierzenia przetwarzania danych](https://legalnaut.com/dpa). Jak długo trzymamy dane ------------------------- Żaden plan nie ogranicza czasu przechowywania akt i nie usuwamy automatycznie danych sprawy, za którą choć raz zapłacono. Gdy subskrypcja wygaśnie, blokujemy sprawę do czasu wyboru planu, a Właściciel nadal może pobrać pełny eksport albo ją usunąć. Nie zmieniamy ani nie usuwamy jej zawartości. Usunięcie wymaga świadomej decyzji, a nawet wtedy przechowujemy dane jeszcze przez 30 dni i przez cały ten czas jednym kliknięciem anulujesz usunięcie. Ostrzeżenie wysyłamy 7 dni przed usunięciem. Wyjątkiem są konta próbne, z których nikt nie korzystał. Ich dane usuwamy 30 dni po zakończeniu okresu próbnego, z takim samym ostrzeżeniem i takim samym czasem na anulowanie usunięcia. Niezależnie od planu wygenerowany plik eksportu można pobrać przez 7 dni. Potem plik przestaje być dostępny, ale eksport wygenerujesz ponownie, a dane sprawy pozostają bez zmian. Zgłoś problem --------------- Jeśli podejrzewasz, że ktoś przejął konto, albo widzisz lukę w zabezpieczeniach, napisz na contact@legalnaut.com. Operatorem Legalnaut jest A2Z WEB PTE. LTD., spółka zarejestrowana w Singapurze pod numerem 202614429R. SCREENSHOT ![]()