Bezpieczeństwo

Baza danych (konta, sprawy, wiadomości, metadane dokumentów) działa w usłudze Supabase w regionie Frankfurt (eu-central-1), czyli w Unii Europejskiej. Aplikacja WWW działa na serwerze w Microsoft Azure w regionie Polska Środkowa.

Dostęp do danych w bazie jest ograniczany regułami na poziomie wierszy (RLS): użytkownik widzi wyłącznie rekordy, do których ma uprawnienia — kancelaria swoje sprawy, klient sprawy udostępnione mu przez kancelarię.

Infrastruktura, na której działa serwis:

• Supabase — baza danych, uwierzytelnianie, przechowywanie plików (Frankfurt).
• Microsoft Azure — serwer aplikacji (Polska Środkowa).
• LiveKit — oprogramowanie serwera wideo, które uruchamiamy sami na naszym serwerze (nie korzystamy z chmurowej usługi LiveKit).

Pełny wykaz odbiorców danych, celów i podstaw przetwarzania jest w polityce prywatności.

Konto można zabezpieczyć kodem jednorazowym (TOTP, aplikacja uwierzytelniająca) w ustawieniach konta. Dla kancelarii dostępna jest opcja wymagania MFA od członków zespołu. MFA jest opcjonalne dla konta — nie wymuszamy go na każdym użytkowniku.

Spotkania wideo mają dwa tryby, a interfejs zawsze pokazuje, który obowiązuje:

• E2EE włączone — klucz szyfrowania powstaje w przeglądarce prowadzącego i jest częścią osobistego linku (we fragmencie adresu po znaku #, który przeglądarka nie wysyła do serwera). Serwer wideo przekazuje obraz i dźwięk, ale nie ma klucza do ich odczytu. Skutek: kto nie ma linku z kluczem, nie wejdzie do spotkania, a zgubiony link wymaga wydania nowych.
• E2EE wyłączone — domyślnie dla spotkań tworzonych automatycznie przy rezerwacji, bo w tym momencie żadna przeglądarka nie ma jeszcze klucza. Połączenie jest szyfrowane w transmisji, ale nie end-to-end. Prawnik może włączyć E2EE na stronie spotkania.

Czego E2EE nie obejmuje: nagrania i transkrypcje spotkań NIE są szyfrowane end-to-end. Materiały udostępniane podczas spotkania, wiadomości w serwisie (poza pokojem wideo) i dokumenty spraw też nie są objęte szyfrowaniem end-to-end.

• Test penetracyjny: nie przeprowadzono. Opublikujemy datę i zakres, gdy powstanie raport.
• Certyfikaty (np. ISO 27001, SOC 2): nie posiadamy i nie powołujemy się na żaden.

Kancelarie korzystające z serwisu jako administratorzy danych swoich klientów mogą otrzymać umowę powierzenia przetwarzania danych na żądanie — napisz przez stronę kontaktu.

Znalazłeś(-aś) lukę? Zgłoś ją przez stronę kontaktu (sekcja „Znalazłem lukę w zabezpieczeniach”). Potwierdzamy zgłoszenia w ciągu 48 godzin.