Pakiet bezpieczeństwa Verbalu

Zwięzły opis zabezpieczeń usługi Verbalu dla klienta i jego działu bezpieczeństwa: gdzie są dane, jak są szyfrowane, jak wygląda logowanie, kopie zapasowe i aktualizacje, kto jest naszym podwykonawcą i gdzie zgłosić incydent.

Dokument informacyjny, wersja 1.0, stan na 12 listopada 2026. Opisuje stan faktyczny, także tam, gdzie czegoś dziś nie mamy. Zobowiązania wobec klienta wynikają z umowy głównej, umowy powierzenia przetwarzania danych i załącznika bezpieczeństwa.

1. Dostawca i zakres

Usługę Verbalu prowadzi Octigo sp. z o.o., ul. Redycka 38/1, 51-169 Wrocław, Polska (KRS 0000360836, NIP 8951978011). Verbalu to aplikacja w modelu SaaS dla trenerów, wykładowców i działów szkoleń: działa w przeglądarce oraz jako aplikacja mobilna na Androida i iOS. Dokument obejmuje aplikację, jej funkcje serwerowe i dane klientów przechowywane w usłudze.

2. Hosting i lokalizacja danych

Verbalu działa w całości na infrastrukturze Google Cloud i Firebase; nie utrzymujemy własnych serwerów. Baza danych (Cloud Firestore) działa w wieloregionie eur3 w Unii Europejskiej. Pliki są przechowywane w Google Cloud Storage w wieloregionie UE. Funkcje serwerowe i baza czasu rzeczywistego działają w regionie europe-west1 w Belgii. Kopie zapasowe bazy leżą w eur3. Nie oferujemy dziś wyboru regionu. Dane mogą trafić poza Europejski Obszar Gospodarczy w dwóch sytuacjach: gdy użytkownik uruchomi funkcję sztucznej inteligencji, a dostawca modelu przetworzy zapytanie poza EOG, oraz przy wsparciu technicznym świadczonym przez personel dostawców spoza EOG. Podstawą jest wtedy EU-U.S. Data Privacy Framework albo standardowe klauzule umowne zatwierdzone przez Komisję Europejską.

3. Szyfrowanie

Cała komunikacja między przeglądarką albo aplikacją mobilną a usługą jest szyfrowana (HTTPS, protokół TLS). Dane w bazie, plikach i kopiach zapasowych są szyfrowane w spoczynku domyślnym mechanizmem Google Cloud; kluczami zarządza Google i nie oferujemy dziś szyfrowania kluczem klienta. Haseł użytkowników nie przechowujemy ani nie widzimy: obsługuje je Firebase Authentication. Wybrane pola listy obecności organizator może dodatkowo zaszyfrować własnym hasłem, którego nie przechowujemy i nie umiemy odtworzyć. Nie zbieramy ani nie przechowujemy danych kart płatniczych: płatności obsługuje Stripe.

4. Logowanie i uwierzytelnianie wieloskładnikowe (MFA)

Użytkownik loguje się hasłem, kontem Google, kontem Apple albo jednorazowym kodem wysłanym e-mailem. Verbalu nie ma dziś własnego drugiego składnika logowania i nie potrafi wymusić MFA na poziomie organizacji. Przy logowaniu kontem Google działają zabezpieczenia tego konta, w tym weryfikacja dwuetapowa, jeśli klient wymusza ją w swojej domenie. Logowanie hasłem i kodem e-mail jest jednoskładnikowe. Zalecenie do czasu wdrożenia własnego MFA: zobowiązać trenerów i administratorów klienta do logowania kontem firmowym Google z włączoną weryfikacją dwuetapową. Organizacja może potwierdzić swoją domenę, a osoby z kontem firmowym dołączają wtedy bez zaproszeń. Uczestnicy sesji dołączają kodem, linkiem albo kodem QR, bez zakładania konta.

5. Kontrola dostępu i dziennik audytu

Uprawnienia sprawdzają reguły bazy danych po stronie serwera, a nie tylko ekrany aplikacji; te same reguły oddzielają dane różnych organizacji. Po stronie Octigo dostęp do danych klientów mają wyłącznie osoby, którym jest on niezbędny do utrzymania usługi albo obsługi zgłoszenia, związane obowiązkiem poufności. W aplikacji działa dziennik audytu organizacji: logowania członków, także nieudane, zmiany haseł, zaproszenia, dodanie i usunięcie członków, zmiany uprawnień i ustawień organizacji, eksporty danych oraz działania administratorów Verbalu dotyczące organizacji. Wpisy zapisują wyłącznie funkcje serwerowe, każdy ma sumę kontrolną SHA-256, dni są pieczętowane i łączone w łańcuch, a dziennik jest przechowywany 13 miesięcy. Właściciel organizacji przegląda go w aplikacji.

6. Kopie zapasowe i odtwarzanie

Kopia zapasowa bazy danych powstaje automatycznie raz w tygodniu, w niedzielę. Każdą przechowujemy 60 dni w wieloregionie eur3; kopie są szyfrowane mechanizmem dostawcy chmury i nie opuszczają Unii Europejskiej. Nie wykonujemy kopii dobowych ani godzinowych, a odtwarzanie do dowolnego punktu w czasie jest wyłączone, więc w najgorszym razie odtworzenie cofa stan bazy o maksymalnie siedem dni. Nie deklarujemy dziś umownego czasu odtworzenia i nie przeprowadziliśmy jeszcze udokumentowanej próby pełnego odtworzenia. Klient może w każdej chwili pobrać własny eksport: właściciel organizacji pobiera całe konto jako jeden plik ZIP i może traktować go jako niezależną kopię.

7. Aktualizacje i zarządzanie podatnościami

Warstwa serwerowa jest w pełni zarządzana przez Google Cloud, więc aktualizacje systemu operacyjnego i środowiska uruchomieniowego leżą po stronie dostawcy chmury. Zależności aplikacji aktualizujemy ręcznie przy pracach rozwojowych, korzystając z ostrzeżeń menedżera pakietów o znanych podatnościach; nie mamy dziś automatycznego skanera, który blokowałby wdrożenie. Nowe wersje wdrażamy bez przerwy w działaniu usługi, a przeglądarka sama pobiera aktualną wersję aplikacji. Aplikację mobilną aktualizujemy przez Google Play i App Store. W listopadzie 2026 przeprowadziliśmy wewnętrzny przegląd bezpieczeństwa całego kodu; poprawki ustaleń o wadze krytycznej i wysokiej wdrożyliśmy 6 listopada 2026. Nie zlecaliśmy dotąd zewnętrznego testu penetracyjnego; jesteśmy gotowi poddać się testowi zleconemu przez klienta w uzgodnionym oknie czasowym.

8. Dostępność i monitoring

Dostępność Verbalu sprawdza z zewnątrz niezależna usługa UptimeRobot. Bieżący stan i historię pokazuje publiczna strona statusu: https://stats.uptimerobot.com/67oKoekA03. Działa poza naszą infrastrukturą, więc otworzy się także wtedy, gdy Verbalu nie odpowiada. Nie oferujemy dziś umownej gwarancji dostępności (SLA).

9. Podwykonawcy

Tabela na końcu dokumentu wymienia podmioty, które przetwarzają dane w związku z usługą. O zamiarze dodania albo zastąpienia dalszego podmiotu przetwarzającego zawiadamiamy klienta, z którym mamy umowę powierzenia, e-mailem z wyprzedzeniem co najmniej 30 dni. Tekst w funkcjach AI generuje jeden dostawca wybrany dla całej usługi (Google Gemini, OpenAI albo Anthropic); treść trafia do modelu tylko wtedy, gdy ktoś użyje funkcji AI. Nie uczymy modeli na treściach klientów. Poza listą są konektory włączane samodzielnie przez użytkownika (Notion, Nuclino, wybór pliku z Google Drive): dane płyną wtedy z konta użytkownika w tych usługach do Verbalu.

10. Kontakt w sprawie incydentów

Incydent, podejrzenie incydentu albo lukę w zabezpieczeniach zgłoś na adres hello@verbalu.com, najlepiej z tematem „Incydent bezpieczeństwa”. Ten sam adres obsługuje sprawy danych osobowych; nie wyznaczyliśmy inspektora ochrony danych. Przyjęcie zgłoszenia potwierdzamy najpóźniej w następnym dniu roboczym. O naruszeniu dotyczącym danych klienta zawiadamiamy go bez zbędnej zwłoki, nie później niż w ciągu 24 godzin od stwierdzenia. Pełny tryb postępowania opisuje „Procedura obsługi incydentów bezpieczeństwa”.

11. Czego dziś nie mamy

Certyfikatu ISO 27001, raportu SOC 2 ani zewnętrznego testu penetracyjnego (własne certyfikaty i raporty ma infrastruktura Google Cloud, na której działamy). Własnego MFA ani możliwości wymuszenia go w organizacji. Logowania SSO przez SAML. Kopii zapasowych częściej niż raz w tygodniu ani wyboru regionu danych. Umownej gwarancji dostępności (SLA). Automatycznego skanowania podatności w procesie wdrożeniowym.

Podwykonawca	Lokalizacja	Zakres
Google Ireland Limited i Google LLC (Firebase, Google Cloud)	UE: eur3, EU, europe-west1	Podstawowa infrastruktura: logowanie, baza danych, pliki, funkcje serwerowe, hosting, powiadomienia push, kopie zapasowe.
Google Ireland Limited (Google Workspace)	Według warunków Google	Poczta wysyłana z usługi: zaproszenia, powiadomienia, wiadomości do uczestników, korespondencja wsparcia.
Google (Gemini API)	Możliwe poza EOG	Funkcje AI: generowanie tekstu (gdy jest wybranym dostawcą), obrazy, wyszukiwanie AI, transkrypcja nagrań. Tylko na polecenie użytkownika.
OpenAI Ireland Limited	Możliwe poza EOG	Funkcje AI: generowanie tekstu i transkrypcja nagrań, gdy jest wybranym dostawcą. Tylko na polecenie użytkownika.
Anthropic PBC	USA	Funkcje AI: generowanie tekstu, gdy jest wybranym dostawcą. Tylko na polecenie użytkownika.
Stripe Payments Europe	UE i USA	Płatności i faktury w planach płatnych. Dane karty nie przechodzą przez nasz kod.
Hotjar, Google Analytics, Google Ads	UE i USA	Analityka i pomiar reklam. Pliki cookie zapisujemy dopiero po zgodzie w banerze cookies.
UptimeRobot	Nie dotyczy	Zewnętrzny pomiar dostępności strony. Nie otrzymuje danych klientów.