Bezpieczeństwo danych i RODO w systemie księgowym — o co zapytać dostawcę

Kto tu za co odpowiada

Podstawowe rozróżnienie, od którego zależy cała reszta: administratorem danych jest firma albo biuro rachunkowe, a dostawca systemu jest zwykle podmiotem przetwarzającym — działa na polecenie administratora, w granicach umowy powierzenia. Konsekwencja jest praktyczna: nawet najlepszy dostawca nie zdejmuje z Ciebie obowiązku doboru bezpiecznego narzędzia, kontroli dostępu pracowników i reagowania na incydenty.

Umowa powierzenia — co musi zawierać

• przedmiot, czas i cel przetwarzania oraz kategorie osób i danych,
• zobowiązanie do przetwarzania wyłącznie na udokumentowane polecenie administratora,
• zasady korzystania z podwykonawców (np. dostawcy infrastruktury) i informowania o ich zmianie,
• opis zastosowanych środków technicznych i organizacyjnych,
• obowiązek pomocy przy realizacji praw osób i przy zgłaszaniu naruszeń,
• zasady usunięcia lub zwrotu danych po zakończeniu współpracy.

Jeśli dostawca nie ma gotowego wzoru takiej umowy, to sam w sobie jest sygnał ostrzegawczy.

Dziesięć pytań do dostawcy systemu

1. Gdzie fizycznie przetwarzane i przechowywane są dane?
2. Kto z Waszej strony ma techniczny dostęp do danych klientów i na jakiej podstawie?
3. Czy dane są wykorzystywane do trenowania modeli AI? Jeśli tak — jakie i na jakich zasadach?
4. Jak często wykonywane są kopie zapasowe i czy odtwarzanie jest testowane?
5. Ile trwa odtworzenie danych po awarii?
6. Czy system rejestruje, kto i kiedy wprowadził lub zmienił dokument?
7. Czy uprawnienia są egzekwowane po stronie serwera, czy tylko ukrywają elementy interfejsu?
8. Jak wygląda procedura zgłoszenia naruszenia i w jakim czasie mnie poinformujecie?
9. Czy przeprowadzacie testy bezpieczeństwa i jak reagujecie na zgłoszone podatności?
10. W jakim formacie i w jakim czasie odzyskam dane, jeśli zrezygnuję?

Czego pilnować po swojej stronie

Większość incydentów w małych organizacjach nie wynika z włamania do serwerowni dostawcy, tylko z prostych zaniedbań:

Ryzyko	Co zrobić
Wspólne konto „biuro"	Indywidualne konta dla każdej osoby — bez tego nie ma rozliczalności
Konto po odejściu pracownika	Procedura odbierania dostępu tego samego dnia
Nadmiarowe uprawnienia	Dostęp tylko do tych firm i obszarów, które są potrzebne w pracy
Dokumenty w poczcie i komunikatorach	Wymiana dokumentów wewnątrz systemu zamiast załączników w mailu
Słabe hasła	Menedżer haseł i wymuszona zmiana przy podejrzeniu wycieku
Eksporty na prywatne dyski	Zasada: dane zostają w systemie, eksport tylko uzasadniony

Chmura a bezpieczeństwo — bez ideologii

Argument „w chmurze dane są mniej bezpieczne" nie ma potwierdzenia w praktyce małych organizacji. Komputer w biurze rzadko ma testowane kopie zapasowe, aktualizacje systemu operacyjnego i kontrolę dostępu; profesjonalny dostawca ma to z definicji. Model chmurowy przenosi natomiast ryzyko z awarii sprzętu na relację z dostawcą — dlatego liczy się umowa i jego wiarygodność. Porównanie obu modeli znajdziesz w tekście o systemach księgowych w chmurze.

Osobny wątek: dane a sztuczna inteligencja

Systemy z funkcjami AI wymagają dodatkowego pytania: czy dokumenty klientów opuszczają system i czy są wykorzystywane do uczenia modeli. Odpowiedź powinna być jednoznaczna i zapisana w umowie — to informacja, którą biuro musi umieć przekazać swoim klientom. Kontekst technologiczny opisujemy w artykule o systemie księgowym AI.

Bezpieczeństwo w Contivo

Contivo działa w modelu chmurowym: indywidualne konta użytkowników z uprawnieniami nadawanymi w panelu administracyjnym biura, izolacja danych pomiędzy obsługiwanymi firmami, kopie zapasowe i aktualizacje po stronie dostawcy. Zasady przetwarzania danych opisuje polityka prywatności, a relację między biurem a dostawcą reguluje umowa powierzenia. Oprogramowanie powstaje w Polsce, a wsparcie prowadzone jest po polsku — co przy pytaniach o RODO ma znaczenie praktyczne.