Bezpieczeństwo i ochrona danych
Bezpieczeństwo danych w Kidplace
Najważniejsze informacje dla właściciela placówki, IT i IOD.
Kidplace pracuje na danych potrzebnych do codziennej obsługi przedszkola i żłobka. Dlatego poniżej pokazujemy lokalizację infrastruktury, sposób tworzenia kopii zapasowych, model dostępu, wykorzystywanych dostawców oraz informacje o niezależnych testach bezpieczeństwa aplikacji.
Kidplace w skrócie
Najważniejsze informacje w jednym miejscu.
| Lokalizacja infrastruktury | Ożarów Mazowiecki k. Warszawy, Polska — dedykowana infrastruktura serwerowa OVHcloud (region Warsaw / WAW1) |
|---|---|
| Kopie zapasowe | wykonywane codziennie |
| Model dostępu | role i uprawnienia dopasowane do użytkownika i organizacji |
| Administrator danych | co do zasady placówka / organizacja |
| Rola Kidplace | co do zasady podmiot przetwarzający w zakresie danych powierzonych |
| Zewnętrzne testy bezpieczeństwa | TestArmy, blackbox + graybox, testy manualne i automatyczne |
| Metodyka testów | OWASP ASVS 4.0.3 + obszary OWASP Top 10 2021 |
| Funkcje AI | Google Gemini używane pomocniczo do generowania opisów aktualności — bez przekazywania danych dzieci |
Infrastruktura
Kidplace działa na dedykowanej infrastrukturze serwerowej w Polsce.
Kidplace korzysta z dedykowanej infrastruktury serwerowej OVHcloud zlokalizowanej w Ożarowie Mazowieckim k. Warszawy, w regionie oznaczanym przez OVHcloud jako Warsaw / WAW1. Obecnie główne środowisko aplikacji działa na dedykowanym serwerze.
Architektura może być rozszerzana o kolejne wydzielone zasoby wraz z rozwojem systemu, wzrostem obciążenia i ilości przechowywanych danych. Infrastruktura jest szyfrowana, a kopie zapasowe wykonywane są codziennie.
Dedykowana infrastruktura serwerowa OVHcloud w Polsce, region Warsaw / WAW1.
Backup danych wykonywany każdego dnia.
Bez publicznego deklarowania niepotwierdzonych parametrów kryptograficznych.
Dostęp i uprawnienia
Każdy użytkownik powinien widzieć tylko to, czego potrzebuje do swojej pracy.
Kidplace obsługuje role i zakresy dostępu odpowiednie dla różnych użytkowników. Sposób organizacji uprawnień można dopasować zarówno do pojedynczej placówki, jak i sieci, JST czy CUW.
Placówka i ustawienia
Dostęp do danych i obszarów potrzebnych do zarządzania jednostką.
Praca z grupą
Dane i funkcje związane z codzienną pracą z dziećmi i dokumentacją.
Dane dotyczące dziecka
Informacje udostępnione przez placówkę w ramach konta rodzica.
Dostęp centralny
Zakres raportów i jednostek zgodny z przyjętym modelem organizacyjnym.
Przed uruchomieniem warto ustalić, kto potrzebuje dostępu do poszczególnych danych i funkcji. W większych wdrożeniach model dostępu możemy omówić również z IT i IOD.
Zewnętrzni dostawcy
Pokazujemy, z jakich usług zewnętrznych korzysta system.
Poniższa lista opisuje rolę techniczną dostawców wykorzystywanych przez Kidplace. Formalny status każdego podmiotu w konkretnym procesie wynika z dokumentacji prawnej i umownej.
| Dostawca | Zakres | Rola w systemie |
|---|---|---|
| OVHcloud | infrastruktura serwerowa | dedykowana infrastruktura aplikacji zlokalizowana w Ożarowie Mazowieckim k. Warszawy (region Warsaw / WAW1) |
| Autopay S.A. | płatności online | obsługa procesu płatności |
| Vercom S.A. / EmailLabs | wysyłka wiadomości e-mail | dostarczanie komunikacji e-mail generowanej przez system |
| Google Gemini | pomocnicze funkcje AI | generowanie opisów do aktualności; dane dzieci nie są przekazywane do Gemini |
AI w Kidplace
Obecna funkcja AI nie potrzebuje danych dzieci.
W obecnie udostępnionej funkcji AI Google Gemini służy pomocniczo do generowania opisów do aktualności. Do tego procesu nie są przekazywane dane dzieci.
Zakres wykorzystania AI może rozwijać się razem z produktem, ale każda nowa funkcja powinna być oceniana osobno pod kątem tego, jakie dane są do niej przekazywane i w jakim celu.
RODO i odpowiedzialność
System nie zmienia tego, kto jest administratorem danych.
W przypadku danych powierzonych Kidplace przez przedszkole, żłobek lub inną organizację administratorem danych jest co do zasady placówka lub podmiot, który decyduje o celach i sposobach ich przetwarzania. Kidplace działa jako podmiot przetwarzający w zakresie wynikającym z usługi.
Szczegóły wynikają z umowy i dokumentacji dla konkretnego wdrożenia.
Niezależne testy bezpieczeństwa
Kidplace było testowane jak realna aplikacja internetowa.
W ramach projektu wdrożenia Zintegrowanego Systemu E-Usług Publicznych dla MOF Łukowa aplikacja Kidplace została objęta niezależnymi testami bezpieczeństwa realizowanymi przez TestArmy.
Zakres testów
Test objął wszystkie dostępne funkcjonalności aplikacji test.kidplace.app, z wyłączeniem procesu płatności, który w czasie badania nie był dostępny.
- uwierzytelnianie i zarządzanie sesją,
- kontrola uprawnień i próby eskalacji,
- SQL/XML Injection i inne klasy injection,
- XSS i CSRF,
- podatności SSL/TLS,
- błędy logiczne aplikacji,
- ujawnianie informacji,
- HTTP Parameter Pollution,
- nieaktualne komponenty i konfiguracja.
Testy wykazały podatności, które zostały przeanalizowane i usunięte w ramach działań naprawczych.
Celem zewnętrznych testów jest wykrycie słabych punktów, zanim zostaną wykorzystane w rzeczywistym ataku. Zespół Kidplace wdrożył poprawki dla wykrytych podatności. Dostępna dokumentacja nie stanowi potwierdzenia formalnego retestu po wdrożeniu poprawek.
Testy były częścią osobnego postępowania Miasta Łuków
Miasto Łuków przeprowadziło odrębne postępowanie ZP.271.1.27.2025 dotyczące przeprowadzenia testów bezpieczeństwa w ramach projektu wdrożenia Zintegrowanego Systemu E-Usług Publicznych dla mieszkańców MOF Łukowa.
Organizacja dostępu po stronie Kidplace
System obsługuje stały zespół.
Kidplace nie korzysta z zewnętrznych kontraktorów przy bieżącej obsłudze systemu. Zespół pracuje na podstawie umów o pracę.
Sam rodzaj umowy nie jest zabezpieczeniem technicznym, ale ogranicza liczbę zewnętrznych osób uczestniczących w codziennej obsłudze produktu i ułatwia utrzymanie stałych zasad dostępu.
Dla IT, IOD, JST i CUW
Jeśli potrzebujesz więcej szczegółów, przekażemy je przed wdrożeniem.
Strona zbiera podstawowe informacje. Przy większym wdrożeniu możemy przejść przez kwestie bezpieczeństwa bezpośrednio z osobą odpowiedzialną za IT, ochronę danych lub zamówienie.
- architekturę i lokalizację infrastruktury,
- role i zakresy dostępu użytkowników,
- model powierzenia przetwarzania danych,
- kopie zapasowe i ciągłość działania,
- zewnętrznych dostawców usług,
- zakres i wyniki testów bezpieczeństwa,
- migrację danych i uruchomienie jednostek,
- zakres wsparcia i SLA właściwy dla wdrożenia.
FAQ
Najczęstsze pytania o bezpieczeństwo Kidplace.
Gdzie znajduje się infrastruktura Kidplace?
Kidplace korzysta z dedykowanej infrastruktury serwerowej OVHcloud zlokalizowanej w Ożarowie Mazowieckim k. Warszawy, w regionie oznaczanym przez OVHcloud jako Warsaw / WAW1. Obecnie główne środowisko aplikacji działa na dedykowanym serwerze, a architektura może być rozszerzana o kolejne wydzielone zasoby wraz z rozwojem systemu.
Jak często wykonywane są kopie zapasowe?
Kopie zapasowe są wykonywane codziennie.
Czy Kidplace było testowane przez niezależną firmę?
Tak. TestArmy przeprowadziło testy bezpieczeństwa aplikacji metodą blackbox i graybox, z testami manualnymi, automatycznymi i fuzzingiem, w oparciu m.in. o OWASP ASVS 4.0.3 oraz OWASP Top 10 2021.
Czy testy wykazały podatności?
Tak. Wykryte podatności zostały przeanalizowane i usunięte przez zespół Kidplace w ramach działań naprawczych. Dostępna dokumentacja nie stanowi potwierdzenia formalnego retestu po wdrożeniu poprawek.
Czy dane dzieci są przekazywane do Google Gemini?
Nie. W obecnie udostępnionej funkcji Gemini jest wykorzystywane pomocniczo do generowania opisów do aktualności. Dane dzieci nie są przekazywane do tej usługi.
Kto jest administratorem danych?
W przypadku danych powierzonych Kidplace przez placówkę administratorem jest co do zasady placówka lub organizacja decydująca o celach i sposobach przetwarzania, a Kidplace działa jako podmiot przetwarzający.
Czy Kidplace korzysta z zewnętrznych kontraktorów do obsługi systemu?
Nie przy bieżącej obsłudze systemu. Zajmuje się nią stały zespół pracowników Kidplace zatrudnionych na podstawie umów o pracę. Kidplace korzysta natomiast z zewnętrznych dostawców usług, m.in. OVHcloud, Autopay, Vercom / EmailLabs i Google Gemini w opisanych wyżej zakresach.
Oceniacie Kidplace od strony technicznej?
Przekażemy informacje potrzebne do oceny rozwiązania.
Jeśli w decyzji uczestniczy IT, IOD, CUW albo organ prowadzący, możemy odpowiedzieć na pytania dotyczące infrastruktury, przetwarzania danych, dostępu i bezpieczeństwa przed wdrożeniem.