BEZPIECZEŃSTWO I AI
Jak chronimy dane Twojej firmy
Konkretnie, bez ogólników. Każdy punkt poniżej opisuje to, co działa dziś w zespol.ai. Stan na 21 października 2026 r.
Gdzie są dane
- Aplikacja i baza danych działają na serwerze OVH we Frankfurcie (Unia Europejska).
- Rozmowy z agentami idą przez nasz serwer do dostawcy modelu AI: domyślnie OpenAI, albo do dostawcy z Twojego własnego klucza (Anthropic, Google, Mistral). Na naszym kluczu korzystamy z płatnego API OpenAI, którego warunki wykluczają trenowanie modeli na danych klienta; przy własnym kluczu obowiązuje Twoja umowa z wybranym dostawcą.
- Pełna lista podmiotów, które przetwarzają dane w naszym imieniu, jest w Polityce prywatności.
Szyfrowanie
- Klucze API, hasła skrzynek pocztowych i tokeny integracji (Google, Meta, LinkedIn) szyfrujemy algorytmem AES-256-GCM. Każdy wpis ma własny klucz wyprowadzony z klucza głównego (PBKDF2-SHA256, 600 000 iteracji, HKDF z losową solą).
- Całe połączenie z aplikacją jest szyfrowane (HTTPS/TLS).
- Hasła do kont przechowujemy wyłącznie jako skrót bcrypt.
- Kopie zapasowe bazy są szyfrowane AES-256, robione codziennie (także poza serwerem) i usuwane najpóźniej po 90 dniach.
Twoje dane, Twoja kontrola
- Dane każdej firmy są oddzielone od danych innych firm: każde zapytanie do bazy jest ograniczone do Twojego konta lub firmy.
- Firmy mogą zaakceptować w panelu umowę powierzenia przetwarzania danych (RODO, art. 28) — Ustawienia → Umowa powierzenia. O naruszeniu ochrony danych informujemy w ciągu 48 godzin.
- Konto i dane możesz usunąć sam w ustawieniach. Wcześniej możesz pobrać swoje dane.
- Możesz podpiąć własny klucz AI (od planu Board) — wtedy zapytania idą na Twoją umowę z dostawcą.
AI pod kontrolą człowieka (AI Act)
- Zawsze wiesz, kiedy odpowiada AI. Czat w aplikacji i czat na stronie mówią wprost, że to sztuczna inteligencja, a nie człowiek (art. 50 ust. 1).
- Grafiki AI są oznaczone. Każda grafika wygenerowana w zespol.ai ma w pliku maszynowy znacznik pochodzenia AI (IPTC „trainedAlgorithmicMedia”), w otwartym standardzie IPTC, z którego korzystają m.in. Google i Meta (art. 50 ust. 2).
- AI nie ocenia ludzi. Agent HR pomaga z ogłoszeniami, pytaniami na rozmowę i dokumentami, ale nie ocenia ani nie wybiera kandydatów i pracowników. Raporty działów nie oceniają osób. Zastosowania wysokiego ryzyka z Załącznika III AI Act są wykluczone w regulaminie.
- Nic nie wychodzi bez Twojej zgody. Odpowiedzi na maile trafiają do szkiców w Twojej skrzynce, odpowiedzi na komentarze i posty publikują się po Twoim kliknięciu. Wyjątki ustawiasz sam: posty, które zaplanujesz, publikuje harmonogram, a sekwencje mailowe wysyłają się po zaakceptowaniu szablonu.
- Ochrona przed manipulacją AI. Treść maili i komentarzy od obcych osób trafia do modelu jako dane, nigdy jako polecenia, a działania na skrzynce dotyczą tylko maili, które naprawdę pobraliśmy. Odpowiedź zawsze idzie do prawdziwego nadawcy.
- Nie stosujemy praktyk zakazanych przez AI Act (art. 5): nie rozpoznajemy emocji ani nie używamy danych biometrycznych.
Ograniczenia, o których mówimy wprost
- AI może się mylić. Odpowiedzi agentów nie zastępują porady prawnika, księgowego ani doradcy podatkowego.
- zespol.ai nie jest przeznaczony do danych szczególnych kategorii (np. o zdrowiu) ani do rekrutacji i oceny pracowników.
Pytania o bezpieczeństwo
Napisz na kontakt@staffos.pl. Podatność lub incydent zgłaszaj tym samym adresem z tematem „Bezpieczeństwo”.