Przejdź do głównej treści
Wymagane polskim prawem (Ustawa o ochronie sygnalistów) dla organizacji z ponad 50 pracownikami

Często zadawane pytania #

Dla inspektorów ds. zgodności i decydentów #

Czy EthicsPortal jest zgodny z dyrektywą UE 2019/1937? #

Tak. EthicsPortal jest zbudowany specjalnie w celu spełnienia wymagań dyrektywy UE o ochronie sygnalistów. Obejmuje to bezpieczne kanały zgłoszeniowe, anonimową dwukierunkową komunikację, śledzenie terminów (7-dniowe potwierdzenie, 3-miesięczna informacja zwrotna), kontrolę dostępu, polityki przechowywania danych oraz kompletny dziennik audytu. Szczegółowe omówienie artykuł po artykule znajdziesz na stronie zgodności .

W których krajach EthicsPortal spełnia wymogi? #

EthicsPortal spełnia wymagania dyrektywy UE 2019/1937, która została transponowana do prawa krajowego w państwach członkowskich UE. Platforma jest zaprojektowana tak, aby spełniać podstawowe wymagania dyrektywy, które obowiązują w całej UE. Jeśli Twój kraj ma dodatkowe wymagania krajowe (np. francuska Loi Waserman), sprawdź nasze przewodniki dla poszczególnych krajów lub skontaktuj się z nami .

Czy firma spoza UE może korzystać z EthicsPortal? #

Podmiot prowadzący kanał zgłoszeniowy musi być zarejestrowany w UE. Jeśli grupa ma spółkę w UE, może ona prowadzić jeden kanał i udostępnić go pracownikom w dowolnym kraju — każde zgłoszenie trafia na tę samą listę spraw, niezależnie od tego, gdzie pracuje zgłaszający.

Pracownicy spoza UE mają anonimowe zgłoszenia, szyfrowaną komunikację dwukierunkową oraz terminy z dyrektywy: 7 dni na potwierdzenie i 3 miesiące na informację zwrotną. Ani prawo amerykańskie, ani kanadyjskie nie wymaga tych terminów, więc stosowanie ich w całej grupie wyznacza standard surowszy niż każde z nich.

Raport zgodności powołuje się na prawo krajowe spółki z UE, która prowadzi kanał. Potwierdza obowiązki tej spółki, a nie działalności w innych jurysdykcjach.

Czy możemy prowadzić kanał zgłoszeniowy wewnętrznie? #

Tak — art. 8 ust. 5 dyrektywy 2019/1937 wyraźnie na to zezwala. Jednak spełnienie warunków dyrektywy jest strukturalnie trudniejsze, gdy kanał prowadzony jest wewnętrznie.

Artykuł 9 ust. 1 wymaga poufności tożsamości zgłaszającego, bezstronnego prowadzenia sprawy oraz ograniczonego dostępu do zgłoszeń. Kanał wewnętrzny przekierowuje wszystkie trzy warunki przez tych samych administratorów IT, systemy kopii zapasowych i narzędzia retencji na potrzeby postępowań sądowych, które obsługują pozostałe systemy w firmie. Osobna subdomena lub skrzynka pocztowa nie zmieniają tego, kto ma dostęp.

RODO dodaje drugi problem. Zgłaszanie nieprawidłowości znajduje się na obowiązkowej liście DPIA opublikowanej przez EROD. Wewnętrzna DPIA musiałaby dokumentować, w jaki sposób administrator uniemożliwia sobie dostęp do danych o samym sobie — co jest z natury zapętlone.

Prowadzenie przez podmiot zewnętrzny jest przewidziane w art. 8 ust. 5 oraz w transpozycjach krajowych: Loi Sapin II / Waserman (FR), HinSchG §14 (DE), D.Lgs. 24/2023 (IT), Ley 2/2023 (ES).

Gdzie przechowywane są moje dane? #

Podstawowe dane zgłoszeń są przechowywane na serwerach Hetzner w Norymberdze w Niemczech. Strona marketingowa jest dostarczana przez Cloudflare (Stany Zjednoczone); portal zgłoszeniowy i portal prowadzących nie. Hetzner to niemiecki dostawca hostingu podlegający unijnemu prawu ochrony danych. Odrębne przetwarzanie publicznej strony przez Cloudflare i zabezpieczenia transferu opisuje Polityka prywatności , a nie łańcuch DPA.

Czy zgłoszenia są naprawdę anonimowe? #

Tak, jeśli zgłaszający tak zdecyduje. Podanie imienia i nazwiska lub danych kontaktowych jest opcjonalne. EthicsPortal nie przechowuje adresów IP zgłaszających wraz ze zgłoszeniami ani w logach aplikacji, usuwa metadane plików (EXIF, GPS, informacje o autorze) z przesyłanych plików, a bezpieczny wątek wiadomości nigdy nie ujawnia zgłaszającemu tożsamości osoby prowadzącej sprawę. Nie ma technicznego mechanizmu pozwalającego powiązać anonimowe zgłoszenie z konkretną osobą.

Jak działa śledzenie terminów 7-dniowego i 3-miesięcznego? #

Po wysłaniu zgłoszenia EthicsPortal automatycznie uruchamia dwa liczniki czasu zgodnie z wymaganiami dyrektywy:

Zaległe zgłoszenia są oznaczane w panelu, a prowadzący otrzymują powiadomienia w miarę zbliżania się terminów.

Czy oferujecie umowę powierzenia przetwarzania danych (DPA)? #

Tak. Aktualna umowa DPA jest opublikowana na stronie DPA , a podpisany egzemplarz jest dostępny na życzenie.

Jakie certyfikaty posiadacie? #

EthicsPortal publikuje pełną samoocenę ISO/IEC 27001:2022 obejmującą rozdziały 4–10 i wszystkie 93 zabezpieczenia z Załącznika A w formie deklaracji stosowania, mapę zgodności z ISO 37002 , wypełniony CAIQ oraz nazwane dokumenty polityk, obok stron bezpieczeństwo , podwykonawcy , rejestr incydentów i SLA . Są to samooceny wobec zestawów zabezpieczeń, które oceniałby audyt zewnętrzny, a nie akredytowana certyfikacja: EthicsPortal nie deklaruje akredytowanej certyfikacji ISO 27001, a obecny status podaje strona zaufania .

Kto jest stroną kontraktową? #

EthicsPortal jest prowadzony przez Yaroslava Shmarova, zarejestrowanego w Polsce. Podstawowe informacje kontraktowe i materiały do oceny dostawcy są opublikowane na stronie Zaufanie .

Czy wspieracie ocenę dostawcy? #

Tak. Publiczne materiały weryfikacyjne są opublikowane na stronie, a dodatkowe materiały do oceny dostawcy są dostępne na żądanie w trakcie przeglądu. Zobacz Zaufanie .

Czy mogę eksportować dane sprawy dla audytorów? #

Tak. Każde zgłoszenie można wyeksportować do PDF, łącznie z pełną historią wiadomości, osią czasu i dziennikiem audytu. Funkcja ta jest zaprojektowana do udostępniania radcom prawnym, audytorom lub regulatorom. Jeśli potrzebujesz dodatkowego formatu przenoszalności do migracji lub przeglądu regulacyjnego, skontaktuj się z nami podczas oceny dostawcy lub zakończenia współpracy.

Dla pracowników i zgłaszających #

Czy muszę zakładać konto, żeby wysłać zgłoszenie? #

Nie. Nie potrzebujesz konta, adresu e-mail ani żadnych danych osobowych. Wchodzisz na link portalu, wypełniasz zgłoszenie, wybierasz 6-cyfrowy kod PIN i otrzymujesz kod dostępu. To wszystko.

Czy mój pracodawca może się dowiedzieć, kim jestem? #

Nie za pośrednictwem EthicsPortal. Jeśli zdecydujesz się na anonimowe zgłoszenie (bez podawania imienia i nazwiska lub danych kontaktowych), Twój pracodawca nie ma możliwości zidentyfikowania Cię za pośrednictwem platformy. EthicsPortal nie przechowuje Twojego adresu IP wraz ze zgłoszeniem ani w swoich logach aplikacji i usuwa identyfikujące metadane z przesyłanych plików.

Pamiętaj jednak o treści zgłoszenia — jeśli zawiera szczegóły, które mogłaby znać tylko jedna osoba, to wykracza poza kontrolę platformy.

Jak sprawdzić status zgłoszenia? #

Potrzebujesz dwóch rzeczy: kodu dostępu (w formacie WB-XXXX-XXXX), który otrzymasz po wysłaniu zgłoszenia, oraz 6-cyfrowego kodu PIN, który wybierzesz. Wróć na portal w dowolnym momencie, wpisz oba, a zobaczysz aktualny status lub wymienisz wiadomości z osobą prowadzącą sprawę. Przechowuj kod dostępu w bezpiecznym miejscu i zapamiętaj kod PIN — nie możemy go odzyskać, a oba są wymagane.

Czy mogę dołączyć pliki do zgłoszenia? #

Tak. Możesz przesłać zdjęcia, dokumenty PDF, pliki wideo i audio do 100 MB każdy. Wszystkie metadane plików (dane lokalizacji, informacje o autorze, szczegóły aparatu) są automatycznie usuwane przed zapisem, aby chronić Twoją tożsamość.

Czy mogę komunikować się z osobą prowadzącą sprawę anonimowo? #

Tak. Wbudowany wątek wiadomości jest w pełni anonimowy. Widzisz „Osoba prowadząca sprawę" — nigdy prawdziwe imię i nazwisko. Prowadzący widzi Twoje wiadomości, ale nie ma możliwości zidentyfikowania Cię, chyba że sam zdecydujesz się udostępnić takie informacje.

Co się dzieje po wysłaniu zgłoszenia? #

Twoje zgłoszenie trafia do wyznaczonej osoby prowadzącej sprawy w organizacji. Zgodnie z prawem UE, musi ona potwierdzić otrzymanie w ciągu 7 dni i przekazać merytoryczną informację zwrotną w ciągu 3 miesięcy. Możesz sprawdzać status w dowolnym momencie za pomocą kodu dostępu i kodu PIN.

Dla zespołów IT i technicznych #

Jakie szyfrowanie stosujecie? #

Treść zgłoszeń, pola tożsamości zgłaszającego i wiadomości w sprawie są szyfrowane w spoczynku w bazie danych. Wszystkie połączenia wykorzystują TLS (HTTPS). Przesłane pliki są przechowywane na infrastrukturze hostowanej w UE (Hetzner, Niemcy) i nie są jeszcze szyfrowane w spoczynku jako całe pliki; zobacz bezpieczeństwo .

Czy usuwacie metadane plików? #

Tak. Dane EXIF, współrzędne GPS, informacje o autorze i inne metadane są automatycznie usuwane ze wszystkich przesłanych plików przed ich zapisem. Zapobiega to przypadkowemu ujawnieniu tożsamości przez właściwości pliku.

Czy skanujecie przesłane pliki pod kątem wirusów? #

Tak. Wszystkie przesłane pliki są skanowane pod kątem złośliwego oprogramowania za pomocą ClamAV, silnika antywirusowego open source. Skanowanie odbywa się po stronie serwera — żadne dane plików nie są wysyłane do usług zewnętrznych. Zainfekowane pliki są automatycznie usuwane, zanim osoby prowadzące sprawy uzyskają do nich dostęp.

Czy logujecie adresy IP? #

Nie w przypadku zgłaszających. Aplikacja nie przechowuje adresu IP zgłaszającego wraz ze zgłoszeniami, wiadomościami ani wpisami audytowymi, a jej logi dla kanału zgłoszeniowego nie zawierają adresów IP. Limitowanie żądań wykorzystuje hasz z kluczem, przechowywany wyłącznie przez okno limitu żądań. Serwer proxy TLS działający przed aplikacją prowadzi własne logi połączeń, które mogą zawierać adresy IP i nie są powiązane ze zgłoszeniami. Precyzyjne sformułowania znajdziesz na stronie bezpieczeństwo .

Z jakich usług zewnętrznych korzystacie? #

Brak trackerów analitycznych, brak sieci reklamowych, brak ciasteczek firm trzecich na portalu zgłoszeniowym.

Czy macie API? #

Obecnie niedostępne. Skontaktuj się z nami , jeśli dostęp do API jest wymagany przez Twoją organizację.

Czy obsługujecie niestandardowe domeny? #

Obecnie niedostępne. Wszystkie portale są obsługiwane pod domeną EthicsPortal.

Czy obsługujecie SSO? #

Tak. EthicsPortal obsługuje logowanie jednokrotne SAML 2.0, konfigurowane osobno dla każdej organizacji. Połącz swojego dostawcę tożsamości — Okta, Microsoft Entra ID lub dowolnego dostawcę SAML 2.0 — a Twój zespół będzie się przez niego logować. Możesz wymusić SSO dla swoich domen e-mail i automatycznie nadawać dostęp członkom przy pierwszym logowaniu. Logowanie przez magic link (bezhasłowe uwierzytelnianie e-mailowe) pozostaje dostępne, gdy SSO nie jest wymuszone. Połącz SSO z provisioningiem SCIM 2.0, aby utrzymywać konta w synchronizacji z Twoim katalogiem.

Rozliczenia #

Ile kosztuje EthicsPortal? #

41,67 €/miesiąc przy płatności rocznej (500 €/rok), bez zmian. Jeden plan, wszystko w cenie. Bez opłat za użytkownika, bez opłat za zgłoszenie, bez progów cenowych.

Jak działa subskrypcja? #

EthicsPortal to płatna usługa zgodności: 41,67 €/miesiąc przy płatności rocznej (500 €/rok), bez bezpłatnego okresu próbnego. Aktywuj portal z aplikacji, skonfiguruj kanał zgłoszeniowy i rozpocznij działanie, gdy subskrypcja będzie aktywna.

Czy możemy anulować subskrypcję? #

Tak. Subskrypcję można anulować w ustawieniach konta. Bez opłat za rezygnację.

Jakie metody płatności akceptujecie? #

Karty kredytowe i debetowe przez Stripe. Jeśli potrzebujesz płatności na fakturę lub przelewem bankowym, napisz na support@ethicsportal.eu .

Masz jeszcze pytanie? #

Napisz na support@ethicsportal.eu . Odpowiemy w ciągu jednego dnia roboczego.

Ostatnia aktualizacja: