W Salesupply dbamy o ochronę Twoich danych, stosując solidne środki bezpieczeństwa i ochrony prywatności. Niniejsza polityka przedstawia nasze kompleksowe podejście do ochrony powierzonych nam informacji. Ostatnia aktualizacja: 9 listopada 2026.
Ten tekst jest dostępny w kilku językach. Jeśli wersje się różnią, pierwszeństwo ma wersja angielska.
W tej sekcji opisujemy podstawowe polityki, zasady nadzoru i certyfikaty, które stanowią fundament naszego systemu zarządzania bezpieczeństwem informacji (SZBI).
Posiadamy jasno udokumentowaną Politykę bezpieczeństwa informacji, po raz pierwszy zatwierdzoną przez Zarząd 8 stycznia 2021. Polityka jest udostępniana za pośrednictwem systemu online, jest obowiązkowa dla wszystkich pracowników Salesupply i podlega corocznemu przeglądowi. Nasze umowy powierzenia przetwarzania danych (DPA) zawarte z klientami i dalszymi podmiotami przetwarzającymi dodatkowo określają nasze zobowiązania w zakresie ochrony danych i prywatności.
Zgodnie z naszą Polityką bezpieczeństwa informacji zidentyfikowane ryzyka podlegają ocenie ryzyka, a ocena ryzyka i plan postępowania z ryzykiem są opracowywane w oparciu o wytyczne ISO 27005.
Za Politykę bezpieczeństwa informacji odpowiada Zarząd. Za utrzymanie i koordynację systemu zarządzania bezpieczeństwem informacji (SZBI) odpowiada Menedżer ds. bezpieczeństwa informacji (CTO).
Nasze serwery są hostowane w centrach danych z certyfikatem ISO 27001, z certyfikowanymi zabezpieczeniami fizycznymi i środowiskowymi.
Ludzie i procesy są podstawą naszego bezpieczeństwa. Poniżej opisujemy organizacyjne środki kontroli, które stosujemy, aby chronić Twoje dane przez cały cykl ich życia.
Wobec nowych pracowników przeprowadzamy weryfikację, w tym zasięgamy referencji zawodowych. Wszyscy pracownicy podpisują umowy o pracę zawierające klauzule poufności oraz potwierdzenie zapoznania się z Polityką bezpieczeństwa informacji. Cały personel odpowiada za ochronę informacji i zgłaszanie incydentów bezpieczeństwa. W relacjach z partnerami stosujemy umowy o zachowaniu poufności (NDA).
Nasze umowy powierzenia przetwarzania danych przyznają administratorowi (naszemu klientowi) prawo do audytu w celu weryfikacji zgodności, z zachowaniem rozsądnego terminu powiadomienia i bez dodatkowych kosztów, zgodnie z umową.
Wszystkie aktywa informacyjne są zarejestrowane i mają przypisanych właścicieli. Bezpieczna utylizacja nośników odbywa się zgodnie z udokumentowanymi procedurami, aby zapobiec wyciekowi danych z wycofanych z użytku zasobów.
Nasza Polityka bezpieczeństwa informacji szczegółowo opisuje zarządzanie incydentami, w tym kanały zgłaszania, postępowanie wyjaśniające i komunikację z podmiotami, których incydent dotyczy. Nasze umowy powierzenia przetwarzania danych zobowiązują Salesupply do powiadomienia administratora bez zbędnej zwłoki po stwierdzeniu naruszenia ochrony danych osobowych.
Nasze umowy powierzenia przetwarzania danych podkreślają obowiązek Salesupply zapewnienia, aby dalsze podmioty przetwarzające przestrzegały przepisów o ochronie danych, oraz informowania administratora o zamierzonych zmianach dotyczących dalszych podmiotów przetwarzających. Polityka bezpieczeństwa informacji stanowi, że „Dostawcy, którzy przetwarzają aktywa informacyjne Salesupply lub jej klientów, muszą spełniać wymagania niniejszej polityki”.
Posiadamy Plan ciągłości działania (BCP), który minimalizuje zakłócenia w świadczeniu usług w razie nieprzewidzianych zdarzeń i zapewnia odporność oraz dostępność naszych usług.
Stosujemy wielowarstwowe podejście techniczne, aby chronić nasze systemy i Twoje dane przed zagrożeniami. Poniżej przedstawiamy najważniejsze techniczne środki kontroli, które wdrożyliśmy.
Na wszystkich laptopach stosujemy pełne szyfrowanie dysku (BitLocker) z wykorzystaniem co najmniej AES-256. Obsługa wszystkich nośników wymiennych jest wyłączona. Korzystanie z prywatnych urządzeń mobilnych do celów służbowych jest niedozwolone. Zwykli użytkownicy nie mają lokalnych uprawnień administratora.
Biura Salesupply są wyposażone w systemy zabezpieczeń, systemy alarmowe, monitoring wizyjny oraz kontrolę dostępu za pomocą kart dostępu. Nasze centra danych z certyfikatem ISO 27001 mają fizyczną kontrolę dostępu, monitoring i systemy alarmowe.
Zapory sieciowe (firewalle) kontrolują ruch sieciowy i blokują nieuprawniony dostęp. Rozdzielenie środowisk deweloperskiego, testowego i produkcyjnego. Sieci bezprzewodowe zabezpieczone za pomocą WPA2-Enterprise i kontroli dostępu do sieci (NAC).
Na wszystkich serwerach i urządzeniach końcowych zainstalowana jest zaawansowana ochrona przed złośliwym oprogramowaniem (antywirus, antyspyware), stale aktualizowana.
Bezpieczny dostęp zdalny (VPN) z uwierzytelnianiem wieloskładnikowym (MFA). Ograniczony i monitorowany dostęp do interfejsów administracyjnych. Szyfrowane metody przesyłania danych (VPN, SSL/TLS, SFTP) przy każdej wymianie danych.
Wdrożyliśmy systemy wykrywania i zapobiegania włamaniom (IDS/IPS), które monitorują ruch sieciowy pod kątem złośliwej aktywności i naruszeń polityk.
Systemy są konfigurowane zgodnie z najlepszymi praktykami branżowymi i bazowymi konfiguracjami bezpieczeństwa (np. CIS Benchmarks, NIST), aby ograniczyć ich powierzchnię ataku.
W przypadku systemów krytycznych prowadzimy logi systemowe i ścieżki audytu. Rejestrowanie danych osobowych w logach jest ograniczone do minimum. Logi są regularnie przeglądane w celu wykrywania incydentów bezpieczeństwa i nietypowej aktywności.
Regularnie wykonujemy kopie zapasowe danych krytycznych i testujemy ich integralność. W systemach krytycznych wdrożyliśmy redundancję, aby zapewnić wysoką dostępność.
Podatność w jednym z naszych systemów albo pytanie o bezpieczeństwo Twoich danych? Napisz na adres security@salesupply.com. Klienci mogą też skontaktować się ze swoim opiekunem klienta w Salesupply, na przykład w sprawie wypełnionego kwestionariusza bezpieczeństwa.
Opublikowano 26 października 2026 · Status: rozwiązany
21 października 2026 ujawniono dwie krytyczne podatności w PHP (CVE-2026-109618 i CVE-2026-109619), a europejskie i międzynarodowe agencje ds. bezpieczeństwa wezwały organizacje do natychmiastowego zainstalowania poprawek. Oto jak zareagowaliśmy w Salesupply.
W skrócie: zareagowaliśmy jeszcze tego samego ranka, zanim udostępniono oficjalną poprawkę. Poprawki zainstalowaliśmy na wszystkich naszych systemach PHP w ciągu kilku dni, na większości z nich w ciągu kilku godzin od udostępnienia poprawki. Przepływy zamówień, stanów magazynowych i przesyłek przez cały czas działały normalnie. Nie znaleźliśmy żadnych oznak nieuprawnionego dostępu, a żadne dane klientów nie zostały utracone ani ujawnione.
PHP to język programowania, na którym opiera się duża część stron i aplikacji internetowych na świecie, w tym kilka systemów Salesupply. Obie luki, ocenione jako krytyczne (CVSS 9.2), mogły pozwolić atakującemu na zdalne przejęcie serwera bez logowania. Ponieważ słabość tkwiła w samym PHP, a nie we własnym oprogramowaniu którejkolwiek firmy, dotknęła organizacje na całym świecie.
Rano 21 października, zanim opublikowano oficjalną poprawkę, nasz zespół Business Technology zinwentaryzował wszystkie systemy działające na PHP i ocenił ich narażenie na atak. Na każdym z nich wyłączyliśmy funkcję PHP, która według przewidywań miała być celem ataków, zgodnie ze środkiem zaradczym zalecanym przez dostawcę. W ramach dodatkowej ostrożności tymczasowo wstrzymaliśmy przesyłanie plików do naszych systemów PHP, a tam, gdzie było to bezpieczniejsze, odłączyliśmy systemy.
Oficjalna poprawka PHP została udostępniona tego samego popołudnia o 16:00 CEST. Jeszcze tego samego wieczoru nasze systemy dostępne dla klientów działały na zaktualizowanych wersjach PHP. Ostatni pozostały system był chroniony środkiem zaradczym i został w pełni zaktualizowany 23 października podczas krótkiego okna serwisowego.
Import zamówień, synchronizacja stanów magazynowych, aktualizacje wysyłek i śledzenia przesyłek, logowanie, dashboardy i raporty działały normalnie. Instalacja poprawek wymagała jedynie krótkiego restartu. Jedynym tymczasowym ograniczeniem było przesyłanie plików, np. importy zbiorcze przez dashboard, które wstrzymaliśmy do czasu potwierdzenia poprawek. Przesyłanie plików zostało już w pełni przywrócone.
Tak. Po instalacji poprawek sprawdziliśmy wszystkie systemy PHP pod kątem oznak nadużyć, takich jak nieoczekiwane pliki, procesy czy połączenia, i monitorowaliśmy je również w kolejnych dniach. Nie znaleźliśmy żadnych oznak, by atakujący uzyskał dostęp do któregokolwiek systemu, a żadne dane klientów nie zostały utracone, zmienione ani ujawnione. Nie musisz podejmować żadnych działań.
Przyspieszamy wcześniej zaplanowane prace, tak aby każdy system, który utrzymujemy, działał na wspieranej wersji otrzymującej poprawki bezpieczeństwa bezpośrednio od dostawcy. Nadal uważnie śledzimy komunikaty bezpieczeństwa, aby móc reagować tego samego dnia, tak jak w tym przypadku.