Zaufanie i bezpieczeństwo

• Dostawca: Hetzner Online GmbH — podmiot UE, obowiązuje niemieckie prawo ochrony danych.
• Region: Hetzner Falkenstein (Niemcy) — dane nigdy nie opuszczają UE.
• Baza danych: PostgreSQL, szyfrowanie at-rest (AES-256), TLS 1.3 w transporcie.
• Kopie zapasowe: Codzienne szyfrowane backupy, retencja 30 dni, przechowywane w UE.
• DPA: Podpisujemy Umowę powierzenia przetwarzania danych na żądanie — privacy@rakomi.com.

• Ostatnia ocena bezpieczeństwa: kwiecień 2026
• Standardy: RODO Art. 32, NIS2 Art. 21, ISO 27001 A.8.29
• Wynik oceny: ZDANE — brak krytycznych podatności otwartych
• Scenariusze testowe: 148 automatycznych testów obejmujących uwierzytelnianie, zarządzanie sesjami, izolację wielodostępną, bezpieczeństwo łańcucha dostaw i ciągłą integrację
• Środki bezpieczeństwa: Hashowanie haseł zgodne ze standardami branżowymi, asymetryczne podpisywanie kryptograficzne wszystkich tokenów, automatyczne skanowanie podatności przy każdym pull requeście
• Rezydencja danych: Wszystkie dane przetwarzane w UE (Niemcy)
• Kolejna zaplanowana ocena: Przed ogólnym udostępnieniem platformy

Nasz program odpowiedzialnego ujawniania luk jest aktywny — szczegóły na /security. Wszystkie zgłoszone podatności są śledzone i usuwane zgodnie z określonymi SLA.

Łańcuch rozliczalności agentów EU

Każde działanie podjęte przez agenta AI w Twoim imieniu jest zapisywane, czynione odpornym na manipulację i — ogniwo po ogniwie — mapowane do dokładnego przepisu UE, który spełnia. Czytaj łańcuch od góry do dołu; każdy węzeł nazywa to, co robi, i to, co go dowodzi.

1. RODO Art. 7(3) AI Act Art. 14 Wdrożone

   Pełnoprawna tożsamość agenta

   Każdy agent AI jest osobno rejestrowany, odwoływalny i audytowany. Każdy z Twoich użytkowników końcowych może wycofać zgodę dla pojedynczego agenta równie łatwo, jak ją wyraził — a nadzór nad tym, co agenci mogą robić, pozostaje po stronie człowieka.

   ↓
2. RODO Art. 5(2) RODO Art. 30 AI Act Art. 12 Wdrożone

   Odporny na manipulację łańcuch skrótów per-agent

   Każde działanie agenta jest zapisywane, a każdy zapis kryptograficznie powiązany z poprzednim (retencja 180 dni) — dzięki czemu każda późniejsza zmiana jest wykrywalna. Tak wykazujemy rozliczalność i prowadzimy rejestry czynności przetwarzania.

   ↓
3. RODO Art. 32 RODO Art. 33 (dowód naruszenia) Wdrożone

   Podwójny zapis do niezmiennego archiwum

   Zdarzenia krytyczne są zapisywane podwójnie do osobnego, niezmiennego archiwum o retencji 3 lat. Wzmacnia to bezpieczeństwo przetwarzania i dostarcza dowodów wspierających odtworzenie ewentualnego naruszenia — samo w sobie nie spełnia żadnego obowiązku zgłoszenia naruszenia.

   ↓
4. Odporność na manipulację eIDAS2 / EUDI (plan) Plan

   Dzienne podsumowanie niezależnie zakotwiczone

   Dzienne podsumowanie łańcucha będzie niezależnie zakotwiczone w prowadzonych przez podmioty trzecie publicznych usługach znakowania czasem i archiwizacji (takich jak OpenTimestamps i Software Heritage) — dowód istnienia w publicznym łańcuchu czasowym wraz z niezależnym, europejskim archiwum, dwie różne gwarancje, niezależnie weryfikowalne przez każdego bez zaufania do Rakomi. Przyszła aktualizacja do kwalifikowanego rejestru (eIDAS2 / EUDI, Regulation (EU) 2024/1183 zmieniające Reg. (EU) No 910/2014) jest tylko w planie, a nie oświadczeniem na dziś.

   To niezależne kotwiczenie jest uzupełniającym, swobodnie weryfikowalnym dowodem, że zapis działań agenta istniał w danym czasie i nie został później zmieniony. Nie jest to płatny znacznik czasu usługi zaufania niosący ustawowe domniemanie prawidłowości — to świadoma, uzasadniona kontekstem opcja na przyszłość, a nie oświadczenie, które składamy dziś.

   ↓
5. RODO Art. 28(3)(d) RODO Art. 30 Wdrożone

   Transparentność podprzetwarzających

   Pełny, datowany, oznaczony podstawą transferu rejestr podprzetwarzających jest opublikowany na tej stronie — zobacz listę podprzetwarzających powyżej. Zmiany ogłaszamy co najmniej 14 dni wcześniej.

   ↓
6. RODO Art. 5(2) Wdrożone

   Opublikowana instrukcja weryfikacji

   Każdy może niezależnie zweryfikować dzienną kotwicę — bez zaufania do Rakomi. Instrukcja odtworzenia i sprawdzenia dowodu jest opublikowana, więc oświadczenie o rozliczalności jest czymś, co możesz wykazać samodzielnie, a nie przyjąć na wiarę.

• Najbliższy termin — niezależne kotwiczenie przejdzie z trybu planu na czas teraźniejszy, gdy tylko trafi pierwsza publiczna dzienna kotwica. Jest to uwarunkowane ruchem agentów (tygodnie, nie ustalona data), a nie dalszą pracą inżynierską.
• 2027 — aktualizacja do kwalifikowanego rejestru eIDAS2 / EUDI (ścieżka regulowanego kwalifikowanego rejestru / EBSI) jest w ocenie. Dopiero ta aktualizacja dawałaby ustawowe domniemanie prawne; dzisiejsze darmowe publiczne kotwiczenie świadomie go nie deklaruje.

Model wspólnej odpowiedzialności

Bezpieczeństwo uwierzytelniania to partnerstwo. Oto, gdzie kończy się odpowiedzialność Rakomi, a zaczyna Twoja.

Zmiany tej listy ogłaszamy co najmniej 14 dni wcześniej na stronie statusu i w changelogu.

Aktualne metryki dostępności i historia incydentów są publikowane na naszej stronie statusu od Dnia 1 działalności.

Kontakt ds. bezpieczeństwa i prywatności

• Podatności bezpieczeństwa: /security (program odpowiedzialnego ujawniania)
• Prywatność i RODO: privacy@rakomi.com
• Wnioski DPA: privacy@rakomi.com