Mapowanie zgodności z DORA
Ostatnia aktualizacja: październik 2026
§1. Cel
Niniejsza strona wyjaśnia, w jaki sposób HumanKey pomaga klientom będącym podmiotami finansowymi spełniać obowiązki wynikające z Rozporządzenia (UE) 2022/2554 w sprawie operacyjnej odporności cyfrowej sektora finansowego (DORA), które stosuje się od 17 stycznia 2025 roku.
HumanKey nie jest podmiotem finansowym w rozumieniu DORA Art. 2(1). Gdy podmiot finansowy korzysta z HumanKey, HumanKey jest klasyfikowany jako dostawca usług ICT będący stroną trzecią w rozumieniu DORA Art. 3(19), a ramy zarządzania ryzykiem ICT stron trzecich (Art. 28) klienta mają zastosowanie do współpracy z HumanKey.
§2. Aktualny status wyznaczenia
HumanKey NIE jest obecnie wyznaczony jako kluczowy zewnętrzny dostawca usług ICT (CTPP) przez Europejskie Urzędy Nadzoru (EBA, EIOPA, ESMA). Kryteria wyznaczenia CTPP określa Rozporządzenie Delegowane Komisji (UE) 2024/1502 i mają one zastosowanie do ograniczonej liczby ogólnoeuropejskich dostawców ICT, z których usług korzysta znaczna część europejskiego sektora finansowego. HumanKey spodziewa się pozostawać poza obszarem CTPP w przewidywalnej przyszłości, co oznacza, że HumanKey podlega ramom zarządzania ryzykiem stron trzecich Administratora z Art. 28, lecz nie podlega bezpośredniemu reżimowi nadzoru z Art. 31-44.
§3. Mapowanie artykuł po artykule
Poniższa tabela odwzorowuje główne przepisy DORA istotne dla zewnętrznego dostawcy usług ICT na odpowiadające im postanowienia umowne lub udokumentowane praktyki HumanKey.
| Artykuł | Wymóg DORA | Wkład HumanKey |
|---|---|---|
| Art. 28(1) | Zarządzanie ryzykiem ICT stron trzecich jako część ram zarządzania ryzykiem ICT | HumanKey dostarcza dane wejściowe do Rejestru Informacji wymaganego przez ramy Administratora: opis usługi, lokalizację danych, ujawnienie podwykonawstwa oraz znacznik krytyczności funkcji na żądanie. |
| Art. 28(1)(b) | Zarządzanie ryzykiem ICT stron trzecich zgodnie z zasadą proporcjonalności (charakter, skala, złożoność i znaczenie zależności związanych z ICT) | Przed dodaniem lub zastąpieniem podmiotu przetwarzającego dane Administratora Administrator jest informowany z wyprzedzeniem e-mailem i na stronie rejestru i może wnieść sprzeciw (umowa powierzenia, pkt 5.4). |
| Art. 28(3) | Rejestr informacji o wszystkich ustaleniach umownych | Publikowana strona podmiotów przetwarzających HumanKey jest autorytatywnym źródłem dla łańcucha usług ICT HumanKey. Przed dodaniem lub zastąpieniem podmiotu przetwarzającego dane Administratora Administrator jest informowany z wyprzedzeniem e-mailem i na stronie rejestru i może wnieść sprzeciw (umowa powierzenia, pkt 5.4). |
| Art. 30(1) | Prawa i obowiązki stron wyraźnie przypisane i określone na piśmie | Umowa powierzenia HumanKey ustanawia prawa i obowiązki stron na piśmie i jest oferowana każdemu Administratorowi niezależnie od planu. |
| Art. 30(2)(a) | Jasny i pełny opis świadczonych funkcji i usług ICT | Artykuł 3 umowy powierzenia HumanKey opisuje charakter i cel przetwarzania. Uzupełnia to publiczna dokumentacja produktowa HumanKey dostępna pod adresem humankey.io/docs. |
| Art. 30(2)(b) | Lokalizacje świadczenia funkcji i usług ICT oraz przetwarzania danych | Podstawowe przechowywanie danych odbywa się w Europejskim Obszarze Gospodarczym (Neon Postgres Frankfurt, Railway Amsterdam). Lokalizacje podmiotów przetwarzających są udokumentowane na stronie podmiotów i ocenione w publicznej Ocenie skutków transferu danych. |
| Art. 30(2)(c) | Postanowienia dotyczące dostępności, autentyczności, integralności i poufności danych | Artykuł 5 umowy powierzenia HumanKey (Obowiązki Podmiotu przetwarzającego), w szczególności Artykuł 5.3 (Techniczne i organizacyjne środki bezpieczeństwa), dokumentuje zastosowane kontrole. |
| Art. 30(2)(d) | Dostęp do danych osobowych i nieosobowych, ich odzyskanie i zwrot w razie niewypłacalności, zaprzestania działalności lub rozwiązania umowy | Pkt 5.7 umowy powierzenia określa usunięcie lub zwrot danych osobowych Administratora: Administrator może pobrać swoje dane przed usunięciem konta, a dane są usuwane z Usługi w chwili usunięcia konta; dane w kopiach zapasowych wygasają zgodnie z cyklem kopii dostawcy bazy danych. Eksport JSON jest dostępny na żądanie przez cały okres współpracy, a narzędzia RODO realizujące prawa osób, których dane dotyczą (eksport JSON, kaskadowe usuwanie, sprostowanie), również pokrywają ten obowiązek. |
| Art. 30(2)(e) | Opis poziomu świadczenia usług | Usługa jest opisana w sekcji 3 Regulaminu i w artykule 3 umowy powierzenia. Regulamin nie obiecuje określonego poziomu dostępności (sekcja 11); w planach Enterprise poziom usług może zostać uzgodniony indywidualnie. HumanKey nie jest obecnie wyznaczony jako kluczowy zewnętrzny dostawca usług ICT. |
| Art. 30(3)(a) | Pełny opis poziomu usług z konkretnymi celami ilościowymi i jakościowymi (funkcje krytyczne) | Standardowy Regulamin nie określa ilościowych ani jakościowych celów poziomu usług (sekcja 11). W planach Enterprise poziom usług może zostać uzgodniony indywidualnie. Administrator, który potrzebuje takich celów dla funkcji krytycznej lub istotnej, powinien uwzględnić to we własnej ocenie. |
| Art. 30(2)(g) | Obowiązek współpracy z właściwymi organami i organami ds. restrukturyzacji i uporządkowanej likwidacji podmiotu finansowego | Zobowiązanie zawarte w §4 poniżej. HumanKey współpracuje z właściwym organem nadzorczym Administratora w rozumieniu DORA Art. 30(2)(g). |
| Art. 30(2)(h) | Prawa do rozwiązania umowy i związane z nimi minimalne okresy wypowiedzenia | Jeśli Administrator wniesie sprzeciw wobec zmiany, która zostanie wprowadzona, może anulować subskrypcję i rozwiązać umowę, usuwając konto (umowa powierzenia, pkt 5.4); umowę można też rozwiązać na zasadach sekcji 12 Regulaminu. |
| Art. 30(3)(b) | Okresy powiadomień i obowiązki sprawozdawcze zewnętrznego dostawcy usług ICT wobec podmiotu finansowego | HumanKey powiadamia Administratora o naruszeniu ochrony danych osobowych bez zbędnej zwłoki (art. 33 ust. 2 RODO; umowa powierzenia, pkt 5.6). Wsparcie Administratora w dotrzymaniu terminów raportowania z art. 17 DORA zadeklarowano w §5 poniżej. |
| Art. 30(2)(a) — podwykonawstwo | Czy dopuszczalne jest podwykonawstwo usług ICT wspierających funkcje krytyczne lub istotne oraz na jakich warunkach | Przed dodaniem lub zastąpieniem podmiotu przetwarzającego dane Administratora Administrator jest informowany z wyprzedzeniem e-mailem i na stronie rejestru i może wnieść sprzeciw (umowa powierzenia, pkt 5.4). |
| Art. 17 | Zarządzanie incydentami ICT (klasyfikacja, raportowanie, reakcja) | Powiadomienie o naruszeniu przekazywane przez HumanKey (zob. wiersz Art. 30(3)(b) powyżej) zasila wewnętrzne zarządzanie incydentami Administratora, tak aby Administrator mógł klasyfikować i — tam gdzie wymagane — zgłaszać poważne incydenty ICT właściwym organom w terminach DORA. |
§4. Współpraca z właściwymi organami
HumanKey współpracuje z właściwym organem nadzorczym Administratora w rozumieniu DORA Art. 30(2)(g). HumanKey zapewnia rozsądną pomoc Administratorowi w odpowiedzi na zapytania nadzorcze dotyczące działalności przetwarzania HumanKey, z zastrzeżeniem obowiązujących obowiązków poufności oraz weryfikacji każdego żądania przez HumanKey.
Wnioski o współpracę należy kierować przez formularz kontaktu prawnego HumanKey pod adresem humankey.io/pl/kontakt, wybierając kategorię "Prawo i zgodność" lub "Bezpieczeństwo" zależnie od kontekstu. HumanKey dąży do potwierdzenia otrzymania w ciągu dwóch (2) dni roboczych i do udzielenia merytorycznej odpowiedzi w terminie zakomunikowanym Administratorowi przez właściwy organ.
§5. Przebieg powiadomień o incydentach
DORA Art. 17 wymaga od podmiotów finansowych ustanowienia procesu zarządzania incydentami ICT, klasyfikacji incydentów oraz powiadamiania właściwych organów o poważnych incydentach ICT w terminach określonych w delegowanych Regulacyjnych Standardach Technicznych.
HumanKey wspiera przebieg powiadomień Administratora w następujący sposób:
- HumanKey powiadamia Administratora bez zbędnej zwłoki po uzyskaniu wiadomości o naruszeniu ochrony Danych Osobowych Administratora, zgodnie z art. 33 ust. 2 RODO (zob. pkt 5.6 umowy powierzenia).
- Powiadomienie zawiera informacje wymagane przez art. 33(3) RODO w zakresie znanym w momencie zgłoszenia: charakter, kategorie i przybliżoną liczbę osób, których dane dotyczą, prawdopodobne konsekwencje oraz podjęte lub proponowane środki.
- HumanKey zapewnia rozsądną współpracę, aby umożliwić Administratorowi dotrzymanie własnych terminów raportowania z DORA Art. 17, przy zachowaniu wewnętrznych procedur reagowania na incydenty HumanKey oraz poufności wymaganej przez trwającą pracę śledczą.
- HumanKey nie dokonuje publicznego ogłoszenia o takim incydencie bez uprzedniej pisemnej zgody Administratora, chyba że wymaga tego obowiązujące prawo.
§6. Czego HumanKey jeszcze NIE obiecuje
W imię uczciwości i unikania oczekiwań, których HumanKey nie może dziś spełnić, poniższe elementy są jawnie poza zakresem niniejszego publicznego mapowania:
- HumanKey nie posiada obecnie certyfikatu ISO 27001. Wewnętrzna Mapa Drogowa Zgodności jest dostępna dla potencjalnych klientów będących podmiotami finansowymi na pisemny wniosek, po zawarciu umowy o zachowaniu poufności (NDA).
- HumanKey nie posiada obecnie raportu SOC 2 Type II. Ta sama Wewnętrzna Mapa Drogowa Zgodności obejmuje planowaną ścieżkę do tego mechanizmu zapewnienia.
- HumanKey nie jest obecnie wyznaczony jako kluczowy zewnętrzny dostawca usług ICT (kryteria wyznaczenia określa Rozporządzenie Delegowane Komisji (UE) 2024/1502) i w związku z tym nie podlega bezpośredniemu reżimowi nadzoru ESAs z DORA Art. 31-44.
- Niniejsze mapowanie nie stanowi porady prawnej. Administratorzy będący podmiotami finansowymi powinni je przeanalizować wraz z własnym doradcą prawnym i odnieść je do swoich wewnętrznych ram zarządzania ryzykiem ICT stron trzecich.
Niniejsze Mapowanie zgodności z DORA jest publicznym dokumentem pozycjonującym. Uzupełnia, lecz nie zastępuje Umowy powierzenia przetwarzania HumanKey. Ostatnia aktualizacja: październik 2026.