Dyrektywa Parlamentu Europejskiego i Rady (UE) 2019/1937 z dnia 23 października 2019 r. w sprawie ochrony osób zgłaszających naruszenia prawa Unii (potocznie zwana „dyrektywą o ochronie sygnalistów”), to unijna regulacja, która zaczęła obowiązywać 16.12.2019 r. Państwa członkowskie UE mają czas do 17.12.2021 r. na wprowadzenie jej założeń do krajowego porządku prawnego.
Celem wprowadzenia dyrektywy jest poprawa egzekwowania prawa i polityki Unii Europejskiej w zakresie ochrony osób zgłaszających nieprawidłowości w organizacjach, które mogą stanowić naruszenie przepisów prawa, stanowić działanie nieetyczne lub przynosić szkodę pracownikom, pracodawcy lub interesowi publicznemu. Regulacja ma zastosowanie do osób pracujących w sektorze prywatnym lub publicznym, które uzyskały informacje na temat naruszeń w kontekście związanym z pracą.

Tu możesz zapoznać się z treścią dyrektywy:

https://eur-lex.europa.eu/legal-content/PL/TXT/PDF/?uri=CELEX:32019L1937&from=PL

Państwa członkowskie Unii Europejskiej miały czas na zaimplementowanie założeń dyrektywy o ochronie sygnalistów do prawa krajowego do 17 grudnia 2021 r.

Równocześnie w tym terminie wymogi dyrektywy miały spełnić:

•  podmioty prywatne zatrudniające powyżej 250 osób,
• wszystkie podmioty działające w sektorze finansowym,
•  wszystkie podmioty publiczne. Z obowiązku tego krajowy ustawodawca mógł zwolnić gminy zamieszkane przez mniej niż 10 tyś. mieszkańców.

Mimo braku polskiej ustawy dyrektywa obowiązuje podmioty podlegające zwierzchnictwu lub kontroli państwa, natomiast firmy prywatne będą obowiązane wdrożyć system zgłaszania naruszeń prawa i ochrony sygnalistów zgodnie z przepisami oczekiwanej ustawy.

Podmioty prywatne zatrudniające od 50 do 249 osób mają czas na dostosowanie do dyrektywy do 17 grudnia 2023 r.

Wśród najważniejszych obowiązków są:

• konieczność utworzenia wewnętrznych procedur oraz poufnych i bezpiecznych kanałów przyjmowania zgłoszeń od sygnalistów,
• podejmowanie działań wyjaśniających oraz przekazywanie sygnaliście informacji zwrotnych, zarówno o przyjęciu zgłoszenia jak i o podjętych lub planowanych w związku z nim działaniach,
• udostępnienie pracownikom i partnerom biznesowym informacji na temat wewnętrznych oraz zewnętrznych możliwości zgłaszania naruszeń.

Sygnalistą jest osoba, która działając w dobrej wierze i kierując się dobrem swojego miejsca pracy lub interesem publicznym, zgłasza informacje o podejrzeniu działań nielegalnych lub nieetycznych. Określenie to pochodzi od angielskiego słowa „whistleblower”, czyli osoba dająca sygnał, alarmująca (whistleblowing – dmuchanie w gwizdek).

whiblo to usługa, która umożliwia poufne zgłaszanie pisemnych informacji o podejrzeniu działań nielegalnych lub nieetycznych w organizacji.
whiblo umożliwia prowadzenie anonimowego, szyfrowanego dialogu między sygnalistą a organizacją po wysłaniu zgłoszenia, dzięki czemu na żadnym etapie korespondencji nie jest możliwe ujawnienie tożsamości sygnalisty.
whiblo wspiera również zarządzanie zgłoszeniami poprzez możliwość przypisywania ich poszczególnym koordynatorom, ustalania statusów zgłoszeń, przechowywania dokumentacji, prowadzenia rejestru zgłoszeń czy generowania raportów.

whiblo chroni anonimowość dzięki wykorzystywaniu szyfrowanego kanału komunikacji, a także usuwaniu wszelkich metadanych z przesyłanych załączników oraz nierejestrowaniu adresów IP osoby zgłaszającej naruszenie. O ile sygnalista sam nie ujawni swoich danych osobowych (np. poprzez podanie swoich danych w treści zgłoszenia), aplikacja whiblo nie jest w stanie w żaden sposób zidentyfikować jego tożsamości.

Nie, aplikacja whiblo nie umożliwia usunięcia zgłoszenia po jego wysłaniu.

Tak, taka funkcjonalność jest dostępna od 1 stycznia 2022 r.

Tak, whiblo daje taką możliwość.

whiblo umożliwia organizacji spełnienie wymogów, jakie nakłada na nią dyrektywa o ochronie sygnalistów. Dodatkowo nasza usługa pozwala reagować na zgłoszenia dotyczące potencjalnych naruszeń, dzięki czemu minimalizuje ryzyko strat finansowych oraz wizerunkowych organizacji.

Usługa whiblo dostępna jest już od kwoty 169 zł netto miesięcznie. Wszystkie szczegóły, pakiety zakupowe dostępne są w zakładce OFERTA. W sprawie indywidualnej wyceny skontaktuj się z nami lub pozostaw dane w formularzu kontaktowym.

W podstawowym pakiecie koszt konfiguracji wynosi 500 zł netto. W razie potrzeby niestandardowej konfiguracji skontaktuj się z nami lub pozostaw dane w formularzu kontaktowym.

whiblo może zostać uruchomione w terminie do 7 dni od podpisania umowy.

Proces jest prosty i szybki. Po przeprowadzeniu konfiguracji zgodnie z życzeniem klienta otrzymuje on link do bazy danych na serwerze. Link może udostępniać zgodnie ze swoimi potrzebami, np. na stronie internetowej firmy.

Tak, jest taka możliwość. Skontaktuj się z nami lub pozostaw dane w formularzu kontaktowym.

12 miesięcy.

Tak, braf.tech przechowuje dane klientów przez 3 miesiące po zakończeniu umowy. Po tym czasie dane będą automatycznie usuwane.

W zakresie przechowywania danych aplikacja korzysta z certyfikatu ISO 27001 dostawcy infrastruktury. Jeśli chodzi o bezpieczeństwo przechowywanych informacji i dostępu do nich, zostały wykonane testy bezpieczeństwa i penetracyjne przez niezależnego audytora. Raport z testów whiblo jest dostępny na naszym BLOGU. System jest zaprojektowany zgodnie ze standardem OWASP.

Zawartość zgłoszenia, a także załączniki dodane do zgłoszenia są szyfrowane algorytmem AES 256, natomiast hasła są hashowane algorytmem Argon2.

Transmisja danych jest zabezpieczona poprzez wykorzystanie protokołu SSL (TLS 1.2) i wystawiony do niego odpowiedni certyfikat poświadczający.

Wszystkie klucze są przechowywane w usłudze Azure Key Vault, służącej do bezpiecznego przechowywania wpisów tajnych i uzyskiwania do nich dostępu.

Metadane dokumentów (np. w pakiecie MS Office) zawierające informacje np. o autorze dokumentu czy osobie modyfikującej są usuwane przez algorytmy aplikacji na etapie przesyłania pliku na serwer. Dostarczony do koordynatora w firmie plik nie zawiera tych informacji. Rozwiązania użyte w aplikacji są tajemnicą handlową.

Aplikacja nie zapisuje adresów IP sygnalistów, dzięki czemu nawet osoby z dostępem do aplikacji nie są w stanie uzyskać informacji, z jakiej sieci zostało wysłane zgłoszenia, tym samym czyniąc sygnalistę anonimowym.

W zakresie zabezpieczenia przed botami whiblo wykorzystuje mechanizm rate limiting zalecany przez zewnętrzną firmą audytorską, która wykonała testy bezpieczeństwa. Aplikacja whiblo nie korzysta z mechanizmów captcha, ponieważ opierają się one na plikach śledzących, co spowodowałby konflikt w zakresie zachowania anonimowości sygnalisty.

Dane nie są usuwane z treści przekazywanej wiadomości, system nie ingeruje w treść zgłoszenia ani nie daje takiej możliwości koordynatorowi po stronie firmy.

Nie, braf.tech nie posiada dostępu do danych żadnego z klientów.

Usługa oparta jest na sprawdzonej i zabezpieczonej infrastrukturze chmury obliczeniowej Azure firmy Microsoft (Czym jest platforma Azure — usługi firmy Microsoft w chmurze | Microsoft Azure), z wykorzystaniem usługi Application Gateway, w tym zastosowaniem zapory aplikacji internetowych (WAF). Zabezpieczenia i prywatność są fundamentalne dla platformy Azure. Firma Microsoft dba o zapewnienie najwyższego poziomu zaufania, przejrzystości, zgodności ze standardami i zgodności z przepisami (lista zgodności: Compliance offerings for Microsoft 365, Azure, and other Microsoft services. | Microsoft Docs).

Tak. Kopie zapasowe wykonywane są na serwerach w lokalizacjach europejskich państw członkowskich UE (Irlandia, Holandia). Regiony są ze sobą sparowane, tzn. kopia zapasowa z Irlandii jest przechowywana w Holandii, a z Holandii w Irlandii. Dodatkowo istnieje replikacja między bazami, więc nawet gdy w jednym regionie serwer przestanie działać z jakiegokolwiek powodu, to w drugim są dokładnie te same dane, na których system będzie dalej działać.

Tak. Podczas projektowania oraz w procesie tworzenia aplikacji położyliśmy szczególny nacisk na ochronę danych osobowych osób zgłaszających oraz osób trzecich wymienionych zgłoszeniu, tak by spełnić wszystkie normy bezpieczeństwa wynikające z dyrektywy oraz przepisów RODO.

Aplikacja whiblo korzysta tylko z 2 niezbędnych plików cookies:

•  COOKIE_CONSENT – Przechowywanie informacji, aby nie wyświetlać ponownie komunikatu o ciasteczkach,
• __Host-SESSION – Ciasteczko sesyjne wymagane do wejścia do zgłoszenia. Po wyjściu ciasteczko zostaje usunięte z przeglądarki użytkownika.

Tak, serwery główny i zapasowy znajdują się w lokalizacjach europejskich państw członkowskich UE (Irlandia, Holandia) z dostępną procedurą disaster recovery.

Tak. Na wypadek podania przez sygnalistę danych osobowych w aplikacji przewidziano miejsce na klauzulę informacyjną Administratora Danych Osobowych oraz check box do aktywnego zaznaczenia przez sygnalistę, poprzez który potwierdza on zapoznanie się i akceptację postanowień klauzuli. Rozwiązanie zostało zaimplementowane w miejscu, w którym istnieje prawdopodobieństwo odbierania takich danych przez klienta.

Aplikacja nie wymaga podawania jakichkolwiek danych osobowych, o ile sygnalista nie poda ich dobrowolnie. Jest to aplikacja przeglądarkowa, która nie żąda od sygnalisty utworzenia konta użytkownika, jednocześnie nie ograniczając jego możliwości kontaktu i wymiany informacji z odbiorcą zgłoszeń po stronie firmy.

Po zamknięciu zgłoszenia jest ono w systemie przenoszone do zakładki Archiwum. Zgłoszenie, korespondencja między sygnalistą a koordynatorem w organizacji oraz wszystkie załączniki są przechowywane w Archiwum zgodnie z indywidualnym okresem retencji określonym na etapie konfiguracji aplikacji przez klienta jako Administratora Danych Osobowych. Po upływie tego okresu dokumenty są automatycznie usuwane.

W aplikacji whiblo zastosowano rozwiązania technologiczne, które ograniczają potencjalne ryzyka związane z naruszeniem ochrony danych osobowych:

•  Zabezpieczenie dostępu do skrzynki nadawczo-odbiorczej sygnalisty, który po dokonaniu zgłoszenia otrzymuje swój unikalny identyfikator oraz tworzy własne hasło spełniające wymagania standardu OWASP. Identyfikator jest tworzony w sposób losowy i nie ma możliwości przypisania go do jakichkolwiek treści wprowadzonych do zgłoszenia.
•  Zabezpieczenie dostępu do konta koordynatora poprzez dwustopniowe uwierzytelnienie (2FA) osób obsługujących system w organizacji. Obsługiwać zgłoszenia mogą jedynie wyznaczone w firmie osoby. Po utworzeniu dla nich kont w systemie muszą się one zalogować, podając login i hasło a także kod, który otrzymują na numer telefonu komórkowego podany przy tworzeniu konta. Ta funkcjonalność znacząco ogranicza ryzyko dostępu do zgłoszenia przez osoby nieupoważnione.