Strona głównaeAURA
System budowany od 2021 roku
eAURA: system, w którym prowadzimy zgodność naszych klientów
Nie kupiliśmy gotowego narzędzia i nie dopasowaliśmy do niego pracy. Zbudowaliśmy własne, bo prowadząc kilkaset projektów wiedzieliśmy dokładnie, czego brakuje. Klienci objęci obsługą IOD dostają do niego dostęp bez dodatkowych opłat.
System od środka
Tak pracujemy
w eAURZE.
Od wymagań audytowych i odpowiedzi w ankietach po mapę aktywów, ocenę ryzyka i raport. Zobacz przykłady z codziennej pracy.
Rzeczywiste widoki z danymi demonstracyjnymi. Podpis przy każdym ekranie wskazuje jego przeznaczenie i rolę użytkownika.
Wymaganie, dowód i niezgodność w jednym widoku
Audyt w centrum medycznym, obszar powierzenia. Sprawdzono umowy z ośmioma podmiotami przetwarzającymi: brak umowy z dostawcą bramki SMS i nieaktualne weryfikacje trzech procesorów od razu trafiły do niezgodności, a zestawienie umów jest załączone jako dowód.
Odpowiedzi, które można zweryfikować
Dostawca bramki SMS wypełnia ankietę bezpieczeństwa. Pytanie o transfer danych poza EOG pojawiło się, bo wcześniej zaznaczył przekazywanie danych do państwa trzeciego. Odpowiedzi mają przypisane kategorie środków.
Ocena wagi naruszenia krok po kroku
Przypomnienia SMS z nazwą poradni trafiły pod błędne numery. Konsultant odpowiada na kolejne pytania i ocenia ryzyko dla osób, a obok widzi ryzyko wyliczone przez system i wskazanie co do zgłoszenia do UODO.
Widać, skąd dane przychodzą i dokąd trafiają
Widok przepływu danych dla całej organizacji: czynności przetwarzania centrum medycznego i połączenia między nimi. Ten sam rejestr można przełączyć na mapę powiązań albo drzewo.
Zobacz także kartę aktywa, kartę ryzyka, test równowagi i DPIA
Od rejestru do konkretnego systemu
Karta systemu gabinetowego HIS: opis, producent, dostawca, właściciel biznesowy i osiem procesów, które z niego korzystają. Na górze karty widać wynik ostatniej oceny ryzyka.
Ocena ma zapisane uzasadnienie
Ransomware w systemie HIS: źródło zagrożenia, prawdopodobieństwo i skutki, podatności, wdrożone zabezpieczenia, konsekwencje dla pacjentów i organizacji oraz decyzja o postępowaniu z ryzykiem.
Wniosek razem z warunkami
Monitoring wizyjny w placówkach: argumenty obu stron, punktacja z sugestią wyniku i ostateczne wyważenie. Wynik warunkowy ma przypisane konkretne działania z terminem.
Ryzyka dla osób w jednym zestawieniu
Ocena skutków monitoringu wizyjnego czyta ryzyka wprost z rejestru, więc dokument i rejestr się nie rozjeżdżają. Przy każdym zagrożeniu widać poziom wyjściowy i rezydualny.
Zakres widoków zależy od roli użytkownika. Przykładowe wyniki ocen dotyczą wyłącznie opisanych danych demonstracyjnych.
Co system realnie robi
Dokumentacja, która pilnuje się sama
Arkusze kalkulacyjne wystarczają do pierwszego audytu. Potem zaczynają się rozjeżdżać: rejestr mówi jedno, upoważnienia drugie, a analiza ryzyka dotyczy procesu, który już nie istnieje. eAURA wiąże te elementy ze sobą, więc zmiana w jednym miejscu jest widoczna w pozostałych.
Rejestr czynności przetwarzania
Obowiązek z art. 30 RODO, prowadzony w powiązaniu z procesami, systemami i podstawami prawnymi, a nie jako osobna tabela.
Analiza ryzyka według własnej metodyki
Metodyka jest częścią systemu i ma swoje wersje, więc widać, według której zasady oceniano dane ryzyko i kiedy. To rzadkość nawet w drogich narzędziach.
Audyty i ocena zgodności
Zakres audytu wiązany z kategoriami, obiektami, wymogami i ryzykami. Checklisty oceny zgodności prowadzą audytora przez wymagania, nie przez rozdziały ustawy.
Rejestr incydentów i naruszeń
Z pytaniami prowadzącymi przez ocenę ryzyka naruszenia i terminami liczonymi od momentu stwierdzenia, zgodnie z art. 33.
Estymacja wysokości kary
Widełki ekspozycji liczone według wytycznych EROD 04/2022 oraz art. 102 i 103 ustawy, z uwzględnieniem obrotu i powagi naruszenia.
Baza kar organów nadzorczych
Rozstrzygnięcia gromadzone i synchronizowane automatycznie. Argument w rozmowie z zarządem waży więcej, gdy stoi za nim konkretna decyzja.
Upoważnienia i ich ewidencja
Zakres wskazany procesami z rejestru czynności, nie ogólne „dane osobowe”. Od wniosku po cofnięcie, z historią.
Ankiety podmiotów przetwarzających
Weryfikacja procesora z art. 28 ust. 1 prowadzona jako proces, z pytaniami i odpowiedziami zapisanymi jako dowód.
Klauzule informacyjne
Prowadzone z wersjonowaniem i publikowane w osobnym serwisie pod adresem klienta. Ta sama treść w systemie i na stronie.
Audyt chmurowy pod wymagania DORA
Osobny moduł prowadzący przez wymagania rozporządzenia DORA, dla podmiotów finansowych.
Skargi i żądania osób
Obsługa wniosków z art. 15–22 z terminami, historią korespondencji i dowodem realizacji.
Niezgodności i działania naprawcze
Każde uchybienie wiązane z przepisem i z planem naprawy, z terminem i osobą odpowiedzialną. Raport z audytu przestaje być listą życzeń.
Moduł upoważnień od środka
Ponad dwadzieścia tysięcy upoważnień w prowadzonych ewidencjach
To najczęściej używana część systemu, więc opisujemy ją dokładniej niż resztę. Moduł odpowiada na to, o co pytają Prezes UODO i administratorzy danych podczas kontroli: określony zakres upoważnienia zgodnie z art. 29 RODO, udokumentowane nadanie i cofnięcie oraz ewidencja, z której da się odtworzyć stan na dowolny dzień.
Macierz działów i stanowisk
Upoważnienie idzie za rolą, nie za osobą. Przy zmianie macierzy system sprawdza, czy nie unieważnia nadanych już upoważnień.
Audyt ewidencji listą kadrową
Wgrany plik z kadr system porównuje ze stanem ewidencji na wskazany dzień i pokazuje różnice. Z wyniku przygotowuje wniosek naprawczy.
Wnioski hurtem, z kontrolą
Import z arkusza, dziennik błędów i plik do poprawy. Nadanie i cofnięcie w jednym wniosku, z datami obowiązywania.
Wydruki i zestawienia
Upoważnienia pojedynczo albo wsadowo w jednej paczce. Ewidencja i operacje do arkusza, z filtrami i wyszukiwaniem po każdej kolumnie.
Przeszłość, która nie znika
Zmiana działu albo stanowiska nie nadpisuje poprzednich danych. Historia zostaje z datami, więc stan sprzed roku da się odtworzyć co do dnia.
Wygasające i brakujące
Osobne widoki pokazują upoważnienia dobiegające końca oraz osoby przypisane do procesu bez ważnego upoważnienia.
Podpowiedzi przy imporcie
Literówka w nazwie działu albo nazwisku nie wywraca importu – system wskazuje najbliższe pasujące pozycje z ewidencji i pyta, czy o nie chodziło.
Wydruk pod organizację
Decydują Państwo, co znajdzie się na dokumencie: stanowisko, dział, data podpisu, miejsce na podpis. Wnioski może składać pełnomocnik, z zapisem umocowania.
Nasza metodyka
Metodyka analizy ryzyka rozwijana od lat, z wersjami zapisanymi w systemie
Analiza ryzyka bywa robiona raz, do segregatora. My traktujemy metodykę jak żywy dokument: ma wersje, daty obowiązywania i jest przypisana do każdej oceny, którą według niej wykonano.
Praktyczna korzyść pojawia się podczas kontroli. Na pytanie, dlaczego to ryzyko oceniono właśnie tak, odpowiedź brzmi: według metodyki w wersji obowiązującej wtedy, oto ona. Nie z pamięci audytora.
Ta sama metodyka stoi za oceną skutków dla ochrony danych, testami zabezpieczeń i badaniem systemów AI. Jedna rama, różne przedmioty badania.
Analiza ryzyka
Kontekst, poziomy, rejestr i szacowanie w jednym module.
Ocena skutków (DPIA)
Prowadzona na tej samej skali co pozostałe ryzyka, więc wyniki da się porównać.
Testy zabezpieczeń
Wyniki wracają do rejestru ryzyk jako materiał dowodowy, nie jako osobny raport.
Priorytetyzacja audytów
Kolejność badania obszarów wynika z ryzyka, a nie z kolejności alfabetycznej.
Bezpieczeństwo
Firma od bezpieczeństwa informacji nie może mieć niezabezpieczonego systemu
Powierzają nam Państwo dokumentację, która w razie wycieku byłaby mapą podatności całej organizacji. Obowiązują u nas te same wymagania, które stawiamy klientom podczas audytu.
Pełna ścieżka audytu
Każda zmiana rekordu jest zapisywana wraz z autorem i czasem. Historia logowań prowadzona osobno. Nikt nie może cicho poprawić dokumentu wstecz.
Dane wyłącznie w Unii Europejskiej
System i baza działają w środowisku Microsoft Azure, w centrum danych na terenie Unii. Poza Europejski Obszar Gospodarczy nie wychodzą ani dane produkcyjne, ani kopie zapasowe.
Szyfrowanie także w bazie
Chronione jest nie tylko połączenie, ale i dane zapisane na dysku. Sama kopia bazy nie wystarczy, żeby je odczytać.
Logowanie przez konto firmowe
Obsługujemy uwierzytelnianie przez dostawcę tożsamości klienta. Odejście pracownika z organizacji odcina dostęp natychmiast, bez zgłaszania tego nam.
Dostęp do API tylko ze znanych adresów
Tokeny integracyjne są przypisane do konkretnych adresów IP i rotowane. Wywołania są rejestrowane i zabezpieczone przed powtórzeniem.
Automatyczna retencja
Polityka retencji jest wykonywana przez system, nie przez czyjąś pamięć. Dane usuwane są w terminie, a przebieg każdego czyszczenia jest odnotowany.
Ochrona przed wstrzyknięciem treści
Treści wprowadzane przez użytkowników przechodzą przez filtr oczyszczający zgodny z zaleceniami OWASP, zanim trafią do bazy i na ekran.
Aktualny stos technologiczny
System działa na wspieranych wersjach środowiska uruchomieniowego i frameworka, aktualizowanych na bieżąco. Wersje bibliotek podajemy w rozmowie, nie na stronie.
Certyfikowany system zarządzania
Bezpieczeństwo informacji prowadzimy według ISO/IEC 27001, jakość obsługi według ISO 9001. Oba certyfikaty obejmują całą działalność i są co roku sprawdzane z zewnątrz. W większości procedur wprowadzania dostawcy zastępują wypełniony kwestionariusz – przekazujemy je razem z deklaracją stosowania zabezpieczeń. dane przykładowe
Szczegółową architekturę zabezpieczeń, model uprawnień i zasady przetwarzania omawiamy indywidualnie, wraz z umową powierzenia. Na życzenie wypełniamy ankiety bezpieczeństwa dostawcy i udostępniamy dokumentację do audytu po Państwa stronie.
Jak się do niego dostać
System jest częścią obsługi, nie osobnym produktem
Nie sprzedajemy licencji, po której klient zostaje sam z pustym systemem. eAURA jest narzędziem, w którym prowadzimy obsługę, a klient ma do niej wgląd i pracuje w niej razem z nami.
Dostęp otrzymują organizacje objęte stałą obsługą Inspektora Ochrony Danych, w ramach wynagrodzenia, bez dodatkowej opłaty licencyjnej.
Co zyskuje organizacja
Dokumentacja w jednym miejscu, gotowa do okazania podczas kontroli
Podgląd stanu zgodności bez pytania konsultanta o status
Historia zmian, czyli dowód rozliczalności z art. 5 ust. 2
Ciągłość obsługi niezależna od tego, kto akurat prowadzi projekt
Z bloga na ten temat
Pisaliśmy o tym szerzej
-
Kara czy upomnienie? Pięć kroków, którymi organy mają dochodzić do decyzji
Większość rozmów o karach z RODO, które prowadzę z klientami, zaczyna się od pytania o kwotę. Ile może kosztować spóźniona odpowiedź na…
-
Zmiany w RODO 2025 – Digital Omnibus | Omówienie cz. 5. Ocena skutków dla ochrony danych (DPIA)
Digital Omnibus przenosi tworzenie wykazów operacji wymagających DPIA na poziom unijny: wspólny wzór i metodyka od EROD, akt wykonawczy Komisji i zmiana…
-
Wzór oceny skutków od EDPB – pierwszy oficjalny szablon DPIA na poziomie UE
Europejska Rada Ochrony Danych przyjęła 14 kwietnia 2026 r. wspólny wzór oceny skutków dla ochrony danych. Po blisko ośmiu latach stosowania RODO…
Chcą Państwo zobaczyć system od środka?
Pokażemy go na przykładzie, bez zobowiązań.
