Płatność online jest obsługiwana przez Stripe. Dane karty wprowadzasz w bezpiecznych polach płatniczych Stripe – nie zapisujemy numeru Twojej karty na serwerze Instytutu Mocy.
Bezpieczeństwo Instytutu Mocy
Twoje dane, pieniądze i konto mają znaczenie.
Dlatego bezpieczeństwo nie powinno być schowane w prawniczym dokumencie. Tutaj wyjaśniamy po ludzku, jak chronimy płatności, dane, logowanie do konta i integracje używane w Instytucie Mocy.
HTTPS / szyfrowanie transmisji
Stripe i PCI DSS
RODO
Kontrola dostępu
Passkeys i klucze FIDO2
Bezpieczeństwo w 30 sekund
Najważniejsze bez technicznego żargonu.
Jeżeli nie chcesz czytać całej strony, te cztery zasady wyjaśniają najwięcej.
Zakres informacji zależy od funkcji, z której korzystasz. Nie oznacza to automatycznego dostępu wszystkich osób do całej historii Twojego konta.
Google Calendar, Google Drive czy inne połączenia działają dopiero po autoryzacji i w zakresie uprawnień nadanych dla konkretnej funkcji.
Minimalizujemy zakres danych, rozdzielamy role i uprawnienia oraz umożliwiamy realizację praw takich jak dostęp, sprostowanie, usunięcie czy sprzeciw – gdy prawo ma zastosowanie.
Bezpieczeństwo płatności
Numer karty nie musi przechodzić przez Instytut Mocy.
Do płatności online wykorzystujemy Stripe – wyspecjalizowaną infrastrukturę płatniczą działającą według standardów bezpieczeństwa branży kartowej.
✓
Pola płatnicze Stripe
Wrażliwe dane karty są wprowadzane do elementów obsługiwanych przez Stripe, a nie do zwykłego formularza zapisywanego przez Instytut Mocy.
✓
PCI DSS
Stripe deklaruje zgodność jako dostawca usług PCI DSS Level 1 – najwyższego poziomu certyfikacji dla dostawców usług płatniczych.
✓
Stripe Connect
Przy sprzedaży specjalisty objętej Stripe Connect rozliczenie jest prowadzone w infrastrukturze Stripe i powiązane z jego połączonym kontem Stripe.
✓
Nie przechowujemy kodu CVV
Instytut Mocy nie potrzebuje dostępu do pełnego numeru karty ani kodu bezpieczeństwa, aby obsłużyć status płatności i zamówienie.
CO WIDZI INSTYTUT MOCY?
Informację o transakcji, nie sekret Twojej karty.
System może otrzymać informacje potrzebne do obsługi zakupu – np. czy płatność się udała, kwotę, identyfikator transakcji, metodę płatności w ograniczonym zakresie lub dane potrzebne do zwrotu i rozliczeń.
Pełne dane uwierzytelniające karty pozostają po stronie infrastruktury płatniczej.
Warto wiedzieć
Bezpieczeństwo płatności to nie tylko szyfrowanie. Operator płatności stosuje również własne mechanizmy weryfikacji, przeciwdziałania nadużyciom i zarządzania ryzykiem.
System i szyfrowanie
Bezpieczeństwo tworzy kilka warstw naraz.
Nie opieramy ochrony na jednym „magicznym” zabezpieczeniu. Łączymy środki techniczne i organizacyjne odpowiednie do funkcji i ryzyka.
Szyfrowanie transmisji
Dane przesyłane pomiędzy urządzeniem a Platformą są chronione szyfrowaną transmisją TLS. Informacje nie są wysyłane przez internet jako otwarty tekst.
Role i izolacja danych
Dostęp zależy od roli i właściciela rekordu. Dane klientów różnych specjalistów są logicznie rozdzielane, a dostęp jest ograniczany do potrzebnego zakresu.
Silne uwierzytelnianie
Logowanie i zmiany zabezpieczeń mogą wymagać klucza dostępu (passkey lub FIDO2), kodu odzyskiwania albo jednorazowego kodu e-mail. Szczegóły – w sekcji Logowanie i konto.
Antybot i limity prób
Cloudflare Turnstile, ograniczenia prób logowania i limity masowych operacji pomagają utrudniać automatyczne nadużycia.
Kontrola plików
Przesyłane pliki mogą być sprawdzane pod kątem typu i sygnatury, a dostęp do udostępnionych materiałów może zostać cofnięty.
Logi operacji
Dzienniki dostępu, udostępnień, usunięć i zdarzeń bezpieczeństwa wspierają wykrywanie nadużyć, diagnostykę i analizę incydentów.
Kopie i odtwarzanie
Stosujemy kopie bezpieczeństwa oraz testy odtworzenia, ponieważ kopia ma sens dopiero wtedy, gdy można z niej rzeczywiście skorzystać.
Reakcja na incydenty
Aktualizacje, rejestracja zdarzeń i procedury reagowania pozwalają ograniczać skutki problemu i podejmować działania zależne od poziomu ryzyka.
!
Bez marketingowych bajek o „100% bezpieczeństwa”.
Żaden odpowiedzialny system online nie powinien obiecywać całkowitego braku ryzyka. Naszym zadaniem jest ograniczać ryzyko: stosować odpowiednie zabezpieczenia, aktualizować system, kontrolować dostęp, tworzyć kopie zapasowe, rejestrować zdarzenia i mieć procedury reagowania wtedy, gdy dzieje się coś nietypowego.
Logowanie i ochrona konta
Hasło to za mało. Dlatego masz klucz dostępu.
Do konta w Instytucie Mocy możesz logować się kluczem dostępu (passkey). Potwierdzasz się PIN-em, odciskiem palca, twarzą albo fizycznym kluczem bezpieczeństwa – bez wpisywania hasła i bez kodu, który ktoś mógłby podejrzeć lub wyłudzić.
Passkeys na telefonie i komputerze
Klucz dostępu zapisujesz na urządzeniu lub w menedżerze haseł (np. pęku kluczy iCloud, Menedżerze haseł Google, Windows Hello). Logujesz się tym samym gestem, którym odblokowujesz urządzenie.
Klucze sprzętowe FIDO2
Obsługujemy fizyczne klucze bezpieczeństwa FIDO2 podłączane przez USB lub przykładane przez NFC. Klucz dodatkowo chroni PIN lub odcisk palca.
Odporność na phishing
Klucz jest powiązany z domeną instytutmocy.pl. Nie zadziała na fałszywej stronie podszywającej się pod Platformę – nawet jeśli wygląda identycznie.
Biometria zostaje u Ciebie
Odcisk palca czy skan twarzy sprawdza Twoje urządzenie. Do Platformy trafia tylko kryptograficzne potwierdzenie i klucz publiczny – nigdy dane biometryczne ani klucz prywatny.
Jednorazowe kody odzyskiwania
Dziesięć kodów na wypadek utraty klucza. Każdy działa tylko raz, przechowujemy wyłącznie ich skróty kryptograficzne, a nowy zestaw unieważnia poprzedni.
Przeglądarki i sesje pod kontrolą
W panelu konta widzisz swoje klucze, zaufane przeglądarki i urządzenia zalogowane na konto. Możesz cofnąć zaufanie lub wylogować pozostałe urządzenia.
Jak to działa
Wygodnie na co dzień, stanowczo przy ryzyku.
1
Logowanie kluczem dostępu
Wybierasz logowanie kluczem i potwierdzasz PIN-em, biometrią lub kluczem sprzętowym. Bez hasła i bez przepisywania kodów.
2
Hasło w nowej przeglądarce?
Dodatkowe potwierdzenie
Jeżeli konto ma zapisany klucz, a logowanie hasłem lub kontem społecznościowym następuje w nieznanej przeglądarce, system poprosi o klucz, kod odzyskiwania albo kod z e-maila. Konta administracyjne z kluczem nie mogą zastąpić go kodem e-mail.
3
Zmiany zabezpieczeń wymagają potwierdzenia
Dodanie pierwszego klucza wymaga świeżego potwierdzenia e-mailem. Kolejne zmiany – np. usunięcie klucza czy nowy zestaw kodów – wymagają klucza lub kodu odzyskiwania. Potwierdzenie działa 5 minut i tylko w bieżącej sesji.
4
Zaufana przeglądarka – tylko prywatna
Na własnym urządzeniu możesz zapamiętać przeglądarkę na 180 dni, aby nie potwierdzać się za każdym razem. Na komputerze współdzielonym lub publicznym nie zaznaczaj tej opcji.
ZGUBIONY TELEFON LUB KLUCZ?
Konto da się odzyskać – i od razu zabezpieczyć.
Użycie kodu odzyskiwania automatycznie cofa zaufanie wszystkich przeglądarek i kończy pozostałe sesje. Zmiana hasła lub adresu e-mail również unieważnia zaufane przeglądarki.
Następnie w panelu konta usuwasz utracony klucz i dodajesz nowy.
Ochrona przed zgadywaniem i przejęciem
Jednorazowe, krótko ważne wyzwania serwera, sprawdzanie domeny i rodzaju operacji, limity prób przy logowaniu, kodach e-mail i kodach odzyskiwania oraz zabezpieczone ciasteczka sesji.
Dobra praktyka
Dodaj co najmniej dwa klucze (np. telefon i komputer albo klucz USB), a kody odzyskiwania przechowuj poza urządzeniem – wydrukowane lub w menedżerze haseł.
RODO po ludzku
Najpierw ustalamy: czyje to dane i po co są potrzebne.
RODO nie polega na tym, żeby wszędzie pytać o zgodę. Chodzi m.in. o legalny cel, minimalizację danych, przejrzystość, bezpieczeństwo i jasne określenie odpowiedzialności.
Operator Instytutu Mocy
W sprawach takich jak prowadzenie konta, bezpieczeństwo Platformy, własne rozliczenia czy obowiązki prawne Operator działa jako administrator danych.
→
Specjalista
Gdy specjalista prowadzi własny CRM, kartotekę, formularze czy notatki dotyczące swoich klientów, to on co do zasady określa cel i podstawę takiego przetwarzania.
→
Instytut jako procesor
W zakresie danych powierzonych przez specjalistę Platforma może działać jako podmiot przetwarzający na podstawie umowy powierzenia i udokumentowanych poleceń.
01
Cel
Dane powinny mieć konkretny powód przetwarzania.
02
Minimum
Nie należy zbierać więcej danych niż jest potrzebne do danego celu.
03
Czas
Dane nie powinny być przechowywane bez końca, jeśli ustał ich cel i nie ma innej podstawy.
04
Ochrona
Dostęp i przetwarzanie powinny być zabezpieczone adekwatnie do ryzyka.
Integracje
Połączenie z usługą nie oznacza dostępu do wszystkiego.
Integracje są uruchamiane dla konkretnych funkcji. Zakres przekazywanych informacji zależy od usługi, udzielonych uprawnień i tego, co użytkownik faktycznie robi.
G
Google Workspace
Calendar, Meet i Drive korzystają z autoryzacji użytkownika. Dostęp jest ograniczany do zakresów potrzebnych konkretnej funkcji, a integrację można odłączyć.
S
Stripe / Stripe Connect
Obsługuje płatności internetowe i techniczne informacje potrzebne do rozliczenia transakcji. Wrażliwe dane karty są obsługiwane przez infrastrukturę Stripe.
CF
Cloudflare Turnstile
Może chronić formularze i logowanie przed automatycznymi nadużyciami, analizując sygnały techniczne potrzebne do oceny ryzyka.
F
System fakturowy
Jeżeli funkcja fakturowania jest używana, przekazywane są dane potrzebne do utworzenia dokumentu sprzedaży i realizacji obowiązków rozliczeniowych.
A
Apple / logowanie zewnętrzne
Przy logowaniu zewnętrznym otrzymujemy tylko informacje i identyfikatory przewidziane dla użytej metody logowania i autoryzacji.
API
Inni dostawcy techniczni
Hosting, e-mail, SMS, push, mapy, wideo czy przechowywanie plików mogą uczestniczyć w realizacji wybranych funkcji – wyłącznie w potrzebnym zakresie i zgodnie z właściwymi rolami prawnymi.
AI i transkrypcja
AI ma wykonać wybraną funkcję – nie „zabrać” całe konto.
Funkcje AI i transkrypcji są elementami konkretnych narzędzi. Zakres danych powinien być ograniczony do informacji potrzebnych do wykonania tej operacji.
Uruchamiane w kontekście funkcji
Do dostawcy AI może zostać przekazane polecenie, nagranie, wybrany dokument albo tylko potrzebny fragment materiału – zależnie od funkcji użytej przez użytkownika.
Google Workspace ≠ automatycznie AI
Samo połączenie Google Drive lub synchronizacja Google Calendar nie oznacza automatycznego przekazywania całej zawartości do systemu AI.
Brak własnego treningu
na danych klientów
Operator nie wykorzystuje danych użytkowników ani danych klientów powierzonych przez specjalistów do trenowania własnych modeli AI ogólnego przeznaczenia.
Twoja kontrola
Bezpieczeństwo obejmuje również prawo do wiedzy i decyzji.
W zależności od podstawy przetwarzania i sytuacji RODO daje Ci konkretne prawa wobec Twoich danych.
Dostęp i kopia
Możesz zapytać, jakie dane dotyczące Ciebie są przetwarzane i – w zakresie przewidzianym prawem – otrzymać ich kopię.
Sprostowanie
Jeżeli dane są nieprawidłowe lub nieaktualne, możesz żądać ich poprawienia.
Usunięcie
W określonych sytuacjach możesz żądać usunięcia danych. Nie zawsze oznacza to jednak możliwość usunięcia danych, które muszą być przechowywane z mocy prawa.
Ograniczenie
W przypadkach przewidzianych przez RODO możesz żądać czasowego ograniczenia sposobu przetwarzania.
Sprzeciw
Możesz wnieść sprzeciw wobec przetwarzania opartego na prawnie uzasadnionym interesie, jeśli spełnione są przesłanki RODO.
Cofnięcie zgody
Jeżeli podstawą konkretnej operacji jest zgoda, możesz ją wycofać. Nie unieważnia to przetwarzania, które było zgodne z prawem przed wycofaniem.
Najczęstsze pytania
Krótko i konkretnie.
Czy Instytut Mocy zna pełny numer mojej karty?
Przy płatnościach obsługiwanych przez Stripe dane karty są wprowadzane do elementów płatniczych Stripe. Instytut Mocy nie potrzebuje przechowywać pełnego numeru karty ani kodu CVV, aby obsłużyć zamówienie i status płatności.
Czy specjalista widzi dane mojej karty?
Nie otrzymuje pełnego numeru karty ani kodu CVV. Może widzieć informacje dotyczące samej płatności potrzebne do obsługi świadczenia, np. status lub kwotę.
Czy połączenie Google daje dostęp do całego mojego konta?
Nie powinno być traktowane jako „dostęp do wszystkiego”. Integracja działa w zakresie uprawnień nadanych podczas autoryzacji i w odniesieniu do uruchomionych funkcji, np. kalendarza lub plików. Połączenie można odłączyć.
Czy dane z Google Drive trafiają automatycznie do AI?
Nie. Samo połączenie Google Drive nie oznacza automatycznego przekazywania zawartości plików do AI. Jeżeli użytkownik uruchomi funkcję AI na wybranym pliku, potrzebna treść lub fragment może zostać użyty do wykonania tej konkretnej operacji.
Czym jest klucz dostępu (passkey) i czy muszę go używać?
To następca hasła oparty na standardzie WebAuthn / FIDO2. Na Twoim urządzeniu powstaje para kluczy kryptograficznych: prywatny zostaje u Ciebie, a Platforma zapisuje tylko publiczny. Korzystanie z klucza nie jest obowiązkowe – logowanie hasłem lub kontem społecznościowym nadal działa, ale klucz jest wygodniejszy i znacznie trudniejszy do przejęcia.
Czy Instytut Mocy widzi mój odcisk palca lub skan twarzy?
Nie. Biometrię sprawdza Twój telefon, komputer lub klucz sprzętowy. Do Platformy trafia wyłącznie kryptograficzne potwierdzenie, że weryfikacja się udała.
Co zrobić, gdy zgubię telefon albo klucz USB?
Zaloguj się innym kluczem albo hasłem i jednym z kodów odzyskiwania. Użycie kodu wyloguje pozostałe urządzenia i cofnie zaufanie przeglądarek. Potem usuń utracony klucz w panelu konta i wygeneruj nowy zestaw kodów. Jeżeli nie masz ani klucza, ani kodów – napisz do nas.
Gdzie dodam klucz i sprawdzę zalogowane urządzenia?
W aplikacji Instytutu Mocy, w ustawieniach konta, w części dotyczącej zabezpieczeń. Znajdziesz tam swoje klucze, kody odzyskiwania, zaufane przeglądarki i aktywne sesje.
Czy Instytut Mocy sprzedaje dane klientów reklamodawcom?
Nie. Dane powierzone przez specjalistów nie są wykorzystywane przez Operatora do własnego marketingu ani niezależnego profilowania ich klientów. Zasady dotyczące cookies analitycznych i marketingowych są opisane oddzielnie i zależą od właściwej podstawy lub zgody.
Kto odpowiada za dane zapisane przez specjalistę w CRM?
Co do zasady specjalista określa cel i podstawę przetwarzania danych własnego klienta, więc jest ich administratorem w tym zakresie. Instytut Mocy może zapewniać zaplecze techniczne jako podmiot przetwarzający na podstawie umowy powierzenia.
Czy mogę zażądać usunięcia danych?
Tak – RODO przewiduje prawo do usunięcia danych w określonych sytuacjach. Nie jest ono jednak bezwzględne, np. część danych rozliczeniowych może podlegać obowiązkowemu przechowywaniu przez okres wynikający z prawa.
Co robicie w przypadku problemu bezpieczeństwa?
Bezpieczeństwo obejmuje rejestrowanie zdarzeń, analizę incydentów i procedury reagowania. Zakres dalszych działań zależy od rodzaju zdarzenia, ryzyka oraz obowiązków prawnych, w tym ewentualnych obowiązków wynikających z RODO.
Masz pytanie dotyczące bezpieczeństwa lub danych?
Napisz do nas. Jeżeli pytanie dotyczy danych przetwarzanych przez konkretnego specjalistę w ramach jego własnej praktyki, wskażemy również, do kogo należy skierować żądanie.
Ostatnia aktualizacja tej strony informacyjnej: 15 października 2026 r. Szczegółowe i wiążące zasady przetwarzania danych określa aktualna Polityka prywatności i właściwe dokumenty Platformy.