---
title: "Zaufanie, bezpieczeństwo i zgodność — SwiftShop.pl"
description: "Postawa SwiftShop.pl w zakresie bezpieczeństwa i zgodności: lokalizacja danych w EOG, PCI DSS przez tokenizację, RODO, DSA, GPSR, historia cen z Omnibus i zobowiązania w zakresie reagowania na incydenty."
lang: pl
url: https://swiftshop.pl/pl/zaufanie/
markdown_url: https://swiftshop.pl/pl/zaufanie/index.md
section: trust
updated: 2026-10-10
sources:
  - id: acp_stripe
    org: "Stripe"
    url: https://docs.stripe.com/agentic-commerce/acp
    date: 2025-10-01
---

# Bezpieczeństwo i zgodność

Zapisane jako zobowiązania z właścicielami, nie jako plakietki. Tam, gdzie coś jest planowane, a nie zrobione, jest to powiedziane.

## Do czego się zobowiązujemy

**Zobowiązania w zakresie bezpieczeństwa i zgodności**

| Obszar | Zobowiązanie | Status |
|---|---|---|
| Lokalizacja danych | Wszystkie dane klientów i zamówień przechowywane i przetwarzane w Europejskim Obszarze Gospodarczym. | Zadeklarowane |
| Dane kartowe | Nigdy nie przechowujemy surowych numerów kart. Płatności kartowe są tokenizowane u operatora; platforma trzyma wyłącznie tokeny. | Zadeklarowane |
| BLIK | Autoryzacja odbywa się w aplikacji bankowej klienta. Przez platformę nie przechodzą żadne dane uwierzytelniające. | Zadeklarowane |
| Płatności agentowe | Wyłącznie tokeny o zawężonym zakresie, z domyślnym limitem 2 000 zł wymagającym zgody człowieka.[1] | Zadeklarowane |
| RODO | Role administratora i procesora udokumentowane dla każdej integracji; rejestr czynności przetwarzania; standardowe klauzule umowne z podprocesorami. | W przygotowaniu |
| DSA | Przyjmowanie zgłoszeń o treściach nielegalnych (notice-and-action), raport przejrzystości i jeden punkt kontaktowy. | W przygotowaniu |
| GPSR | Pola bezpieczeństwa produktu w każdej ofercie: producent, osoba odpowiedzialna w UE, ostrzeżenia i dane identyfikujące. | W przygotowaniu |
| Omnibus | Plakietki rabatu pokazują najniższą cenę z 30 dni przed obniżką, liczoną z realnej historii cen. | Zadeklarowane |
| Testy penetracyjne | Test zewnętrzny przed startem, a następnie corocznie, z publikacją podsumowania po usunięciu usterek. | Planowane |
| Reagowanie na incydenty | Wskazany właściciel dyżurny, ścieżka zgłoszenia naruszenia w 72 godziny i publiczna strona statusu. | Planowane |

## Zgłaszanie podatności

Napisz na security@swiftshop.pl. Staramy się potwierdzić odbiór w ciągu dwóch dni roboczych i podjąć decyzję o naprawie w ciągu 90 dni, zgodnie z modelem odpowiedzialnego ujawniania.

Plik kontaktowy czytelny dla maszyn opublikujemy pod /.well-known/security.txt wraz z kluczem PGP przed startem publicznym.

Nie będziemy podejmować kroków prawnych wobec badaczy, którzy stosują się do opublikowanej polityki: testuj wyłącznie na własnych kontach, nie uzyskuj dostępu do cudzych danych, nie pogarszaj działania usługi i daj nam uzgodniony czas na naprawę.

## Kategorie podprocesorów

Platforma opiera się na niewielu kategoriach dostawców. Każdy jest ujawniony, związany umową i wybrany pod kątem lokalizacji danych w EOG.

- Edge i CDN — serwuje sklep i terminuje TLS.
- Operatorzy płatności — licencjonowani acquirerzy i PSP obsługujący BLIKA, karty i płatności odroczone.
- Przewoźnicy — sieci automatów i kurierzy realizujący dostawy w Polsce i UE.
- Poczta i komunikacja transakcyjna — powiadomienia o zamówieniu, fakturze i dostawie.
- Observability i śledzenie błędów — z minimalizacją lub haszowaniem danych osobowych przed transmisją.

Imienną listę z adresami rejestrowymi i miejscami przetwarzania będziemy prowadzić pod /legal/sub-processors od fazy bety. Sprzedawcy dostają 30 dni wyprzedzenia przed dodaniem nowego podprocesora.

## Sources

1. Stripe. [Agentic Commerce Protocol — integration documentation](https://docs.stripe.com/agentic-commerce/acp) — 2025-10-01