Polityki wewnętrzne

Decyzje biznesowe opieramy na kompetencjach, jakości i uczciwej konkurencji. Nie akceptujemy łapówek, wymuszeń ani innych korzyści służących uzyskaniu nieuprawnionej przewagi.

• Nie wolno oferować, obiecywać, przekazywać ani przyjmować korzyści mających bezprawnie lub nieuczciwie wpłynąć na decyzję, także za pośrednictwem osób trzecich.
• Upominki i zaproszenia biznesowe muszą być zgodne z prawem oraz zasadami obu stron. Nie mogą tworzyć zobowiązania, pozoru zależności ani wpływać na bezstronność.
• Rzeczywisty lub potencjalny konflikt interesów należy ujawnić osobie odpowiedzialnej za współpracę przed podjęciem decyzji. Osoba objęta konfliktem nie powinna samodzielnie rozstrzygać sprawy.
• Ustalenia, rozliczenia i informacje przedstawiane klientom muszą być rzetelne. Zakazane jest fałszowanie dokumentacji, wyników prac oraz kwalifikacji.

W praktyce: w razie wątpliwości wstrzymaj decyzję lub przyjęcie korzyści i poproś o wyjaśnienie zasad.

Współpraca musi być dobrowolna i oparta na poszanowaniu godności. Nie akceptujemy niewolnictwa, handlu ludźmi, pracy przymusowej ani wykorzystywania zależności ekonomicznej do ograniczania wolności człowieka.

• Warunki wykonywania pracy lub świadczenia usług powinny być zrozumiałe i uzgodnione przed rozpoczęciem współpracy.
• Nie wolno zatrzymywać dokumentów tożsamości, ograniczać swobody przemieszczania się ani stosować gróźb w celu wymuszenia pracy.
• Niedopuszczalne są opłaty rekrutacyjne i inne obciążenia nakładane na kandydatów w celu uzależnienia ich od pośrednika lub organizacji.
• Szanujemy prawo do zgodnego z prawem zakończenia współpracy, zrzeszania się i reprezentowania swoich interesów.
• Od partnerów oczekujemy stosowania tych samych podstawowych zasad oraz wyjaśnienia wiarygodnych sygnałów naruszeń.

W praktyce: podejrzeń wykorzystywania ludzi nie należy ignorować ani rozwiązywać przez wywieranie presji na osobę poszkodowaną. Priorytetem jest jej bezpieczeństwo.

Praca nie może pozbawiać dziecka bezpieczeństwa, edukacji ani możliwości rozwoju. Nie dopuszczamy zatrudniania poniżej wymaganego prawem wieku ani powierzania osobom niepełnoletnim prac niebezpiecznych lub innych prac zakazanych.

• Przed dopuszczeniem do pracy należy potwierdzić spełnienie wymagań dotyczących wieku, w sposób zgodny z prawem i zasadą minimalizacji danych.
• Legalne praktyki, przygotowanie zawodowe i inne dopuszczalne formy aktywności młodocianych wymagają odpowiednich warunków, nadzoru oraz ochrony zdrowia i nauki.
• Nie akceptujemy obchodzenia tych zasad przez podwykonawców, pośredników ani dostawców.
• W przypadku podejrzenia naruszenia należy przerwać działania narażające dziecko na zagrożenie i ustalić sposób reakcji z uwzględnieniem jego dobra oraz obowiązków prawnych.

W praktyce: zakaz dotyczy niedozwolonej pracy dzieci; nie oznacza automatycznego zakazu wszystkich zgodnych z prawem programów edukacyjnych i praktyk dla młodzieży.

Każda osoba ma prawo do profesjonalnego i pełnego szacunku traktowania. Nie akceptujemy dyskryminacji, mobbingu, molestowania, poniżania, zastraszania ani przemocy.

• Decyzje rekrutacyjne i dotyczące współpracy powinny opierać się na kompetencjach, doświadczeniu oraz obiektywnych wymaganiach danej roli.
• Płeć, wiek, niepełnosprawność, pochodzenie, narodowość, religia, orientacja seksualna ani inne prawnie chronione cechy nie mogą być podstawą nierównego traktowania.
• Zasady szacunku obowiązują w biurze, u klienta, podczas spotkań online, w korespondencji i na komunikatorach.
• Informacja zwrotna powinna dotyczyć pracy i zachowania, a nie naruszać godności. Różnica zdań nie usprawiedliwia obraźliwego języka.

W praktyce: osoba doświadczająca niewłaściwego zachowania lub będąca jego świadkiem może zgłosić sprawę bez konieczności wcześniejszej konfrontacji z osobą, której dotyczy zgłoszenie.

Dostęp do informacji oznacza odpowiedzialność za ich ochronę. Dane klientów, dokumentacja, kod, konfiguracje, wyniki testów i informacje handlowe mogą być wykorzystywane wyłącznie w uprawnionym celu.

• Dostęp należy ograniczać do osób, które potrzebują go do wykonania uzgodnionych zadań. Nie wolno udostępniać kont, haseł ani innych danych uwierzytelniających.
• Do pracy należy używać zatwierdzonych narzędzi, urządzeń i kanałów wymiany informacji oraz zabezpieczeń odpowiednich do ryzyka i wymagań projektu.
• Bez upoważnienia nie wolno przenosić informacji klienta do prywatnej poczty, prywatnych repozytoriów ani niezatwierdzonych usług chmurowych.
• Prawa do rezultatów prac i zasady korzystania z materiałów określają właściwe umowy oraz licencje. Dostęp do materiału nie oznacza nabycia praw do niego.
• Po zakończeniu współpracy dostęp należy odebrać, a materiały zwrócić, usunąć lub zachować wyłącznie na właściwej podstawie. Obowiązki poufności pozostają w mocy zgodnie z prawem i umową.

W praktyce: podejrzenie utraty danych, ujawnienia informacji lub przejęcia konta należy niezwłocznie przekazać uzgodnionym kanałem obsługi incydentów.

Dane osobowe przetwarzamy w określonym celu i na właściwej podstawie prawnej. Zakres danych, dostęp oraz czas ich przechowywania powinny odpowiadać rzeczywistym potrzebom i obowiązującym przepisom, w tym RODO, gdy ma zastosowanie.

• Należy pozyskiwać tylko dane potrzebne do konkretnego zadania i przekazywać osobom wymagane informacje o ich przetwarzaniu.
• Danych nie wolno wykorzystywać do nowych, nieuprawnionych celów ani udostępniać odbiorcom bez odpowiedniej podstawy.
• Jeżeli przetwarzamy dane w imieniu klienta, zakres działania i instrukcje należy określić we właściwych uzgodnieniach, w tym umowie powierzenia, gdy jest wymagana.
• Przekazywanie danych poza Europejski Obszar Gospodarczy wymaga spełnienia odpowiednich warunków prawnych.
• Żądania dotyczące praw osób i podejrzenia naruszeń ochrony danych należy przekazywać osobie odpowiedzialnej za ich obsługę bez zbędnej zwłoki.

Więcej informacji: zasady dotyczące korzystania z serwisu opisuje Polityka prywatności B2B Cyber. Niniejsza sekcja jej nie zastępuje.

Działania w zakresie cyberbezpieczeństwa wymagają wyraźnego upoważnienia. Wiedza techniczna ani dostęp do systemu nie stanowią zgody na testowanie dowolnych zasobów.

• Testy należy prowadzić na podstawie udokumentowanego upoważnienia, w uzgodnionym zakresie i terminie, z określeniem dopuszczalnych metod oraz warunków przerwania prac.
• Nie wolno wykraczać poza uzgodniony zakres, utrzymywać nieuprawnionego dostępu ani pobierać danych ponad to, co jest konieczne do udokumentowania ustalenia.
• Wyniki i informacje o podatnościach należy przekazywać uprawnionym odbiorcom bezpiecznym kanałem. Publikacja wymaga odpowiednich uzgodnień i podstawy prawnej.
• Narzędzia automatyzujące działania, w tym narzędzia AI, nie mogą rozszerzać upoważnienia do testów. Ich użycie wymaga zachowania uzgodnionych ograniczeń i nadzoru osoby odpowiedzialnej za test.

W praktyce: brak pewności co do upoważnienia oznacza konieczność wyjaśnienia zakresu przed rozpoczęciem działania. Dodatkowe zasady korzystania z AI opisuje punkt 12.

Bezpieczeństwo ludzi ma pierwszeństwo przed terminem realizacji zadania. Zasada ta dotyczy pracy w biurze, u klienta i zdalnie, a także sytuacji kryzysowych oraz zagrożeń epidemicznych.

• Należy przestrzegać właściwych zasad bezpieczeństwa i higieny pracy oraz zgłaszać wypadki, zagrożenia i warunki mogące narazić kogokolwiek na szkodę.
• Sposób pracy powinien uwzględniać ergonomię, odpoczynek i bezpieczne korzystanie ze sprzętu. Praca zdalna nie zwalnia z ochrony informacji.
• W razie zagrożeń zdrowotnych sposób organizacji pracy należy dostosować do ryzyka, obowiązujących przepisów i zaleceń właściwych organów.
• Dla krytycznych usług należy uzgodnić sposób komunikacji awaryjnej, odpowiedzialność, zastępstwa oraz priorytety przywracania działania.
• Informacje o zakłóceniach należy przekazywać rzetelnie, z poszanowaniem prywatności osób i poufności informacji klienta.

W praktyce: dostępność wsparcia, czasy reakcji i parametry odtwarzania określa umowa lub uzgodniony plan. Ta polityka nie stanowi deklaracji obsługi całodobowej.

Odpowiedzialny rozwój łączy troskę o środowisko z uczciwym traktowaniem ludzi. W B2B Cyber uwzględniamy wpływ naszej działalności na zespół, partnerów i otoczenie społeczne, a działania dostosowujemy do skali działalności oraz rzeczywistych możliwości.

Środowisko i zasoby

• Preferujemy elektroniczny obieg dokumentów, gdy pozwalają na to przepisy i wymagania bezpieczeństwa, oraz ograniczamy niepotrzebny druk.
• Przy zakupie i użytkowaniu sprzętu uwzględniamy trwałość, możliwość naprawy, efektywność energetyczną oraz bezpieczne ponowne wykorzystanie.
• Zużyty sprzęt i nośniki należy przekazywać uprawnionym odbiorcom, z wcześniejszym zabezpieczeniem lub bezpiecznym usunięciem danych.
• Rozważamy spotkania zdalne i mniej emisyjne formy podróży, gdy odpowiadają celowi współpracy i wymaganiom klienta.
• Nie przedstawiamy nieudokumentowanych twierdzeń o neutralności klimatycznej, certyfikatach środowiskowych ani osiągniętych redukcjach emisji.

Uczciwe zatrudnienie i odpowiedzialność społeczna

• Warunki zatrudnienia i współpracy powinny być przejrzyste, zgodne z prawem i respektować uzgodnione wynagrodzenie, terminy płatności oraz uprawnienia właściwe dla danej formy współpracy.
• Szanujemy równość szans, godność i prawo do bezpiecznych warunków pracy. Szczegółowe zasady dotyczące praw człowieka, ochrony dzieci i równego traktowania opisują punkty 2–4.
• Przy planowaniu projektów należy uwzględniać ich wpływ na ludzi, w tym ryzyko wykluczenia i bariery dostępności rozwiązań, oraz ograniczać negatywne skutki w zakresie naszej odpowiedzialności.
• Inicjatywy społeczne, edukacyjne i dzielenie się wiedzą powinny odpowiadać rzeczywistym potrzebom oraz możliwościom organizacji. Udział w działaniach dobrowolnych nie może być wymuszany.

W praktyce: cele i rezultaty środowiskowe oraz społeczne komunikujemy na podstawie danych i faktycznie podjętych działań. Nie deklarujemy nieistniejących programów, partnerstw ani osiągnięć.

B2B Cyber stosuje podejście oparte na ryzyku do zarządzania zagrożeniami bezpieczeństwa związanymi z dostawcami, podwykonawcami i zewnętrznymi usługodawcami. Zakres oceny i zabezpieczeń zależy od znaczenia usługi, rodzaju danych, poziomu dostępu do systemów oraz możliwych skutków zakłócenia współpracy.

• Ocena przed rozpoczęciem współpracy: należy ustalić rolę dostawcy, krytyczność usługi i ryzyko. Dla podmiotów o podwyższonym ryzyku wymagamy pogłębionej weryfikacji odpowiedniej do usługi, np. przeglądu zabezpieczeń, dokumentacji lub niezależnych raportów.
• Warunki i odpowiedzialność: umowy powinny określać zakres usług, rozliczenia, poufność, ochronę danych, wymagania bezpieczeństwa oraz sposób zgłaszania incydentów i współpracy przy ich obsłudze. Weryfikacja spełnienia wymagań powinna być możliwa w uzgodnionym zakresie.
• Dostęp i dalsze podwykonawstwo: uprawnienia należy ograniczać do niezbędnego zakresu, a włączanie kolejnych podmiotów uzależnić od warunków umownych i wymaganych zgód. Dotyczy to również usług chmurowych, SaaS i dostawców narzędzi AI.
• Nadzór w trakcie współpracy: zakres i częstotliwość przeglądów należy dobierać do ryzyka. Istotna zmiana usługi, dostępu, sposobu przetwarzania danych lub incydent wymagają ponownej oceny i odpowiednich działań.
• Postępowanie z ryzykiem: istotne ustalenia, działania naprawcze i decyzje o akceptacji ryzyka należy dokumentować i przypisywać uprawnionej osobie. Nieakceptowalne ryzyko wymaga ograniczenia lub wstrzymania współpracy.
• Zakończenie współpracy: należy odebrać dostęp, uzgodnić zwrot lub bezpieczne usunięcie danych z uwzględnieniem obowiązków retencji oraz zapewnić przekazanie krytycznych usług.
• Odpowiedzialność partnerów: przy wyborze uwzględniamy również kompetencje, wiarygodność i standardy etyczne. Nie akceptujemy korupcji, dyskryminacji, niedozwolonej pracy dzieci ani pracy przymusowej.

W praktyce: dostawca mający dostęp do środowiska klienta lub danych poufnych wymaga innego poziomu weryfikacji niż dostawca usług o niskim wpływie na bezpieczeństwo. Sama deklaracja lub certyfikat nie zastępują oceny konkretnej usługi.

Podejrzenia nieprawidłowości, nieetycznego postępowania lub naruszenia prawa i polityk B2B Cyber można zgłaszać poufnie na adres [email protected]. Zgłoszenia rozpatrują wyznaczone i upoważnione osoby, z zastosowaniem odpowiednich zabezpieczeń poufności. Zgłoszenie nie wymaga korzystania z osobnej platformy ani formularza.

Z kanału mogą korzystać pracownicy, współpracownicy, kandydaci, byli członkowie zespołu, dostawcy oraz inne osoby, które uzyskały informacje związane z działalnością B2B Cyber. Nie trzeba wcześniej konfrontować się z osobą, której dotyczy zgłoszenie.

• Treść zgłoszenia: opisz zdarzenie, przybliżony termin i okoliczności oraz dostępne, legalnie pozyskane informacje. Oddziel fakty od przypuszczeń. Nie musisz prowadzić własnego dochodzenia ani posiadać kompletu dowodów.
• Bezpieczne przekazanie informacji: nie przesyłaj haseł, kluczy dostępowych, pełnych baz danych ani zbędnych danych osobowych. Przed przekazaniem szczególnie wrażliwych materiałów uzgodnij sposób ich zabezpieczenia.
• Odpowiedzialność za obsługę: upoważnione osoby oceniają zgłoszenie bezstronnie, ustalają właściwy tryb postępowania, dokumentują działania i przekazują informację zwrotną, gdy możliwy jest kontakt, zgodnie z właściwą procedurą i prawem. Osoba objęta zgłoszeniem lub konfliktem interesów nie może go rozpatrywać.
• Poufność: dostęp do tożsamości zgłaszającego, treści wiadomości i dokumentacji ograniczamy do osób uprawnionych. Informacje chronimy przed nieuprawnionym ujawnieniem, z uwzględnieniem obowiązków prawnych i praw osób, których sprawa dotyczy.
• Zakaz odwetu: nie akceptujemy gróźb, zastraszania ani pogarszania warunków zatrudnienia lub współpracy z powodu zgłoszenia opartego na uzasadnionych podstawach, ani udzielenia pomocy w takim zgłoszeniu. Niepotwierdzenie podejrzenia nie oznacza świadomie fałszywego zgłoszenia.

Poufność a anonimowość: poufna obsługa nie oznacza anonimowej poczty. Adres nadawcy i dane techniczne mogą pozwalać na identyfikację. Nie gwarantujemy anonimowości korespondencji e-mail.

Zakres ochrony: przyjmowanie szerszego zakresu spraw etycznych nie oznacza, że każda z nich jest ustawowym zgłoszeniem sygnalisty. Ochrona ustawowa zależy od spełnienia warunków prawnych; ta strona nie zastępuje formalnej procedury zgłoszeń wewnętrznych, gdy jest ona wymagana.

Na zasadach określonych w polskiej ustawie o ochronie sygnalistów zgłoszenie zewnętrzne można złożyć do Rzecznika Praw Obywatelskich albo właściwego organu publicznego bez wcześniejszego zgłoszenia wewnętrznego.

Incydenty operacyjne: [email protected] służy do zgłoszeń naruszeń i kwestii etycznych, a nie do całodobowej obsługi awarii. Pilne zdarzenia dotyczące usług zgłaszaj kanałem ustalonym dla danego projektu. Pytania ogólne kieruj na [email protected].

AI może wspierać pracę, ale nie zastępuje odpowiedzialności człowieka. W B2B Cyber korzystanie z narzędzi AI, w tym generatywnej AI, asystentów programistycznych i automatyzacji, wymaga oceny zastosowania, danych oraz możliwego wpływu na klientów i inne osoby.

• Zatwierdzanie i odpowiedzialność: przed użyciem należy określić cel, właściciela zastosowania, dopuszczalne dane i zakres uprawnień. Zatwierdzone narzędzia i istotne zastosowania należy ujmować w ewidencji odpowiedniej do skali i ryzyka.
• Ocena dostawcy: należy sprawdzić warunki poufności, przechowywania i usuwania danych, możliwość wykorzystania ich do treningu modeli, lokalizację przetwarzania oraz dalszych dostawców. Stosujemy również zasady oceny ryzyka z punktu 10.
• Ochrona informacji: danych osobowych, informacji poufnych i kodu klienta nie wolno przekazywać do AI bez odpowiedniej podstawy, autoryzacji i zabezpieczeń. Nie wolno wprowadzać haseł, kluczy prywatnych ani innych aktywnych danych uwierzytelniających do promptów, załączników lub kontekstu modelu.
• Weryfikacja wyników: osoba korzystająca z AI odpowiada za sprawdzenie faktów, bezpieczeństwa kodu, praw do materiałów i ryzyka dyskryminacji. Wygenerowane wyniki testów, źródła lub oceny nie mogą być przedstawiane jako zweryfikowane bez potwierdzenia.
• Nadzór i ograniczenia: istotne działania na systemach klienta wymagają uzgodnionego upoważnienia oraz nadzoru człowieka. AI nie może samodzielnie rozszerzać dostępu ani podejmować decyzji o istotnych skutkach dla osób bez odrębnej oceny prawnej i organizacyjnej oraz wymaganych zabezpieczeń. Zastosowania zakazane prawem są niedopuszczalne.
• Przejrzystość i kompetencje: o wykorzystaniu AI należy informować zgodnie z prawem, ustaleniami z klientem i charakterem usługi. Osobom korzystającym z AI należy zapewnić wskazówki lub szkolenia odpowiednie do ich roli, używanych narzędzi i ryzyka.
• Przegląd i reagowanie: istotna zmiana modelu, warunków dostawcy, danych lub celu użycia wymaga ponownej oceny. W razie podejrzenia nieuprawnionego ujawnienia danych lub szkodliwego działania należy wstrzymać ryzykowne użycie i zgłosić zdarzenie właściwej osobie.

W praktyce: zatwierdzenie narzędzia do pracy z materiałami publicznymi nie oznacza zgody na przesłanie danych klienta ani na wykonywanie działań w jego systemach. Wątpliwości dotyczące dopuszczalnego zastosowania należy wyjaśnić przed użyciem AI.