Bezpieczeństwo i regulacje

Nadzór i wpisy do rejestru

Usługę dostępu do informacji o rachunku (AISP) świadczy Fizen Sp. z o.o., dostawca świadczący wyłącznie usługę dostępu do informacji o rachunku, wpisany do rejestru KNF (numer AISP13/2022).

Usługę inicjowania płatności (PISP) świadczy Meest Transfer Sp. z o.o., licencjonowany dostawca usług płatniczych, wpisany do rejestru KNF pod numerem AKPP/27/2024, nadzorowany przez Komisję Nadzoru Finansowego.

• Dostęp do informacji o rachunku (AIS): Fizen Sp. z o.o., numer AISP13/2022
• Inicjowanie płatności (PIS): Meest Transfer Sp. z o.o., numer AKPP/27/2024

PSD2 i zasady dostępu do danych

• Zgoda: dostęp do rachunku jest możliwy tylko po wyraźnej zgodzie posiadacza, potwierdzonej silnym uwierzytelnieniem w jego banku.
• Cel: dane przetwarzamy wyłącznie w celu, na który użytkownik się zgodził, i nie używamy ich do innych celów.
• Czas: zgoda AIS obowiązuje 180 dni, potem wymaga odnowienia w banku.
• Cofnięcie: użytkownik może cofnąć zgodę w każdej chwili w panelu zgód Fizen, w aplikacji, z której korzysta, albo w swoim banku.
• Dane logowania: nigdy nie widzimy ani nie przechowujemy loginów i haseł do bankowości. Logowanie odbywa się zawsze na stronie banku.
• Kanał: korzystamy wyłącznie z oficjalnych interfejsów API banków, bez screen scrapingu.

Fizen dla asystentów AI

• Konto zakładasz, logując się kontem Google. Fizen nie widzi Twojego hasła do banku ani do Google.
• Każda aplikacja AI widzi tylko rachunki, które jej udostępnisz. Listę aplikacji i ich rachunków zmienisz albo odłączysz w każdej chwili w koncie Fizen.
• Asystent tylko odczytuje dane. Nie przygotuje ani nie zleci przelewu, przelewy robisz sam w swoim banku.
• Każde logowanie, zgodę i zapytanie asystenta do danych widzisz w historii zdarzeń w koncie Fizen.
• Po usunięciu konta usuwamy konto, rachunki, zgody, kopie danych z banku i dostęp aplikacji AI; historia zdarzeń zostaje na wymagany okres, bez adresu e-mail.

RODO

• Administrator: Fizen Sp. z o.o., ul. Narutowicza 40/1, 90-135 Łódź. Kontakt w sprawach danych osobowych: [email protected].
• Podstawa: dane z banku pobieramy tylko w zakresie Twojej zgody na dostęp do informacji o rachunku, udzielonej w banku, na okres do 180 dni. Historię zdarzeń prowadzimy na podstawie art. 6 ust. 1 lit. c i f RODO: wykazanie zgody (art. 18 ustawy o usługach płatniczych), bezpieczeństwo systemów (DORA) i obrona przed roszczeniami.
• Odbiorcy: banki, z których pobieramy dane na Twoje polecenie, aplikacje, którym udostępniasz dane (firma, z której aplikacji korzystasz, albo asystent AI), oraz Google Cloud jako dostawca infrastruktury.
• Retencja: kopia danych z banku obejmuje historię udostępnioną przez bank i jest usuwana, jeśli przez 30 dni nie była odświeżana; usunięcie banku usuwa ją od razu. Historia zdarzeń: 5 lat (Regulamin AIS § 14), parametry zapytań asystentów AI 90 dni.
• Prawa: dostęp do danych, sprostowanie, usunięcie, ograniczenie przetwarzania, przenoszenie, sprzeciw oraz skarga do Prezesa UODO.

DORA i odporność operacyjna

• Rejestr ryzyka ICT i ramy zarządzania ryzykiem zgodne z rozporządzeniem DORA.
• Klasyfikacja i zgłaszanie poważnych incydentów ICT do KNF w wymaganych terminach.
• Coroczne testy penetracyjne i regularne testy odporności.
• Rejestr umów z zewnętrznymi dostawcami usług ICT i ocena ich ryzyka.

Bezpieczeństwo techniczne

• Szyfrowanie danych w transmisji (TLS 1.2 i wyższe) i w spoczynku.
• Certyfikat eIDAS QWAC do komunikacji z bankami.
• Serwery w Polsce lub w Europejskim Obszarze Gospodarczym; konto Fizen i usługa dla asystentów AI działają w Google Cloud w Warszawie (region europe-central2).
• Dostęp do baz z danymi osobowymi mają wyłącznie upoważnieni administratorzy systemu.
• Historia zdarzeń (logi audytowe): 5 lat, zgodnie z § 14 Regulaminu AIS; parametry zapytań asystentów usuwamy po 90 dniach, a adresy IP starsze niż 2 lata skracamy do adresu sieci.

Ubezpieczenie OC

Fizen posiada ubezpieczenie odpowiedzialności cywilnej wymagane od dostawcy usługi dostępu do informacji o rachunku.

Jak zgłosić podatność

Jeśli znajdziesz podatność w usługach Fizen, napisz na [email protected]. Opisz problem i kroki do jego odtworzenia. Nie podejmujemy działań prawnych wobec osób, które zgłaszają podatności w dobrej wierze.