System dla sygnalistów u partnera MSP: kanały wielu klientów z jednego panelu
Dla dostawcy IT kanał dla sygnalistów to usługa, którą klienci i tak zamówią, tylko pytanie u kogo. Warunek: partner nie może stać się osobą, która zna treść zgłoszeń swoich klientów, bo wtedy sam wchodzi w łańcuch poufności i odpowiedzialności.
Sytuacja
Dostawca IT obsługuje kilkadziesiąt firm, z których większość właśnie przekroczyła próg 50 pracowników. Każda potrzebuje kanału, żadna nie chce wdrażać go sama, a dostawca nie chce brać odpowiedzialności za treść cudzych zgłoszeń.
Jak to działa
Partner zakłada konta klientów w jednym panelu, pod własną marką i domeną, z rabatem rosnącym z liczbą klientów. Widzi wyłącznie metadane: liczby spraw i terminy. Treści zgłoszeń i tożsamości sygnalistów nie zobaczy nigdy, co może zapisać klientom w umowie.
- White-label
- Szyfrowanie E2E
- Zgodność z ustawą
W tym scenariuszu 4
Co mówi ustawa w tej sytuacji
Podmiot prawny może powierzyć obsługę przyjmowania zgłoszeń podmiotowi zewnętrznemu (art. 28 ustawy o ochronie sygnalistów), ale odpowiedzialność za procedurę, terminy i poufność pozostaje po stronie podmiotu. Dostawca IT, który sprzedaje klientom kanał, nie przyjmuje zgłoszeń w ich imieniu, chyba że tak stanowi umowa. Jego rola to dostarczenie i utrzymanie narzędzia, czyli podmiot przetwarzający w rozumieniu RODO wobec każdego klienta osobno.
Każdy klient liczy próg 50 osób samodzielnie i sam ustanawia procedurę: konsultuje ją, ogłasza, wskazuje osoby prowadzące. Partner może dostarczyć szablony i skonfigurować kanał, ale nie może „mieć procedury za klienta”.
Na co zwrócić uwagę przy wdrożeniu
- Partner nie widzi treści. Jeśli technicznie może odczytać zgłoszenia klientów, jest osobą, którą klient musi upoważnić na piśmie i zobowiązać do tajemnicy (art. 8), a naruszenie poufności przez pracownika partnera obciąża obie strony. Model, w którym partner widzi wyłącznie liczby spraw i terminy, a treść jest zaszyfrowana kluczem klienta, usuwa ten problem u źródła.
- Osobne konto i osobny rejestr dla każdego klienta. Wspólna baza „dla wygody” to wspólny zbiór danych o różnych administratorach, czyli konstrukcja, której nie da się obronić przed inspektorem.
- Własna marka i domena partnera i klienta. Sygnalista pracownika klienta ma widzieć markę swojego pracodawcy, nie dostawcy IT.
- Umowa powierzenia w łańcuchu: klient → partner → operator platformy, z wykazem podprocesorów, który klient może pokazać własnemu inspektorowi.
Funkcje, które robią różnicę
- Panel partnera: zakładanie kont klientów, rozliczenia, rabat rosnący z liczbą klientów, bez dostępu do spraw (model partnerski).
- Szyfrowanie end-to-end kluczem klienta: partner i operator nie odczytają treści ani tożsamości nawet z pełnym dostępem do bazy (poufność).
- White-label i własna domena dla każdego klienta (wdrożenie i kanały).
- Kreator wdrożenia i szablony dokumentów: partner uruchamia kanał klienta w godzinę, klient dostosowuje procedurę.
- Eksport najemcy: klient, który odchodzi, zabiera swój rejestr w całości (JSON/CSV z załącznikami).
Najczęstsze pytania
Czy partner może przyjmować zgłoszenia w imieniu klienta?
Może, jeśli klient wprost mu to powierzy w umowie, z zasadami poufności i terminami (art. 28). Wtedy pracownicy partnera przyjmujący zgłoszenia potrzebują pisemnych upoważnień od klienta. Większość partnerów IT świadomie tego nie robi i pozostaje przy dostarczaniu narzędzia.
Kto odpowiada za terminy 7 dni i 3 miesięcy?
Zawsze klient jako podmiot prawny. Partner odpowiada za to, żeby narzędzie terminy liczyło i przypominało, a operator platformy za jej dostępność, na zasadach z regulaminu i umowy powierzenia.
Więcej o rolach w artykule RODO w zgłoszeniach sygnalistów.
Procedura to dokument. Kanał to system, który go wykonuje.
sygnadesk liczy terminy, prowadzi rejestr i chroni tożsamość sygnalisty zgodnie z tym, co opisujemy w bazie wiedzy. Sprawdź, jak wygląda w Twojej organizacji.