Uprawnienia i bezpieczeństwo w warsztacie

Bezpieczeństwo danych w warsztacie zaczyna się od uprawnień, a nie od hasła do Wi-Fi. Klient, pojazd, historia napraw, zdjęcia i faktury to dane, które muszą widzieć tylko osoby, które ich potrzebują. W 2026 r. to także argument w rozmowie z klientem i ubezpieczycielem. Szerszy poradnik: CRM dla warsztatu samochodowego.

W skrócie: 4 role, minimalne uprawnienia, kopie zapasowe, retencja i RODO. Mechanik nie musi widzieć marż, a magazyn — faktur.

4 role w warsztacie

Rola	Dostęp	Czego nie widzi
Właściciel	Wszystko: zlecenia, ceny, marże, faktury, raporty	—
Recepcja	Klienci, zlecenia, terminarz, faktury	Marże i kopie zapasowe
Mechanik	Swoje zlecenia, części, zdjęcia, statusy	Ceny zakupu, marże, faktury
Magazyn	Stany, przyjęcia, wydania, zamówienia	Dane klientów i faktury

Zasada minimalnych uprawnień

Nie dawaj wszystkim konta „admin”, bo tak jest szybciej. Ustal role, a wyjątki dodawaj czasowo. Szczególnie wrażliwe są: ceny zakupu części, marże, dane kontaktowe klientów, zdjęcia dokumentów i historia płatności.

Kopie zapasowe i retencja

• Kopie powinny być automatyczne i szyfrowane.
• Sprawdź, jak często są robione i gdzie są przechowywane.
• Ustal, jak długo trzymasz dane klientów i zdjęcia.
• Przetestuj odtworzenie kopii — backup bez testu to obietnica.

RODO w warsztacie — dane klientów, pojazdów i zdjęć

Zbieraj tylko te dane, które są potrzebne do naprawy i rozliczenia. Poinformuj klienta, kto jest administratorem, w jakim celu przetwarza dane i jak długo je przechowuje. Zdjęcia dokumentów i tablice rejestracyjne mogą być danymi osobowymi — ogranicz dostęp i retencję. Więcej: RODO w warsztacie samochodowym.

Logi aktywności i rozliczalność

System powinien pokazać, kto zmienił status, cenę lub dane klienta. Logi są przydatne przy reklamacjach i sporach. Sprawdź, czy można filtrować zdarzenia po użytkowniku i dacie.

Checklista bezpieczeństwa

1. Czy każdy ma własne konto?
2. Czy role są zgodne z zakresem obowiązków?
3. Czy ceny zakupu i marże są ukryte przed mechanikami?
4. Czy kopie zapasowe są automatyczne i testowane?
5. Czy dane są przechowywane w UE?
6. Czy masz politykę retencji i procedurę usunięcia danych?
7. Czy zdjęcia dokumentów są ograniczone dostępem?
8. Czy były szkolenie z phishingu i haseł?

Przykład: dlaczego role mają znaczenie

Mechanik widział ceny zakupu części i marże. Po rozmowie z klientem ujawnił koszt, co wywołało spór o cenę. Po zmianie roli mechanik widzi tylko ceny usług potrzebne do wyceny, a marże zostały przy właścicielu. To nie „ukrywanie”, tylko ograniczenie dostępu do danych, które nie są potrzebne do naprawy.

Polityka retencji w praktyce

• Dane klientów i pojazdów — przez okres współpracy i przedawnienia roszczeń.
• Faktury — zgodnie z przepisami podatkowymi.
• Zdjęcia szkód — przez okres gwarancji i ewentualnego sporu.
• Logi — krótko, ale wystarczająco do wyjaśnienia incydentu.
• Konta byłych pracowników — blokada natychmiast, dane przypisane do firmy.

Słownik pojęć

• RODO — rozporządzenie o ochronie danych osobowych.
• Retencja — czas przechowywania danych.
• Powierzenie — umowa z dostawcą, który przetwarza dane w Twoim imieniu.
• Log aktywności — zapis tego, kto i kiedy zmienił dane.

Najczęstsze błędy

• Wspólne konto „admin” dla całego zespołu.
• Brak blokady konta po odejściu pracownika.
• Kopie zapasowe bez testu odtworzenia.
• Przechowywanie zdjęć dokumentów bez ograniczeń dostępu.
• Brak polityki retencji i procedury usunięcia danych.

Najczęstsze pytania

Ile ról powinien mieć warsztat?

Cztery podstawowe: właściciel, recepcja, mechanik, magazyn. W większym serwisie dochodzi kierownik i księgowość.

Czy mechanik powinien widzieć ceny?

Zwykle nie musi widzieć cen zakupu i marż. Może widzieć ceny usług potrzebne do wyceny, jeśli tego wymaga proces.

Jak często robić kopie zapasowe?

Minimum raz dziennie, a przy dużym ruchu — częściej. Ważniejsze od częstotliwości jest testowanie odtworzenia.

Czy zdjęcia z warsztatu są danymi osobowymi?

Mogą być, jeśli pozwalają zidentyfikować osobę lub pojazd. Ogranicz dostęp i ustal retencję.

Czy trzeba powołać IOD?

Nie zawsze. Ocena zależy od skali i rodzaju przetwarzania. Skonsultuj z prawnikiem lub IOD.

Co zrobić po odejściu pracownika?

Natychmiast zablokuj konto, odbierz dostęp do telefonu i sprawdź logi. Nie zostawiaj wspólnych haseł.

Czy chmura jest bezpieczna?

Może być bezpieczniejsza niż lokalny komputer bez backupu. Sprawdź szyfrowanie, lokalizację danych i umowę powierzenia.

Jak sprawdzić dostawcę?

Zapytaj o kopie, retencję, szyfrowanie, logi, lokalizację serwerów i procedurę zgłoszenia naruszenia.

Podsumowanie

Bezpieczeństwo to proces, nie jednorazowa konfiguracja. Ustaw role, ogranicz dostęp do cen i zadbaj o kopie. OneCRM dla mechanika: CRM dla mechanika samochodowego. Zobacz też wdrożenie CRM i aplikację mobilną.