Regulamin i klauzule

1. Charakter usługi — samoocena szkoleniowa, nie audyt akredytowany

To ćwiczenie szkoleniowe na fikcyjnym obiekcie, zakończone wewnętrznym badaniem zgodności (GAP Analysis) i certyfikatem ukończenia szkolenia. Wynik nie zastępuje audytu prowadzonego przez akredytowaną jednostkę certyfikującą, kontroli organu właściwego ds. cyberbezpieczeństwa ani żadnej decyzji administracyjnej.

Platforma Normatric jest narzędziem szkoleniowym. Symulacja audytu, checklista zgodności oraz generowane na ich podstawie zestawienie ustaleń stanowią wewnętrzne badanie własne (samoocenę) o charakterze ćwiczenia — w literaturze przedmiotu określane jako analiza luk (GAP Analysis). Odpowiada to logice audytu pierwszej strony (wewnętrznego) opisanego w normie PN-EN ISO 19011, a nie audytowi trzeciej strony prowadzonemu w celu certyfikacji.

Usługodawca nie jest akredytowaną jednostką certyfikującą i nie prowadzi audytów certyfikujących w rozumieniu ISO/IEC 17021-1. Wynik uzyskany na platformie nie zastępuje audytu zewnętrznego, audytu bezpieczeństwa systemu informacyjnego wymaganego przepisami o krajowym systemie cyberbezpieczeństwa, ani czynności kontrolnych organu właściwego. Nie stanowi też decyzji administracyjnej, zaświadczenia ani innego aktu administracyjnego.

Dokument wydawany po pozytywnym ukończeniu ćwiczenia jest CERTYFIKATEM UKOŃCZENIA SZKOLENIA. Potwierdza wyłącznie udział w symulacji i uzyskany w niej wynik. Nie nadaje żadnych uprawnień zawodowych, nie jest licencją, nie uprawnia do prowadzenia audytów u podmiotów trzecich i nie może być przedstawiany jako dowód takich uprawnień.

Scenariusze wykorzystywane w symulacji dotyczą obiektów fikcyjnych, stworzonych na potrzeby dydaktyczne. Wynik ćwiczenia nie mówi nic o rzeczywistym poziomie bezpieczeństwa jakiejkolwiek istniejącej organizacji — także Twojej. Oceny stanu faktycznego własnej organizacji nie należy opierać na wyniku symulacji.

Korzystanie z platformy nie zwalnia użytkownika ani jego pracodawcy z realizacji obowiązków wynikających z przepisów prawa, w tym obowiązków w zakresie zarządzania ryzykiem, zgłaszania incydentów i poddawania się audytom oraz kontrolom przewidzianym przepisami.

2. Zakaz wprowadzania informacji niejawnych i danych realnych

To środowisko szkoleniowe, a nie system do przetwarzania realnych danych wrażliwych. Do czatu, notatek w checkliście i własnych ustaleń wpisuj wyłącznie treści dotyczące fikcyjnego obiektu ze scenariusza.

Wprowadzenie do platformy informacji niejawnych lub innych danych chronionych następuje wyłącznie na ryzyko i odpowiedzialność użytkownika oraz podmiotu, który go zgłosił. Usługodawca nie jest przystosowany do przetwarzania informacji niejawnych, nie posiada w tym zakresie akredytacji bezpieczeństwa teleinformatycznego, a stwierdzone naruszenie może skutkować natychmiastowym zablokowaniem konta i usunięciem treści.

3. Wykorzystanie sztucznej inteligencji

Poniższa informacja zwrotna została wygenerowana automatycznie przez model językowy, bez udziału człowieka. Nie jest opinią eksperta ani oceną wydaną przez audytora wiodącego.

Platforma wykorzystuje system sztucznej inteligencji (model językowy z rodziny Google Gemini) w dwóch miejscach: do prowadzenia rozmowy w roli persony audytowanego obiektu oraz do wygenerowania opisowej informacji zwrotnej po zakończeniu ćwiczenia. Zgodnie z art. 50 rozporządzenia (UE) 2024/1689 informujemy o tym wprost, przed rozpoczęciem interakcji oraz przy prezentacji wyniku.

Wynik punktowy i decyzja o zaliczeniu NIE są generowane przez model językowy. Są wyliczane deterministycznie przez porównanie ocen wprowadzonych przez uczestnika z przygotowaną wcześniej, ukrytą bazą poprawnych statusów danego scenariusza. Model odpowiada wyłącznie za warstwę opisową (komentarz słowny).

Treści generowane przez model językowy mogą zawierać błędy, uproszczenia lub nieaktualne odwołania do przepisów i norm. Nie należy traktować ich jako źródła prawa ani jako porady prawnej czy technicznej. W razie rozbieżności między komentarzem AI a treścią normy lub przepisu rozstrzygające jest źródło pierwotne.

Uczestnik ma prawo wiedzieć, które elementy oceny pochodzą z systemu AI, oraz zgłosić zastrzeżenie do treści wygenerowanej automatycznie. Rozpatrzenie takiego zgłoszenia następuje z udziałem człowieka.

4. Pre-Audyt AI — samoocena na danych Twojej organizacji

W odróżnieniu od szkoleniowego symulatora audytu (fikcyjny obiekt), Pre-Audyt AI dotyczy TWOJEJ realnej organizacji — ale wynik jest wyłącznie wstępnym rozpoznaniem luk na podstawie Twoich opisowych odpowiedzi, nie formalnym audytem zgodności ani jego namiastką.

Pre-Audyt AI (GAP Analysis) jest narzędziem samooceny wspomaganej sztuczną inteligencją, przeznaczonym dla przedstawiciela realnej organizacji. W odróżnieniu od symulatora szkoleniowego opisanego w klauzuli 1 (fikcyjny obiekt), ten produkt dotyczy Twojej rzeczywistej organizacji — dlatego wynik jest z natury ograniczony do tego, co sam/sama zdecydujesz się opisać, i nie stanowi niezależnego ustalenia stanu faktycznego.

Usługodawca nie jest akredytowaną jednostką certyfikującą ani uprawnionym podmiotem audytującym w rozumieniu przepisów o krajowym systemie cyberbezpieczeństwa. Raport GAP wygenerowany po sesji nie zastępuje obowiązkowego audytu bezpieczeństwa systemu informacyjnego ani żadnej czynności kontrolnej organu właściwego.

Klasyfikacja każdej odpowiedzi (zgodne / częściowo zgodne / niezgodne / nie dotyczy) oraz przypisany jej poziom wiarygodności dowodu są ustalane na podstawie treści Twojej wypowiedzi w czacie — nie na podstawie przedłożonych dokumentów, chyba że produkt w danej wersji wprost przewiduje ich przesłanie i analizę treści. Opis słowny, nawet szczegółowy, nie jest tym samym co realny dokument — raport oznacza to wprost przy każdym takim ustaleniu.

Korzystanie z Pre-Audytu AI nie zwalnia użytkownika ani jego organizacji z realizacji obowiązków wynikających z przepisów prawa, w tym obowiązkowych audytów, analiz ryzyka, zgłoszeń incydentów i innych czynności przewidzianych przepisami o KSC, NIS2 i CER.

Pre-Audyt AI wykorzystuje system sztucznej inteligencji (model językowy z rodziny Google Gemini) do prowadzenia wywiadu w roli Audytora Wiodącego oraz do wstępnej klasyfikacji odpowiedzi udzielanych przez użytkownika. Zgodnie z art. 50 rozporządzenia (UE) 2024/1689 informujemy o tym wprost, przed rozpoczęciem sesji oraz przy prezentacji raportu.

W ODRÓŻNIENIU OD SYMULATORA SZKOLENIOWEGO (klauzula 3): w Pre-Audycie AI klasyfikacja każdej odpowiedzi jest generowana przez model na podstawie interpretacji swobodnej wypowiedzi użytkownika, nie wyliczana deterministycznie z zamkniętej listy opcji. Jest to wstępna, orientacyjna ocena wymagająca Twojej własnej weryfikacji, a przed podjęciem jakiejkolwiek decyzji biznesowej lub prawnej — weryfikacji przez człowieka (audytora wewnętrznego lub zewnętrznego, radcę prawnego, osobę odpowiedzialną za cyberbezpieczeństwo).

Treści generowane przez model językowy mogą zawierać błędy, uproszczenia lub nieaktualne odwołania do przepisów i norm, a klasyfikacja odpowiedzi może być błędna, jeśli opis użytkownika był niepełny, niejasny lub wprowadzający w błąd — celowo lub niecelowo. Model nie ma możliwości zweryfikowania prawdziwości opisu.

Uczestnik ma prawo wiedzieć, które elementy raportu pochodzą z systemu AI, oraz zgłosić zastrzeżenie do treści wygenerowanej automatycznie. Rozpatrzenie takiego zgłoszenia następuje z udziałem człowieka.

5. Certyfikat ukończenia i jego weryfikacja

Po pozytywnym ukończeniu ćwiczenia wydawany jest certyfikat ukończenia szkolenia z unikalnym kodem weryfikacyjnym. Certyfikat potwierdza udział w symulacji i uzyskany w niej wynik — nic ponadto.

Strona weryfikacji certyfikatu jest publiczna: każdy, kto zna kod, zobaczy widniejące na nim imię i nazwisko. Podanie imienia i nazwiska jest dobrowolne; w razie jego pominięcia na dokumencie pojawia się neutralne oznaczenie „Uczestnik szkolenia”. Adres e-mail uczestnika nigdy nie jest umieszczany na certyfikacie.

Dostęp do produktu i powiązany z nim certyfikat mogą mieć określony okres ważności. Po jego upływie certyfikat pozostaje dokumentem historycznym potwierdzającym ukończenie szkolenia w danej dacie.

6. Zgoda RODO — mini-quiz „Sprawdź odporność obiektu”

Adres e-mail podany w mini-quizie wykorzystujemy wyłącznie do kontaktu w sprawie wyniku ćwiczenia i usług platformy — nie do niczego innego. Wybrane odpowiedzi zapisujemy razem z e-mailem, żeby dopasować dalszy kontakt handlowy do zgłoszonych obszarów ryzyka.

Formularz towarzyszący mini-quizowi „Sprawdź odporność obiektu na wywiad” zbiera adres e-mail od osób NIEzalogowanych, na podstawie ich dobrowolnej zgody (art. 6 ust. 1 lit. a RODO). Zgoda jest odrębna od regulaminu platformy: jej zaznaczenie jest warunkiem odblokowania pełnego wyniku quizu, ale NIE jest domyślnie zaznaczone i nie jest warunkiem odpowiedzi na same trzy pytania quizu.

Administratorem danych jest podmiot prowadzący platformę Normatric. Dane wykorzystywane są wyłącznie do kontaktu w sprawie wyniku quizu oraz usług platformy — nie są przekazywane podmiotom trzecim w celach marketingowych innych niż techniczna obsługa samej platformy (hosting, poczta).

Zgodę można wycofać w dowolnym momencie, pisząc na adres kontaktowy platformy. Wycofanie nie wpływa na zgodność z prawem przetwarzania dokonanego przed wycofaniem i skutkuje usunięciem zgłoszenia, chyba że w międzyczasie powstała inna, odrębna podstawa przetwarzania (np. zawarta umowa).

Zgłoszenia z quizu przechowujemy maksymalnie 12 miesięcy od złożenia, niezależnie od statusu — po tym czasie są automatycznie usuwane. Szczegóły techniczne: supabase/fixes/2026-09-lead-magnet-quiz.sql.

Zgłoszenia z mini-quizu przechowujemy nie dłużej niż 12 miesięcy od ich złożenia, niezależnie od dalszego statusu kontaktu — to znacznie krótsza retencja niż dane osób, które faktycznie założyły konto lub zawarły umowę (te żyją w koncie użytkownika, nie w tej tabeli). Po tym czasie zgłoszenie jest usuwane automatycznie.

7. Ograniczenie odpowiedzialności

Usługodawca dokłada starań, aby treść scenariuszy, checklist i materiałów referencyjnych była rzetelna i zgodna z aktualnym stanem norm oraz przepisów. Nie gwarantuje jednak ich kompletności ani aktualności na dany dzień — przepisy z obszaru cyberbezpieczeństwa i ochrony infrastruktury krytycznej zmieniają się często, a materiały mają charakter dydaktyczny.

Usługodawca nie ponosi odpowiedzialności za decyzje podjęte przez użytkownika lub jego organizację na podstawie wyniku ćwiczenia, w szczególności za zaniechanie realnego audytu, oceny ryzyka lub obowiązku zgłoszeniowego wynikającego z przepisów.

Powyższe nie wyłącza ani nie ogranicza odpowiedzialności w zakresie, w jakim jest to niedopuszczalne na gruncie bezwzględnie obowiązujących przepisów prawa.

8. Marka i podmiot świadczący usługę

Normatric jest marką handlową platformy szkoleniowo-audytowej opisanej w niniejszym regulaminie. Nazwa marki nie jest tożsama z nazwą prawną podmiotu świadczącego usługę.

Dane podmiotu prawnego świadczącego usługę pod tą marką zostaną uzupełnione w tym miejscu przed udostępnieniem platformy klientom komercyjnym i przed wystawieniem pierwszej faktury.