1. Do czego służy upra.pl

upra.pl pilnuje terminów ważności uprawnień Twoich pracowników i powiadamia o zbliżającym się wygaśnięciu, zanim stanie się ono problemem. Obejmuje wszystkie rodzaje uprawnień okresowych: badania lekarskie, szkolenia BHP, uprawnienia SEP i UDT, ADR, kwalifikację kierowcy zawodowego, karty kierowcy, zezwolenia na pracę cudzoziemców, certyfikaty spawalnicze i dowolne typy własne.

Czego upra.pl nie robi. Nie zastępuje systemu kadrowego, nie prowadzi pełnej dokumentacji BHP (ocena ryzyka zawodowego, rejestry wypadków), nie generuje skierowań na badania i nie przechowuje skanów dokumentów ani wyników badań. To ostatnie jest decyzją celową: zdjęcie orzeczenia lekarskiego jest daną o zdrowiu w rozumieniu art. 9 RODO, a do pilnowania terminu wystarcza sama data.

Struktura danych. Firma → (opcjonalnie) Zespół → Pracownik → Uprawnienia. Zespoły są opcjonalne — mała firma może ich w ogóle nie używać.

2. Pierwsze kroki — kolejność wdrożenia

Kolejność ma znaczenie: wprowadzanie pracowników przed zespołami oznacza późniejsze przypisywanie ich pojedynczo. Zalecana ścieżka:

1. Załóż konto firmy. Osoba, która to zrobi, otrzymuje rolę Właściciel. Przy rejestracji akceptujesz Umowę Powierzenia Przetwarzania Danych — Twoja firma jest administratorem danych swoich pracowników, upra.pl podmiotem przetwarzającym.
2. Skonfiguruj drugi czynnik logowania (2FA). Dla roli Właściciel i Administrator jest obowiązkowy przy logowaniu hasłem — system przekieruje Cię tam automatycznie przy pierwszym wejściu. Jeśli logujesz się kontem Google lub Microsoft, ten krok Cię nie dotyczy.
3. Ustaw politykę logowania firmy (Ustawienia → Organizacja i dostęp). Dodaj swoje domeny email i zdecyduj, czy wpuszczać wyłącznie konta firmowe. Szczegóły w rozdziale 4.
4. Dodaj użytkowników, którzy będą pracować w systemie, nadając im najniższą wystarczającą rolę. Szczegóły w rozdziale 3.
5. Utwórz zespoły odpowiadające Twojej strukturze (brygady, oddziały, działy).
6. Przejrzyj katalog typów uprawnień i dodaj typy specyficzne dla swojej branży.
7. Wprowadź pracowników i przypisz im zespoły oraz przełożonych.
8. Wprowadź uprawnienia i daty ważności. To najdłuższy krok — przy kilkudziesięciu osobach zajmuje jedno popołudnie.
9. Ustaw reguły powiadomień i wyślij powiadomienie testowe, żeby sprawdzić treść i odbiorcę.

Wskazówka praktyczna. Nie próbuj wprowadzić wszystkiego naraz. Zacznij od jednego zespołu i jednego typu uprawnienia (najlepiej badań lekarskich — ma je każdy). Gdy zobaczysz, jak działa powiadomienie, reszta pójdzie szybciej i z mniejszą liczbą poprawek.

3. Role i uprawnienia dostępu

Role są hierarchiczne — wyższa zawiera wszystkie możliwości niższych. Każda jest sprawdzana po stronie serwera przy każdej operacji, więc ukrycie przycisku nigdy nie jest jedynym zabezpieczeniem.

Zasada, którą warto stosować: nadawaj najniższą rolę, która wystarcza do pracy. Rolę zawsze można podnieść, a konto z nadmiarowymi uprawnieniami jest ryzykiem, które nie daje nic w zamian.

Zabezpieczenia przed utratą kontroli nad kontem

System nie pozwoli Ci wykonać operacji, która odciąłaby firmę od własnych danych:

• nie można zmienić własnej roli ani wyłączyć własnego konta,
• nie można pozostawić firmy bez ani jednego aktywnego Właściciela — najpierw trzeba nadać tę rolę komuś innemu,
• Administrator nie może zmienić roli ani wyłączyć konta Właściciela,
• Administrator nie może nadać komukolwiek roli Właściciel — tylko istniejący Właściciel może to zrobić.

Dodawanie użytkownika

W Ustawieniach → Organizacja i dostęp wybierz „Dodaj użytkownika”. Masz dwa tryby dostępu:

• Google / Microsoft (zalecane) — konto nie ma hasła. Użytkownik loguje się kontem firmowym, a Twoja firma zachowuje kontrolę nad dostępem: zablokowanie konta u dostawcy odcina dostęp do upra.pl natychmiast.
• Hasło tymczasowe + 2FA — system wygeneruje hasło i pokaże je jeden raz. Zapisz je od razu i przekaż użytkownikowi bezpiecznym kanałem (nie zwykłym mailem). Nie da się go odtworzyć — jeśli je zgubisz, wygeneruj nowe przyciskiem „Nowe hasło”.

Konta nie są usuwane, a wyłączane. Wyłączone konto nie może się zalogować, ale zostaje w systemie, żeby historyczne wpisy w dzienniku audytowym nadal wskazywały, kto wykonał daną zmianę. Usunięcie konta zerwałoby rozliczalność, której wymaga RODO.

4. Logowanie i bezpieczeństwo konta

Dwie ścieżki logowania

Konto firmowe Google Workspace lub Microsoft 365 jest ścieżką zalecaną. Drugi czynnik, polityka haseł i odcięcie dostępu przy zwolnieniu pracownika są wtedy realizowane po stronie Twojego dostawcy tożsamości — czyli tam, gdzie i tak nimi zarządzasz.

Email i hasło z obowiązkowym kodem TOTP jest ścieżką dla firm bez Workspace ani M365. Kod generuje aplikacja uwierzytelniająca (Google Authenticator, Microsoft Authenticator, Aegis, 1Password i podobne). Dla ról Właściciel i Administrator jest obowiązkowy — system nie wpuści takiego konta do danych pracowników, dopóki 2FA nie zostanie skonfigurowane.

Uprawnienia zawsze ustalasz w upra.pl. Google i Microsoft odpowiadają wyłącznie na pytanie „kto się loguje”, nigdy „co może zrobić”. Żadna informacja z tokenu dostawcy nie wpływa na rolę użytkownika.

Domeny firmowe

W Ustawieniach → Organizacja i dostęp dodajesz domeny swoich służbowych adresów email (np. firma.pl). Dwa warunki, które system sprawdza przy dodaniu:

• musisz sam mieć adres w tej domenie — to potwierdza, że domena należy do Twojej firmy,
• domeny publicznych dostawców poczty są odrzucane (gmail.com, wp.pl, outlook.com i podobne) — inaczej jedna firma mogłaby przechwytywać logowania posiadaczy tych adresów.

Dla każdej domeny możesz włączyć automatyczne zakładanie kont:

• wyłączone (domyślnie) — konto musi już istnieć, czyli zakłada je administrator. SSO tylko je uwierzytelnia.
• włączone — pierwsze logowanie przez Google/Microsoft z tej domeny tworzy konto samo, z rolą ustawioną w polu „Rola dla kont zakładanych automatycznie”. Wygodne przy większej organizacji, ale trzymaj tę rolę na poziomie „Podgląd”.

Polityka logowania

„Wpuszczaj tylko konta z domen firmowych” — zalogować się może wyłącznie użytkownik z adresem w jednej z dodanych domen. Dotyczy to obu ścieżek: logowania przez dostawcę i hasłem. Gdyby dotyczyło tylko SSO, byłoby obejściem przez hasło, czyli nie byłoby polityką.

„Pozwalaj logować się hasłem” — odznaczenie zostawia wyłącznie SSO. To najmocniejsze ustawienie: haseł do upra.pl po prostu nie ma, więc nie da się ich wykraść ani odgadnąć. System pozwoli je wyłączyć tylko wtedy, gdy zalogowałeś się przez Google lub Microsoft choć raz na tym koncie — bez tego dowodu, że SSO faktycznie działa, wyłączenie haseł mogłoby odciąć całą firmę.

Przy włączaniu ograniczenia domen system sprawdza też, czy Twój własny adres jest na liście. Jeśli nie — odmówi, bo pierwszym skutkiem byłoby odcięcie autora zmiany.

Blokada po nieudanych próbach

Po pięciu nieudanych próbach logowania konto jest czasowo blokowane, a czas blokady rośnie z każdą kolejną serią. Udane logowanie przez Google lub Microsoft zdejmuje blokadę — blokada jest środkiem przeciw zgadywaniu hasła, a nie karą dla użytkownika. Administrator może też zdjąć ją przyciskiem „Nowe hasło”.

5. Zespoły i przełożeni

Zespół to grupa pracowników odpowiadająca Twojej strukturze: brygada, oddział, dział. Zespoły są opcjonalne, ale dają dwie konkretne korzyści: filtrowanie panelu terminów po zespole oraz czytelniejszy podział odpowiedzialności.

Przełożony to osobne pojęcie niż zespół. Przełożonego wskazujesz bezpośrednio w danych pracownika, wybierając innego pracownika. Dzięki temu powiadomienie o wygasającym uprawnieniu może trafić do osoby, która realnie zorganizuje badanie albo szkolenie — a nie do centralnej skrzynki, w której nikt nie czuje się odpowiedzialny.

Usunięcie zespołu nie usuwa pracowników — tylko odpina ich od zespołu. Pracownicy zostają, a ich uprawnienia i terminy są nietknięte.

6. Pracownicy

Dla każdego pracownika wprowadzasz:

• imię i nazwisko — wymagane,
• stanowisko — opcjonalne, ale pomaga ustalić właściwy okres szkolenia BHP,
• email i telefon — opcjonalne, ale bez nich pracownik nie dostanie powiadomień (dostanie je wtedy tylko przełożony, jeśli tak ustawisz regułę),
• zespół i przełożonego — opcjonalne,
• status zatrudnienia — aktywny albo nieaktywny.

Pracownik, który odszedł z firmy. Oznacz go jako nieaktywnego, nie usuwaj. Nieaktywny pracownik przestaje generować powiadomienia, ale jego historia zostaje — co ma znaczenie, jeśli kontrola zapyta o okres, w którym jeszcze pracował. Dane nieaktywnego pracownika są automatycznie usuwane lub anonimizowane po skonfigurowanym okresie (domyślnie 24 miesiące), zgodnie z Umową Powierzenia.

Usunięcie pracownika jest „miękkie” — wiersz zostaje w bazie, oznaczony datą usunięcia, żeby historyczne wpisy w dzienniku audytowym nadal miały do czego się odnosić. Pracownik przestaje być widoczny na listach i w panelu.

7. Katalog typów uprawnień

Typ uprawnienia to definicja („Szkolenie BHP okresowe”), a nie konkretny wpis u pracownika. Typ określa:

• nazwę i kategorię,
• domyślny okres ważności w miesiącach — system na jego podstawie proponuje datę wygaśnięcia przy dodawaniu wpisu; pozostaw pusty dla uprawnień bezterminowych,
• czy wymaga numeru dokumentu — wtedy system przypomina o jego wpisaniu,
• opis — miejsce na uwagi dla osób wprowadzających dane.

Katalog startowy polskich uprawnień jest już w systemie i jest wspólny dla wszystkich firm (możesz z niego korzystać, ale nie zmieniać). Typy dodane przez Ciebie należą wyłącznie do Twojej firmy i nikt inny ich nie widzi.

Wskazówka. Jeśli różne grupy stanowisk mają różne okresy (tak jest przy szkoleniach BHP), utwórz osobny typ dla każdej grupy — na przykład „Szkolenie BHP okresowe — stanowiska robotnicze” i „— osoby kierujące pracownikami”. Dzięki temu proponowana data będzie od razu właściwa i nie trzeba jej poprawiać przy każdym wpisie.

Typ, którego już nie używasz, wyłącz zamiast usuwać. Przestanie być proponowany przy nowych wpisach, a historyczne wpisy, które go używały, zostaną nietknięte.

8. Uprawnienia pracownika i ich terminy

Uprawnienia dodajesz na stronie konkretnego pracownika. Dla każdego wpisu podajesz typ, datę wydania i datę wygaśnięcia (albo zaznaczasz, że jest bezterminowe). Datę wygaśnięcia system proponuje na podstawie domyślnego okresu z typu — zawsze możesz ją nadpisać, bo przy badaniach lekarskich o terminie decyduje treść orzeczenia, a nie wzór.

Numer dokumentu jest szyfrowany w bazie danych osobno, kluczem przechowywanym poza nią. Oznacza to, że kopia samej bazy nie wystarcza do jego odczytania. Pole jest opcjonalne, ale warto je wypełniać przy dokumentach cudzoziemców — przy kontroli PIP pozwala od razu wskazać podstawę wykonywania pracy.

Status jest liczony, nie przechowywany. Przy każdym wyświetleniu system porównuje datę wygaśnięcia z dniem dzisiejszym i wyznacza status: aktualne, wygasa wkrótce albo wygasłe. Dzięki temu nie istnieje możliwość, by dane „zastygły” na nieaktualnym statusie — nawet jeśli nikt nie wejdzie do systemu przez pół roku.

Odnawianie uprawnienia. Dodaj nowy wpis z nową datą, nie nadpisuj starego. Historia zostaje i widać, kiedy uprawnienie było odnawiane oraz czy kiedykolwiek wygasło. To bywa istotne przy ustalaniu okoliczności wypadku przy pracy.

Czego nie wpisywać. W polu notatek nie umieszczaj treści orzeczeń, informacji o stanie zdrowia, ograniczeniach medycznych ani numeru PESEL. System nie ma na to pól celowo, a wpisanie takich danych w pole opisowe przenosi na Twoją firmę obowiązki związane z przetwarzaniem danych szczególnych kategorii — i narusza Umowę Powierzenia.

9. Panel terminów

Panel startowy odpowiada na trzy pytania, które zadaje każda kontrola:

• Co już wygasło — wymaga działania natychmiast, bo oznacza, że pracownik nie powinien być dopuszczony do pracy.
• Co wygasa wkrótce — wymaga zaplanowania badania albo szkolenia.
• Co jest aktualne — stan, do którego dążysz.

Listę filtrujesz po zespole, typie uprawnienia i statusie. Odpowiedź na pytanie „kto w tym miesiącu traci uprawnienia?” zajmuje kilkanaście sekund — i to jest właściwa miara, czy system działa.

Rutyna, którą warto wprowadzić: raz w tygodniu otwórz panel z filtrem „wygasa wkrótce”. Nawet przy działających powiadomieniach to pięciominutowy przegląd, który łapie przypadki, w których pracownik nie zareagował na wiadomość.

10. Reguły powiadomień

Reguła określa cztery rzeczy:

• ile dni przed wygaśnięciem wysłać powiadomienie,
• do kogo — pracownika, przełożonego albo obu,
• jakim kanałem — email, SMS albo oba,
• czego dotyczy — całej firmy, konkretnego typu uprawnienia albo konkretnego pracownika.

Pierwszeństwo reguł

Gdy do jednego uprawnienia pasuje kilka reguł, obowiązuje najbardziej szczegółowa:

1. reguła dla konkretnego pracownika — przebija wszystko,
2. reguła dla typu uprawnienia — przebija regułę ogólną,
3. reguła ogólna firmy — obowiązuje, gdy nie ma szczegółowszej.

Zalecane ustawienia na start

Kilka reguł dla jednego uprawnienia jest w porządku — na przykład 60, 30 i 7 dni przed terminem, każda do innego odbiorcy. To częsty i dobry układ: pierwszy sygnał do pracownika, kolejne eskalują.

Brak duplikatów

System ma wbudowany klucz idempotencji: nawet jeśli proces wysyłki uruchomi się dwa razy tego samego dnia (na przykład po restarcie serwera), pracownik nie dostanie dwóch takich samych wiadomości. Każde powiadomienie jest zapisywane z informacją, której instancji uprawnienia, której reguły i którego dnia dotyczy.

Powiadomienie testowe

Zanim uznasz konfigurację za gotową, użyj akcji „wyślij testowo”. Zobaczysz dokładną treść i sprawdzisz, czy adres oraz numer telefonu są poprawne — bez czekania na realny termin.

Historia wysyłek pokazuje status każdej wiadomości. Jeśli widzisz status nieudany, najczęstsze przyczyny to nieprawidłowy adres email lub numer telefonu w danych pracownika.

11. Dziennik audytowy

Dostępny dla roli Administrator i Właściciel (Ustawienia → Dziennik audytowy). Zapisuje każdą zmianę danych pracowników, uprawnień, użytkowników i ustawień dostępu: kto, kiedy, z jakiego adresu IP, jaka była wartość przed i po.

Wpisów nie da się zmienić ani usunąć — aplikacja nie ma takich funkcji, również dla nas. To jest cel tego mechanizmu: dziennik, który da się poprawić, nie jest dowodem.

Dziennik realizuje obowiązek rozliczalności z art. 5 ust. 2 RODO i jest materiałem, który pokazujesz inspektorowi PIP albo audytorowi. Pozwala wykazać nie tylko stan danych, ale też staranność w ich prowadzeniu.

Wpisy oznaczone „przez wsparcie upra.pl” powstały, gdy nasz zespół wsparcia podglądał Twoje konto w celu rozwiązania zgłoszenia. Taki podgląd zawsze zostawia ślad — nie istnieje tryb cichego wglądu. Nazwiska naszego pracownika nie pokazujemy, bo jego konto należy do innej firmy, a izolacja danych obowiązuje również nas.

12. Eksport danych

Eksport do pliku CSV jest dostępny samoobsługowo, bez naszej zgody i bez dodatkowej opłaty. Zawiera pracowników, ich uprawnienia, daty i wyliczone statusy. Trzy typowe zastosowania:

• przedstawienie zestawienia inspektorowi PIP albo audytorowi,
• przeniesienie danych do systemu kadrowego,
• własne archiwum, niezależne od nas.

Eksport realizuje prawo do przenoszenia danych z art. 20 RODO. Nie blokujemy go i nie ograniczamy, żeby zatrzymać klienta — po rozwiązaniu umowy masz 30 dni na pobranie danych.

13. Typowe problemy i co z nimi zrobić

„Nie mogę się zalogować, mimo że hasło jest poprawne”

Najczęściej Twoja firma ma wyłączone logowanie hasłem albo Twoje konto zostało utworzone jako wyłącznie SSO. Użyj przycisku „Kontynuuj z Google” lub „Kontynuuj z Microsoft”. Komunikat na stronie logowania wskazuje to wprost.

„Po zalogowaniu przez Google widzę komunikat, że nie mam konta”

Konto musi zostać wcześniej utworzone przez administratora Twojej firmy — chyba że dla Twojej domeny włączono automatyczne zakładanie kont. Sprawdź też, czy nie zalogowałeś się prywatnym kontem Google zamiast służbowego (przeglądarka potrafi wybrać je sama).

„System wymusza na mnie konfigurację 2FA i nie puszcza dalej”

Twoja rola to Właściciel albo Administrator, a logujesz się hasłem — drugi czynnik jest wtedy obowiązkowy i nie da się go pominąć. Zeskanuj kod aplikacją uwierzytelniającą i wpisz wygenerowany kod. Po włączeniu 2FA zostaniesz wylogowany i zalogujesz się ponownie — to celowe, żeby sesja od razu odzwierciedlała nowy stan.

„Kod 2FA jest odrzucany, mimo że przepisuję go poprawnie”

Prawie zawsze przyczyną jest rozjechany zegar na urządzeniu. Kody TOTP są liczone z aktualnego czasu, więc włącz automatyczną synchronizację czasu w telefonie i spróbuj ponownie.

„Pracownik nie dostał powiadomienia”

Sprawdź po kolei:

1. czy pracownik ma wpisany adres email (albo numer telefonu dla SMS),
2. czy reguła powiadomień jest włączona i czy obejmuje ten typ uprawnienia,
3. czy liczba dni wyprzedzenia w regule już minęła — powiadomienie wychodzi dokładnie w dniu wyznaczonym przez regułę, nie codziennie,
4. historię wysyłek — status wskaże, czy wiadomość została wysłana i czy nie zakończyła się błędem,
5. folder spam u odbiorcy.

„Dodałem nowy zespół lub pracownika i nie widzę go na liście”

Nie powinno się to zdarzać — jeśli jednak wystąpi, odśwież stronę i napisz do nas pod [email protected] z informacją, jaką przeglądarkę i urządzenie używasz.

„Nie mogę wyłączyć logowania hasłem”

System wymaga, żebyś najpierw zalogował się przez Google lub Microsoft choć raz na tym koncie. Bez tego dowodu, że SSO w Twojej firmie faktycznie działa, wyłączenie haseł mogłoby odciąć całą firmę od danych.

„Nie mogę dodać domeny firmowej”

Możesz dodać wyłącznie domenę swojego własnego adresu email — zrób to z konta w tej domenie. Domeny publicznych dostawców poczty są odrzucane. Jeśli domena jest już przypisana do innej firmy w upra.pl, napisz do nas — sprawdzimy, czy to nie pomyłka.

Gdzie szukać dalej

• upra.pl/bezpieczenstwo — pełny opis zabezpieczeń dla działu IT i inspektora ochrony danych,
• upra.pl/umowa-powierzenia — umowa powierzenia przetwarzania danych,
• [email protected] — wsparcie, odpowiedź do 2 dni roboczych.