Bezpečnost

Aplikace, databáze, úložiště souborů i AI zpracování běží v datových centrech v Evropské unii, převážně ve Frankfurtu (Německo).

• Přenos dat (in transit): Veškerá komunikace je šifrována pomocí TLS/HTTPS.
• Uložená data (at rest): MongoDB Atlas využívá AES-256 šifrování pro všechna uložená data.
• Presigned URL: Přístup k souborům je zajištěn prostřednictvím časově omezených presigned URL, které eliminují přímý přístup k úložišti.

• Google OAuth: Delegované ověření identity prostřednictvím Google, neukládáme žádná hesla.
• E-mailový přihlašovací odkaz (magic link): Jednorázový, časově omezený odkaz (platnost 15 minut) zaslaný na e-mail uživatele. Ani v tomto případě neukládáme žádná hesla.
• Session management: Časově omezené session tokeny s pravidelnou obnovou. Cookies jsou nastaveny s příznaky httpOnly a Secure.
• Izolace dat: Uživatel má přístup jen k datům kanceláří, do kterých patří, a jen k účetním jednotkám, které mu kancelář přidělila. Přístupy jsou vynucovány na úrovni databázových dotazů.

• Soubory jsou ukládány v AWS S3 v EU (Frankfurt).
• Přístup k souborům je zajištěn prostřednictvím časově omezených presigned URL, nikdy nedochází k přímému přístupu k úložišti.
• Integrita souborů je ověřována pomocí kryptografických hashů.

• Doklady zpracováváme přes Vertex AI od Google Cloud, s nímž máme zpracovatelskou smlouvu.
• Zpracování probíhá na evropském endpointu, u kterého se poskytovatel zavazuje, že strojové zpracování zákaznických dat bude probíhat pouze v Evropské unii.
• Data se nepoužívají k trénování modelů, využíváme placenou verzi služby.
• Poskytovatel neuchovává data po dokončení požadavku.
• Když je služba nedostupná, zpracování se nepřesouvá mimo EU. Doklad se v takovém případě nezpracuje a můžete ho nahrát znovu.

Zaznamenáváme následující události:

• Nahrání a zpracování dokumentů
• Export do ISDOC/GPC
• Smazání dokumentů
• Přihlášení a odhlášení

Prosté zobrazení dokladu se nezaznamenává, jen operace, které s ním něco udělají.

Záznam obsahuje časovou značku vždy a dál podle toho, co o akci víme:

• IP adresa a user-agent, pochází-li akce z požadavku prohlížeče
• Přibližná geolokace (odvozená z IP)
• Doba trvání operace, měří-li ji daná cesta

Naši poskytovatelé infrastruktury mají bezpečnostní certifikace ověřené nezávislým auditem.

Bezpečnostní incidenty řešíme podle tohoto postupu:

1. Detekce: Nepřetržitý monitoring infrastruktury a automatická upozornění na anomálie prostřednictvím služby Sentry a logů aplikace.
2. Izolace: Okamžité omezení přístupu k dotčeným systémům a zabránění dalšímu šíření incidentu.
3. Náprava: Identifikace a odstranění příčiny incidentu, obnovení normálního provozu a ověření integrity dat.
4. Oznámení: Jde-li o doklady, které pro vás zpracováváme, informujeme vás do 48 hodin od zjištění, jak slibuje zpracovatelská smlouva; ohlášení dozorovému úřadu je pak na vás jako na správci. Jde-li o údaje, u kterých jsme správcem my, tedy o účet, fakturaci nebo podporu, oznamujeme incident sami: dotčeným do 72 hodin od zjištění a Úřadu pro ochranu osobních údajů podle čl. 33 a 34 GDPR.

Po vyřešení incidentu provedeme analýzu příčin a přijmeme opatření k zamezení opakování.

Vážíme si odpovědného přístupu bezpečnostní komunity. Pokud objevíte bezpečnostní zranitelnost v naší Službě, prosíme o její nahlášení na adresu info@ctenifaktur.cz.

• Zranitelnost nahlaste přímo nám dříve, než ji zveřejníte (responsible disclosure).
• Uveďte dostatečný popis zranitelnosti a kroky k jejímu reprodukování.
• Neprovádějte destruktivní testování, které by mohlo narušit dostupnost Služby nebo poškodit data ostatních uživatelů.
• Nepřistupujte k datům jiných uživatelů a nemodifikujte je.

Na každé hlášení odpovíme do 5 pracovních dnů a budeme vás informovat o průběhu řešení.

Další informace najdete na bezpečnostních stránkách našich poskytovatelů:

• Vercel Security
• MongoDB Atlas Trust Center
• Google Cloud Security
• AWS Security
• Stripe Security
• PostHog Security