Bezpečnost

Veškerá infrastruktura je provozována v datových centrech v Evropské unii, převážně ve Frankfurtu (Německo).

• Přenos dat (in transit): Veškerá komunikace je šifrována pomocí TLS/HTTPS.
• Uložená data (at rest): MongoDB Atlas využívá AES-256 šifrování pro všechna uložená data.
• Presigned URL: Přístup k souborům je zajištěn prostřednictvím časově omezených presigned URL, které eliminují přímý přístup k úložišti.

• Google OAuth: Delegované ověření identity prostřednictvím Google — neukládáme žádná hesla.
• E-mailový přihlašovací odkaz (magic link): Jednorázový, časově omezený odkaz (platnost 5 minut) zaslaný na e-mail uživatele. Ani v tomto případě neukládáme žádná hesla.
• Session management: Časově omezené session tokeny s pravidelnou obnovou. Cookies jsou nastaveny s příznaky httpOnly a Secure.
• Izolace dat: Každý uživatel má přístup pouze ke svým vlastním datům. Přístupy jsou vynucovány na úrovni databázových dotazů.

• Soubory jsou ukládány v AWS S3 v EU (Frankfurt).
• Přístup k souborům je zajištěn prostřednictvím časově omezených presigned URL, nikdy nedochází k přímému přístupu k úložišti.
• Integrita souborů je ověřována pomocí kryptografických hashů.

• Využíváme Google Cloud AI pro zpracování dokumentů.
• Data se nepoužívají k trénování modelů, využíváme placenou verzi služby.
• Google neuchovává data po dokončení požadavku.
• Zpracování probíhá v EU regionu.

Zaznamenáváme následující události:

• Nahrání a zpracování dokumentů
• Export do ISDOC/GPC
• Smazání dokumentů
• Přihlášení a odhlášení

Každý záznam obsahuje metadata:

• IP adresa a user-agent
• Přibližná geolokace (odvozená z IP)
• Časová značka (timestamp)
• Doba trvání operace

Naši poskytovatelé infrastruktury disponují nezávisle auditovanými bezpečnostními certifikacemi. Vaše data jsou tak chráněna na úrovni odpovídající nejvyšším průmyslovým standardům.

Disponujeme definovaným postupem pro řešení bezpečnostních incidentů, který zahrnuje následující fáze:

1. Detekce: Nepřetržitý monitoring infrastruktury a automatická upozornění na anomálie prostřednictvím služby Sentry a logů aplikace.
2. Izolace: Okamžité omezení přístupu k dotčeným systémům a zabránění dalšímu šíření incidentu.
3. Náprava: Identifikace a odstranění příčiny incidentu, obnovení normálního provozu a ověření integrity dat.
4. Oznámení: Informování dotčených uživatelů do 72 hodin od zjištění incidentu a oznámení příslušnému dozorovému úřadu (ÚOOÚ) v souladu s čl. 33 a 34 GDPR.

Po vyřešení incidentu provedeme analýzu příčin a přijmeme opatření k zamezení opakování.

Vážíme si odpovědného přístupu bezpečnostní komunity. Pokud objevíte bezpečnostní zranitelnost v naší Službě, prosíme o její nahlášení na adresu info@ctenifaktur.cz.

• Zranitelnost nahlaste přímo nám dříve, než ji zveřejníte (responsible disclosure).
• Uveďte dostatečný popis zranitelnosti a kroky k jejímu reprodukování.
• Neprovádějte destruktivní testování, které by mohlo narušit dostupnost Služby nebo poškodit data ostatních uživatelů.
• Nepřistupujte k datům jiných uživatelů a nemodifikujte je.

Na každé hlášení odpovíme do 5 pracovních dnů a budeme vás informovat o průběhu řešení.

Naši poskytovatelé infrastruktury splňují nejvyšší bezpečnostní standardy. Další informace naleznete na jejich bezpečnostních stránkách:

• Vercel Security
• MongoDB Atlas Trust Center
• Google Cloud Security
• AWS Security
• Stripe Security
• PostHog Security