Bezpečnost
Tento dokument popisuje technická a organizační opatření přijatá k zabezpečení zpracování ve smyslu čl. 32 nařízení (EU) 2016/679 (GDPR), tedy opatření zajišťující úroveň zabezpečení odpovídající riziku, s přihlédnutím ke stavu techniky, nákladům, povaze, rozsahu, kontextu a účelům zpracování.
1. Přehled infrastruktury
Služba je provozována na cloudové platformě Google Firebase v datových centrech v Evropské unii.
| Komponenta | Poskytovatel | Region |
|---|---|---|
| Hosting aplikace | Google Firebase (Firebase Hosting) | EU |
| Databáze a ukládání dat | Google Firebase (Cloud Firestore) | EU |
| Autentizace uživatelů | Google Firebase (Firebase Authentication) | EU |
| Transakční e-maily | Resend | EU (Irsko, eu-west-1) |
| Ochrana kontaktního formuláře (anti-bot) | Cloudflare Turnstile | EU/US (globální síť) |
2. Synchronizace z Pohody E1
- Synchronizační agent běží v prostředí uživatele a přistupuje k datům systému POHODA E1 pouze pro čtení.
- Komunikaci vždy iniciuje agent směrem do cloudu; do sítě uživatele není vyžadován žádný příchozí vzdálený přístup.
- Data jsou přenášena výhradně šifrovaným spojením (TLS/HTTPS).
- Každá instalace agenta je vázána na konkrétní účet a firmy, ke kterým má oprávnění.
3. Šifrování (čl. 32 odst. 1 písm. a) GDPR)
Přenos dat (in transit): veškerá komunikace mezi prohlížečem a Službou i mezi Synchronizačním agentem a cloudem je šifrována protokolem TLS/HTTPS.
Uložená data (at rest): Google Cloud / Firebase šifruje veškerá uložená data standardně algoritmem AES-256.
4. Důvěrnost a řízení přístupu (čl. 32 odst. 1 písm. b) GDPR)
- Přihlášení: přihlašovací odkaz zaslaný na e-mail, nebo heslo (Firebase Authentication); pozvánky nových uživatelů s odkazem platným 30 dní. Hesla nejsou ukládána v otevřené podobě.
- Session management: časově omezené tokeny s pravidelnou obnovou.
- Přístup podle rolí: role uživatel / účetní / admin určují rozsah oprávnění; každý uživatel vidí pouze firmy, ke kterým mu byl přístup přidělen (zásada need-to-know).
- Vynucení na serveru: oprávnění jsou vynucována bezpečnostními pravidly na straně serveru a nelze je obejít z prohlížeče; data se bez aktivního oprávnění nenačtou.
- Izolace dat: data jednotlivých firem jsou logicky oddělena.
- Organizační opatření: osoby podílející se na provozu Služby jsou vázány mlčenlivostí; přístupy ke správě infrastruktury jsou omezeny na nezbytný okruh osob.
5. Dostupnost a obnova (čl. 32 odst. 1 písm. b) a c) GDPR)
- Infrastruktura Google Firebase poskytuje redundanci a vysokou dostupnost na úrovni datových center.
- Data jsou zálohována; po výmazu primárních dat jsou zálohy odstraněny do 30 dnů.
- Schopnost obnovit dostupnost dat při fyzickém či technickém incidentu je zajištěna postupy obnovy poskytovatele cloudu.
6. Auditní záznamy a pravidelné testování (čl. 32 odst. 1 písm. d) GDPR)
Zaznamenávány jsou zejména tyto události: přihlášení a odhlášení, synchronizace dat, exporty do PDF/Excelu a změny ve správě uživatelů a oprávnění. Záznamy obsahují IP adresu, user-agent, časovou značku a identifikaci uživatele a jsou uchovávány nejdéle 12 měsíců. Účinnost opatření je pravidelně přezkušována a vyhodnocována.
7. Certifikace poskytovatelů
Poskytovatelé infrastruktury disponují nezávisle auditovanými certifikacemi:
| Poskytovatel | Certifikace / soulad |
|---|---|
| Google Cloud / Firebase | SOC 1, SOC 2, SOC 3, ISO/IEC 27001, 27017, 27018 |
| Resend | SOC 2 Type II, GDPR |
| Cloudflare | ISO/IEC 27001, SOC 2 Type II |
8. Bezpečnostní incidenty (čl. 33 a 34 GDPR)
Pro případ porušení zabezpečení osobních údajů je zaveden postup zahrnující detekci (monitoring infrastruktury a logů), izolaci dotčených systémů, nápravu příčiny a ověření integrity dat. Představuje-li porušení riziko pro práva a svobody fyzických osob, ohlásíme je Úřadu pro ochranu osobních údajů bez zbytečného odkladu, pokud možno do 72 hodin od zjištění (čl. 33 GDPR). Představuje-li porušení vysoké riziko, oznámíme je bez zbytečného odkladu rovněž dotčeným subjektům údajů (čl. 34 GDPR). Vystupujeme-li v roli zpracovatele, ohlásíme porušení bez zbytečného odkladu správci (čl. 33 odst. 2 GDPR). Každý incident je následně analyzován a jsou přijata opatření proti opakování.
9. Hlášení zranitelností (responsible disclosure)
Objevíte-li bezpečnostní zranitelnost Služby, nahlaste ji prosím na info@bankstatmate.cz dříve, než ji zveřejníte. Uveďte popis a kroky k reprodukci; neprovádějte destruktivní testování a nepřistupujte k datům jiných uživatelů — neoprávněný přístup k počítačovému systému je trestným činem dle § 230 zákona č. 40/2009 Sb., trestní zákoník. Na hlášení odpovíme do 5 pracovních dnů.
10. Další informace
Bezpečnostní dokumentace poskytovatelů: Google Firebase — firebase.google.com/support/privacy; Google Cloud Security — cloud.google.com/security; Resend — resend.com/security; Cloudflare — cloudflare.com/trust-hub. Informace o zpracování osobních údajů obsahuje dokument Zásady zpracování dat.