Bezpečnosť a ochrana dát

Bezpečnosť vašich dát je našou prioritou

Dáta prenášame šifrovane a ukladáme ich primárne v EÚ; zálohy šifrujeme. Transparentne ukazujeme, ako ich chránime.

Ochrana osobných údajov (GDPR)

Hosting v EÚ

Šifrovaný prenos aj zálohy

Denné zálohy

2FA

OWASP Top 10

Kde sú vaše dáta

Aplikácia a databáza bežia na virtuálnom serveri Hetzner Cloud v Norimbergu (Nemecko), ktorý prevádzkujeme len pre vlastné služby — nejde o zdieľaný hosting. Zálohy a nahrané súbory ukladáme u Backblaze v EÚ (Amsterdam). Organizácie sú v jednej databáze a oddelené na úrovni každého záznamu. Služby amerických poskytovateľov (Anthropic, OpenAI, Backblaze, Resend, Sentry) sa opierajú o EU–US Data Privacy Framework alebo štandardné zmluvné doložky (SCC) — pozri Ďalší sprostredkovatelia.

Dátové centrum: Hetzner Cloud, Nemecko (EÚ)

Infraštruktúra: Virtuálny server Hetzner Cloud len pre Můj Výkaz, organizácie oddelené na úrovni záznamov

Systémová bezpečnosť: Automatické bezpečnostné aktualizácie, hardening podľa osvedčených postupov

Sieťová ochrana: Firewall + intrusion prevention

Prístup pre vývoj: Autentifikácia kľúčmi, žiadne heslá

Primárny hosting v EÚ

Databáza a server v Nemecku, americké integrácie cez DPF/SCC

Vlastný server v Nemecku (Norimberg)

Americké služby (Anthropic, OpenAI, Backblaze, Resend, Sentry, Stripe) cez EU–US DPF alebo SCC

Šifrované zálohy v regióne EÚ (Backblaze B2)

DPA podľa čl. 28 GDPR

Automatické bezpečnostné aktualizácie

SSL certifikáty Let’s Encrypt

Šifrovanie

Vaše dáta sú chránené na všetkých úrovniach — pri uložení, pri prenose aj v zálohách.

AES-256-GCM

At rest (uložené dáta)

Šifrovanie citlivých tajomstiev pomocou AES-256-GCM — OAuth tokeny (Fakturoid, iDoklad, Google Kalendár, Freelo), podpisové tajomstvá webhookov. Každý záznam je šifrovaný samostatne s jedinečným IV. Heslá sú hašované algoritmom scrypt, API kľúče pomocou HMAC-SHA256 s pepperom.

TLS 1.3

In transit (prenos dát)

Všetka komunikácia cez TLS 1.3. HSTS s ročnou platnosťou a direktívou preload. Žiadne dáta sa neprenášajú nešifrovaným kanálom.

GPG RSA-4096

Zálohy

Denne šifrované zálohy databázy pomocou GPG (RSA-4096). Dešifrovať ich môže len držiteľ súkromného kľúča. Zálohy sa zašifrujú ešte pred odoslaním na úložisko mimo servera.

Hierarchia rolí

Vlastník

Úplná kontrola, prevod vlastníctva, zmazanie organizácie

Administrátor

Správa používateľov, nastavenia, fakturácia, integrácie

Správa nárokov na dovolenku, neprítomnosti, podklady pre mzdy

Manažér

Schvaľovanie výkazov; peniaze len pri pridelených klientoch

Účtovník

Faktúry, finančné reporty, export do účtovných systémov

Člen

Vlastné výkazy a neprítomnosti; zdieľané úlohy a plán práce; finančné údaje ostatných nevidí

Riadenie prístupu

Každý používateľ má prístup len k tomu, čo naozaj potrebuje. 6 úrovní rolí s jemne nastaviteľnými oprávneniami.

Manažér vidí peniaze len pri pridelených klientoch; hodiny, úlohy a plán práce sú v organizácii zdieľané

2FA/TOTP — voliteľné dvojfaktorové overenie pre všetky roly

Správa relácií — platnosť 7 dní, denné obnovenie

API kľúče — hašovanie HMAC-SHA256 s pepperom (defense-in-depth proti offline cracking), rate limiting 120 req/min, najviac 5 na používateľa

Heslá — min. 8 znakov, veľké písmeno, číslica, špeciálny znak

Zálohovanie

Viacúrovňová stratégia zálohovania zaisťuje, že vaše dáta sú v bezpečí aj v najhoršom scenári.

Denné automatické zálohy databázy (03:00 UTC)

Šifrované GPG (RSA-4096) pred odoslaním kamkoľvek

Lokálna retencia: 14 dní na serveri

Offsite retencia: 30 dní na Backblaze B2 (región EÚ)

Snapshoty celého servera (Hetzner Cloud Backups, 7 dní)

03:00

UTC

Denná záloha

dní

Lokálna retencia

dní

Offsite retencia

RSA

4096

Šifrovanie GPG

Audit a monitoring

Každá zmena sa zaznamená. Každá chyba sa okamžite nahlási. Bezpečnosť celej aplikácie pravidelne kontrolujeme.

Audit log

Kompletný záznam o tom, kto čo kedy zmenil, vrátane IP adresy. Dá sa filtrovať a exportovať. Dostupný v Nastaveniach (administrátor a vlastník), zahrnutý aj v exporte podľa čl. 20 GDPR (posledných 365 dní akcií používateľa).

Sentry error tracking

Okamžité hlásenie chýb; predvolené osobné údaje (IP, cookies, telo požiadavky) sa neodosielajú — záznam nesie len identifikátor používateľa a organizácie a technický kontext. Dáta v EÚ.

Interný bezpečnostný audit

Pravidelný interný audit podľa metodiky OWASP Top 10. Kontrolujeme všetkých 10 kategórií rizík a výsledky premietame do kódu.

Plausible Analytics

Analytika na vlastnom serveri, bez cookies. Šetrná ku GDPR, žiadne sledovanie používateľov.

Ochrana proti útokom

Rate limiting

Distribuovaný rate limiting na všetkých endpointoch

Prevencia SQL injection

Whitelist tabuliek + parametrizované dopyty

CSP hlavičky

Content Security Policy bez unsafe-eval

X-Frame-Options

DENY — ochrana proti clickjackingu

Timing-safe porovnanie

Pre API kľúče a tokeny (crypto.timingSafeEqual)

HSTS

Platnosť 1 rok s direktívou preload

CSRF hardening

Cron endpointy len cez POST, explicitné smerovanie ?org= pri viacerých organizáciách

Webhooky HMAC-SHA256

24 typov udalostí s podpisom, 3 opakované pokusy, automatické vypnutie po 10 zlyhaniach

Stripe idempotency

Deduplikácia v databáze, 30-dňové okno, bezpečné pri viacerých replikách

Súlad s GDPR

Súlad s nariadením EÚ 2016/679 (GDPR) nie je len zaškrtávacie políčko — je to základ nášho prístupu k vývoju a prevádzke služby.

Zásady ochrany osobných údajov — Kompletný dokument pokrývajúci čl. 13/14 GDPR (v češtine)

Export dát (čl. 20) — Jedným klikom stiahnete všetky svoje dáta vo formáte JSON

Vymazanie účtu (čl. 17) — Právo na zabudnutie — anonymizácia profilu, zmazanie prihlasovacích údajov

Záznam o prijatí podmienok — Kto, kedy a ktoré znenie podmienok a zmluvy o spracúvaní prijal

Minimalizácia údajov — Spracúvame len údaje nutné na prevádzku služby

DPA pre B2B — Zmluva o spracúvaní osobných údajov podľa čl. 28 GDPR — zverejnená na mujvykaz.cz/dpa (v češtine), súčasť podmienok

Reakcia na incidenty — Pri údajoch organizácií informujeme do 48 hodín vlastníka organizácie (prevádzkovateľa), ktorý rozhoduje o ohlásení dozornému orgánu; pri údajoch, za ktoré zodpovedáme my, hlásime incident českému Úradu pre ochranu osobných údajov (ÚOOÚ) do 72 hodín (čl. 33 GDPR).

Zásady ochrany osobných údajov (v češtine)

Kompletný dokument na čítanie

Obchodné podmienky (v češtine)

Podmienky používania služby

DPA (zmluva o spracúvaní) (v češtine)

Zmluva o spracúvaní osobných údajov

Ďalší sprostredkovatelia

Kto spracúva údaje, ktoré do aplikácie zadávate. Záväzný zoznam je v zmluve o spracúvaní osobných údajov (DPA, v češtine).

Sprostredkovateľ	Sídlo	Účel	Spracúvané dáta
Hetzner Online GmbH	EÚNorimberg, Nemecko	Server a databáza	Všetky dáta (server v EÚ)
Backblaze, Inc.	DPF/SCCUSA (dáta v EÚ, Amsterdam)	Kópie záloh; nahrané súbory (prílohy, doklady k nákladom)	Zálohy šifrované naším kľúčom; súbory šifrované na strane úložiska
Anthropic Ireland, Limited	DPF/SCCÍrsko (spracúvanie v USA)	AI reporty, chat podpory, čítanie dokladov	Text otázok a dopytov (AI reporty nedostávajú výsledky z databázy); súbory dokladov s názvami stredísk, klientov a kategórií na návrh zaradenia. Dáta nepoužíva na trénovanie modelov
OpenAI Ireland Ltd.	DPF/SCCÍrsko (spracúvanie aj v USA)	Záložná AI — len pri výpadku AI od Anthropicu (AI reporty; po nasadení zálohy aj chat podpory a čítanie dokladov)	Rovnaké údaje ako Anthropic pre tie isté funkcie; uchováva ich spravidla najviac 30 dní, nepoužíva ich na trénovanie modelov
Resend, Inc.	DPF/SCCUSA	Odosielanie e-mailov	E-mailové adresy, mená, obsah e-mailu
Sentry (Functional Software, Inc.)	DPF/SCCUSA (dáta v EÚ, Nemecko)	Zachytávanie chýb aplikácie	Diagnostické záznamy o chybách — môžu obsahovať ID používateľa a kontext požiadavky

Prenos do USA sa opiera o EU–US Data Privacy Framework (pri certifikovaných firmách) a štandardné zmluvné doložky (SCC); pri Anthropicu a OpenAI o SCC. O zamýšľanej zmene ďalších sprostredkovateľov informujeme vlastníkov organizácií e-mailom najmenej 14 dní vopred (DPA bod 6.2). Stripe spracúva platby nášho predplatného — tieto údaje spracúvame ako prevádzkovateľ (pozri Zásady), nejde o údaje zadané do aplikácie. Prihlásenie účtom Google a Google Kalendár si používateľ zapína sám; Google ich spracúva podľa svojich podmienok.

Často kladené otázky

Kde sú moje dáta?

Vaše dáta sú uložené na virtuálnom serveri Hetzner Cloud v Norimbergu (Nemecko), ktorý prevádzkujeme len pre vlastné služby (aplikácia, web a jeho analytika, testovacie prostredie s oddelenou databázou) — nejde o zdieľaný hosting. Organizácie sú v jednej databáze a oddelené na úrovni každého záznamu. Primárny hosting a databáza sú v EÚ. Niektoré služby (AI, e-mail, platby, zachytávanie chýb) zabezpečujú poskytovatelia z USA; prenos sa opiera o EU–US Data Privacy Framework alebo štandardné zmluvné doložky (SCC). Prehľad je v sekcii Ďalší sprostredkovatelia nižšie a v zmluve o spracúvaní (mujvykaz.cz/dpa, v češtine). Zálohy sú šifrované (GPG, RSA-4096) a uložené lokálne (14 dní) aj mimo servera na Backblaze B2 v regióne EÚ (30 dní).

Máte DPA (zmluvu o spracúvaní osobných údajov)?

Áno. Zmluva o spracúvaní osobných údajov podľa čl. 28 GDPR je zverejnená na mujvykaz.cz/dpa (v češtine) a je súčasťou podmienok používania — uzatvára sa spolu s nimi. Pokrýva zabezpečenie, ďalších sprostredkovateľov, dobu spracúvania a práva prevádzkovateľa. Na požiadanie ju v rovnakom znení podpíšeme aj samostatne (info@mujvykaz.cz).

Je Můj Výkaz v súlade s GDPR?

Ochranu osobných údajov máme zapracovanú do služby aj do zmlúv: zverejnená zmluva o spracúvaní osobných údajov (mujvykaz.cz/dpa), zásady ochrany osobných údajov, export údajov podľa čl. 15 a 20, vymazanie účtu podľa čl. 17, záznam o prijatí podmienok a minimalizácia údajov (spracúvame len to, čo služba potrebuje). Nezávislú certifikáciu zatiaľ nemáme.

Máte zodpovednú osobu (DPO)?

Zodpovednú osobu (DPO) v súčasnosti nemenujeme, pretože ako malá firma nespracúvame osobné údaje vo veľkom rozsahu (čl. 37 GDPR). Údaje o zdraví (typ neprítomnosti „choroba“) spracúvame len ako sprostredkovateľ pre zákazníkov a v malom rozsahu. Otázky k bezpečnosti posielajte na info@mujvykaz.cz — každý podnet riešime osobne.

Máte otázku k bezpečnosti?

Napíšte nám na info@mujvykaz.cz — každý podnet riešime osobne a odpovedáme do 48 hodín (po česky).

Napísať bezpečnostnému tímu Vyskúšať zadarmo