Сигурност и доверие

В сила от 2026-10-06 · Превод на български език; предимство има чешката версия

Фирмите в платформата Negotiq поверяват на агентите своите цени, условия и търговски решения. Настоящият документ описва как защитаваме Платформата, как можете сами да проверите интегритета на записите, как се справяме с инциденти и как да ни съобщите за уязвимост. Той има информативен характер; задължителните мерки за обработването на лични данни са определени в Приложение 1 към Споразумението за обработване на лични данни. Термините, изписани с главна буква, имат значението, определено в Общите условия.

Сертификати: Операторът все още не притежава сертификат по ISO/IEC 27001, доклад SOC 2 или друг сертификат за сигурност. И двете са планирани. Дотогава при поискване ще ви предоставим по-подробна информация или ще попълним разумен въпросник за сигурността.

1. Какво Платформата не прави

• Не държи парични средства. Операторът не получава, не държи и не превежда парични средства на страните по Сделките и не предоставя платежни услуги; плащанията се извършват пряко от сметката на Купувача по сметката на Доставчика. Платформата само показва платежни инструкции и води записи (чл. 7 от Общите условия).
• Не обучава модели с вашите данни. Не използваме Съдържанието на Потребителите за обучение на модели на изкуствен интелект; съгласно договора доставчикът на генеративния модел също не го използва за обучение.
• Не оставя генеративния ИИ да преговаря. Агентите представляват детерминистични правила; генеративният модел само преобразува неструктурирани ценови листи, а резултатът винаги се проверява от човек (Политика за използване на изкуствения интелект).
• Не ви проследява. Нито приложението, нито правните страници зареждат аналитичен, рекламен или проследяващ код, нито шрифтове или скриптове на трети страни. Езикът на страницата се определя според настройките на вашия браузър, без запитване към други услуги.
• Не продава данни. Не продаваме нито лични, нито търговски данни; пазарните сравнения се публикуват само в анонимизиран и агрегиран вид въз основа на сделки на най-малко двама различни Доставчици.

2. Достъп и акаунти

• Цялата комуникация с Платформата е криптирана чрез HTTPS (TLS).
• Паролите се съхраняват само като хеш Argon2id. Кодовете за възстановяване, сесиите за вход и API ключовете се съхраняват само като криптографски хеш; API ключът се показва само при създаването му.
• Бисквитката на сесията е HttpOnly, Secure и SameSite=Lax; при заявките, които променят данни, проверяваме заглавката Origin (защита срещу CSRF).
• След 5 неуспешни опита за влизане акаунтът се заключва за 15 минути; смяната на паролата води до излизане от профила на всички устройства. API е предмет на ограничения на броя на заявките.
• Кой какво може да прави, се определя от ролите, които предоставя Администраторът на Организацията (например правото да одобрява Оферти). Администраторът на Организацията създава, именува и отменя API ключовете и вижда одитните записи на своята Организация.

3. Разделяне на клиентите

Всеки достъп до данни е ограничен до Организацията на влезлия в профила си Потребител или на API ключа; Платформата отхвърля всяка заявка за данни на друга Организация. Автоматизирани тестове проверяват това разделяне при всяка промяна. Демонстрационните (демо) данни са отделени от данните на реалните фирми. Преди сключването на Сделката насрещната страна не вижда нито самоличността, нито лимитите на другата страна.

4. Интегритет и проверимост на записите

• Одитна верига. Вписваме съществените действия във верига, към която записи могат единствено да се добавят. Всеки запис съдържа хеша на предходния запис, а тригер в базата данни блокира промяната или изтриването на записи, така че всяка намеса може да бъде открита.
• Подписи Ed25519. Мандатите, Потвържденията, Записите AP2 (IntentMandate, CartMandate, PaymentMandate) и експортите на Одитната верига се подписват с ключа на Платформата. Публичният ключ (алгоритъм, ключ и идентификатор на ключа) е достъпен на адрес https://app.negotiq.synqflows.com/api/trust/public-key, а във формат JWKS — на https://app.negotiq.synqflows.com/.well-known/jwks.json; Записите AP2 носят подписи във формат JWS (EdDSA). Подписите на Мандатите, Потвържденията и Записите AP2 могат да бъдат проверени и директно чрез крайните точки за проверка на API.
• Публична проверка. На адрес https://app.negotiq.synqflows.com/api/trust/chain всеки може да провери дали Одитната верига е ненарушена, включително подписания последен хеш; https://app.negotiq.synqflows.com/api/trust/status показва, че производствената среда не използва ключове за подписване или криптиране, предназначени за разработка.
• Удостоверяване от доверител (custodial attestation). Записите се подписват от Оператора с неговия собствен ключ, а не с ключове на страните. Подписът доказва, че записът е възникнал в Платформата и не е бил променян след подписването; сам по себе си той не доказва, че страната го е подписала — връзката с действащото лице се осигурява чрез влизането в профила, ролите и Одитната верига. При смяна на ключа ще публикуваме новия ключ с нов идентификатор и ще запазим предишните публични ключове достъпни за проверка на по-старите записи.
• Webhook-и. Известията се подписват с HMAC-SHA256 съгласно спецификацията Standard Webhooks (заглавки webhook-id, webhook-timestamp, webhook-signature). Проверявайте както подписа, така и възрастта на съобщението и съхранявайте тайния ключ извън изходния код.

5. Защита на данните

• Криптиране при пренос (TLS) и при съхранение при доставчика на хостинг.
• Данните за достъп до свързаните системи (ERP) и тайните ключове за подписване на Webhook-и се криптират с алгоритъма AES-256-GCM. Данните за достъп се използват само за извличане на ценовата листа по указание на Потребителя; препоръчваме за свързването да създадете отделен потребител с права само за четене и с минимално необходимия обхват на правата.
• Прикачени файлове се приемат само в разрешени формати и размери, предоставят се само на оправомощени лица и винаги като файлове за изтегляне, а никога не се визуализират в браузъра.
• Съобщенията до Адреса за входящи имейли се импортират автоматично само от Проверени податели; останалите очакват потвърждение в приложението. Подателят, темата, времето на получаване и прикачените файлове се изтриват след 90 дни.
• Агентите не възприемат съдържанието на ценови листи, спецификации, прикачени файлове или имейли като указания (защита срещу вмъкване на указания, т.нар. prompt injection).
• За потенциалните доставчици поддържаме само общи фирмени данни за контакт.

6. Експлоатация, резервни копия и журнали

• Приложението и базата данни работят при доставчика на хостинг, посочен в раздел 9. Базата данни се архивира редовно; резервните копия се презаписват в рамките на обичайния цикъл най-късно в срок от 90 дни.
• Оперативните журнали (включително IP адресите) и записите за доставката на Webhook-и се съхраняват най-много 90 дни, а записите от Одитната верига — 10 години.
• Достъп до производствената среда имат само оправомощени служители на Оператора, обвързани със задължение за поверителност.
• Зависимостите са фиксирани към точни версии. При всяка промяна автоматично тестваме инвариантите за сигурност: разделянето на Организациите, спазването на ограниченията на Агентите и поверителността на таваните и минимумите.

7. Инциденти и уведомяване за нарушения

1. Оценяваме всеки инцидент със сигурността, ограничаваме въздействието му, отстраняваме причината за него и го документираме.
2. Информираме засегнатите клиенти без неоправдано забавяне. За нарушение на сигурността на личните данни, които обработваме като обработващ лични данни, уведомяваме Администратора най-късно в срок от 48 часа, след като сме узнали за него (чл. 5 от Споразумението за обработване на лични данни).
3. Когато сме администратор, уведомяваме чешката Служба за защита на личните данни за нарушение на сигурността на личните данни в срок от 72 часа, след като сме узнали за него, освен ако не съществува вероятност нарушението да породи риск за правата и свободите на физическите лица (член 33 от ОРЗД); при висок риск уведомяваме без неоправдано забавяне и засегнатите лица (член 34 от ОРЗД).
4. След приключване на инцидента предоставяме на засегнатите клиенти при поискване обобщение на причините и на предприетите мерки.

8. Съобщаване за уязвимости

Моля, съобщавайте ни за уязвимости на inquiry@negotiq.synqflows.com. Данните за контакт и правилата са достъпни и в машинночетимия файл https://app.negotiq.synqflows.com/.well-known/security.txt.

• Посочете описание на уязвимостта, засегнатия адрес или интерфейс, стъпките за възпроизвеждане и възможното въздействие; комуникацията може да се води на чешки или на английски език.
• Ще потвърдим получаването на съобщението без неоправдано забавяне, ще ви информираме за напредъка и след отстраняването, с ваше съгласие, ще ви изкажем публично благодарност. Не изплащаме парични възнаграждения (bug bounty).
• Правила: тествайте само със собствени акаунти и данни; осъществявайте достъп до данни на други лица само в степента, необходима за доказване на уязвимостта, не променяйте и не изтривайте нищо и не съхранявайте получените данни; не извършвайте атаки за отказ на услуга (DoS), социално инженерство, фишинг или физически атаки; не изпращайте масови съобщения до Адресите за входящи имейли; не разгласявайте уязвимостта, докато не я отстраним или докато не изтекат 90 дни от съобщаването ѝ, освен ако не договорим друго.
• Сигурно пристанище (safe harbour): Считаме за разрешено изследването, извършено добросъвестно и в съответствие с тези правила, и даваме съгласие за достъп в този обхват. Няма да предприемаме правни действия срещу вас, нито да подаваме сигнал за престъпление, а ако трето лице предприеме такива действия, ще потвърдим, че сте действали в съответствие с тези правила. Не можем да дадем съгласие от името на трети лица (например доставчика на хостинг или на Услуги на трети страни).

9. Местоположение на данните и подизпълнители по обработването

Задължителният списък и правилата за промени (уведомяване най-малко 14 дни предварително с право на възражение) се съдържат в Споразумението за обработване на лични данни (чл. 4). Системите, избрани от Организацията (ERP, продуктови фийдове, крайни точки на Webhook-и, агенти на трети страни), не са наши обработващи лични данни; предаваме им данни по нейно указание.

10. Непрекъснатост на дейността

Стремим се към непрекъсната наличност, но без писмено договорено споразумение за ниво на обслужване (SLA) не гарантираме никакво ниво на наличност или срок за възстановяване. Редовно архивираме базата данни и обявяваме планираната поддръжка предварително, когато това е възможно. Можете по всяко време безплатно да експортирате данните на своята Организация (JSON), както и да изтеглите Потвържденията и Записите AP2 и да ги проверите с публичния ключ дори без достъп до Платформата.

11. Контакт

• Сигурност и уязвимости: inquiry@negotiq.synqflows.com
• Защита на личните данни: inquiry@negotiq.synqflows.com
• Други запитвания и звено за контакт съгласно Акта за цифровите услуги: inquiry@negotiq.synqflows.com