Biztonság és bizalom

Hatályos 2026-10-06 napjától · Magyar nyelvű fordítás; a cseh nyelvű változat az irányadó

A Negotiq platformot használó vállalatok áraikat, feltételeiket és üzleti döntéseiket ügynökökre bízzák. Ez a dokumentum ismerteti, hogyan védjük a Platformot, hogyan ellenőrizheti Ön maga a nyilvántartások sértetlenségét, hogyan kezeljük az incidenseket, és hogyan jelenthet be nekünk sebezhetőséget. A dokumentum tájékoztató jellegű; a személyes adatok kezelésére vonatkozó kötelező intézkedéseket az Adatfeldolgozási Szerződés 1. melléklete határozza meg. A nagy kezdőbetűvel írt fogalmak jelentése az Általános Szerződési Feltételekben meghatározott.

Tanúsítások: Az Üzemeltető jelenleg nem rendelkezik ISO/IEC 27001 tanúsítással, SOC 2 jelentéssel vagy más biztonsági tanúsítással. Mindkettőt tervezzük. Addig kérésre részletesebb tájékoztatást nyújtunk, vagy kitöltünk egy észszerű terjedelmű biztonsági kérdőívet.

1. Amit a Platform nem tesz

• Nem kezel pénzt. Az Üzemeltető nem fogadja, nem tartja és nem utalja át az Ügyletekben részt vevő felek pénzeszközeit, és nem nyújt pénzforgalmi szolgáltatást; a kifizetések közvetlenül a Vevő számlájáról a Szállító számlájára történnek. A Platform csupán megjeleníti a fizetési utasításokat és nyilvántartást vezet (az Általános Szerződési Feltételek 7. cikke).
• Nem tanít modelleket az Ön adatain. A Felhasználói Tartalmat nem használjuk mesterségesintelligencia-modellek tanítására; a generatív modell szolgáltatója a szerződés szerint szintén nem használja azt tanításra.
• Nem hagyja, hogy generatív MI tárgyaljon. Az Ügynökök determinisztikus szabályok; a generatív modell csak a strukturálatlan árlistákat alakítja át, és az eredményt mindig ember ellenőrzi (MI-használati Elvek).
• Nem követi nyomon Önt. Sem az alkalmazás, sem a jogi oldalak nem töltenek be analitikai, reklám- vagy nyomkövető kódokat, sem harmadik felektől származó betűtípusokat vagy szkripteket. Az oldal nyelvét a böngésző beállításai alapján választjuk meg, más szolgáltatások lekérdezése nélkül.
• Nem értékesít adatokat. Sem személyes, sem üzleti adatokat nem értékesítünk; a piaci összehasonlításokat kizárólag anonimizált és összesített formában, legalább két különböző Szállító ügyleteiből tesszük közzé.

2. Hozzáférés és fiókok

• A Platformmal folytatott valamennyi kommunikáció titkosítva, HTTPS-en (TLS) keresztül zajlik.
• A jelszavakat kizárólag Argon2id-lenyomatként tároljuk. A helyreállítási kódokat, a bejelentkezési munkameneteket és az API-kulcsokat kizárólag kriptográfiai lenyomatként tároljuk; az API-kulcs csak létrehozásakor jelenik meg.
• A munkamenet-cookie HttpOnly, Secure és SameSite=Lax; az adatokat módosító kéréseknél ellenőrizzük az Origin fejlécet (CSRF elleni védelem).
• 5 sikertelen bejelentkezési kísérlet után a fiók 15 percre zárolódik; a jelszó módosítása valamennyi eszközön kijelentkezést eredményez. Az API-ra a kérések számára vonatkozó korlátok vonatkoznak.
• Azt, hogy ki mit tehet, a Szervezeti Adminisztrátor által kiosztott szerepkörök határozzák meg (pl. az Ajánlatok jóváhagyására való jogosultság). A Szervezeti Adminisztrátor hozza létre, nevezi el és vonja vissza az API-kulcsokat, és látja a Szervezete auditnaplóit.

3. Az ügyfelek elkülönítése

Az adatokhoz való minden hozzáférés a bejelentkezett Felhasználó vagy az API-kulcs Szervezetére korlátozódik; a Platform elutasítja a más Szervezet adataira irányuló kéréseket. Az elkülönítést minden változtatáskor automatizált tesztek ellenőrzik. A bemutató (demo) adatok el vannak különítve a valós vállalatok adataitól. Az Ügylet megkötése előtt az ellenérdekű fél nem látja a másik fél kilétét és limitjeit.

4. A nyilvántartások sértetlensége és ellenőrizhetősége

• Auditlánc. A lényeges műveleteket olyan láncba rögzítjük, amelyhez bejegyzések csak hozzáadhatók. Minden bejegyzés tartalmazza az előző bejegyzés lenyomatát (hash), a bejegyzések módosítását vagy törlését pedig adatbázis-trigger akadályozza meg, így bármilyen beavatkozás észlelhető.
• Ed25519 aláírások. A Mandátumokat, a Visszaigazolásokat, az AP2-Rekordokat (IntentMandate, CartMandate, PaymentMandate) és az Auditlánc exportjait a Platform kulcsával írjuk alá. A nyilvános kulcs (algoritmus, kulcs és annak azonosítója) a(z) https://app.negotiq.synqflows.com/api/trust/public-key címen, JWKS formátumban pedig a(z) https://app.negotiq.synqflows.com/.well-known/jwks.json címen érhető el; az AP2-Rekordok JWS formátumú (EdDSA) aláírást hordoznak. A Mandátumok, a Visszaigazolások és az AP2-Rekordok aláírása közvetlenül az API ellenőrző végpontjain keresztül is ellenőrizhető.
• Nyilvános ellenőrzés. A(z) https://app.negotiq.synqflows.com/api/trust/chain címen bárki megállapíthatja, hogy az Auditlánc sértetlen-e, az aláírt utolsó lenyomattal együtt; a(z) https://app.negotiq.synqflows.com/api/trust/status cím azt mutatja, hogy az éles környezet nem használ fejlesztői aláíró vagy titkosító kulcsokat.
• Letétkezelői (custodial) tanúsítás. A nyilvántartásokat az Üzemeltető a saját kulcsával írja alá, nem a felek kulcsaival. Az aláírás bizonyítja, hogy a nyilvántartás a Platformon keletkezett, és az aláírás óta nem módosult; önmagában nem bizonyítja, hogy azt valamelyik fél aláírta — az eljáró személyhez való kapcsolatot a bejelentkezés, a szerepkörök és az Auditlánc biztosítja. A kulcs cseréjekor az új kulcsot új azonosítóval tesszük közzé, a korábbi nyilvános kulcsokat pedig a régebbi nyilvántartások ellenőrzése céljából továbbra is elérhetővé tesszük.
• Webhookok. Az értesítéseket HMAC-SHA256-tal írjuk alá a Standard Webhooks specifikáció szerint (webhook-id, webhook-timestamp, webhook-signature fejlécek). Ellenőrizze az aláírást és az üzenet korát is, a titkos kulcsot pedig a forráskódon kívül tárolja.

5. Adatvédelem

• Titkosítás továbbítás közben (TLS) és tárolás közben a tárhelyszolgáltatónál.
• A csatlakoztatott rendszerekhez (ERP) való hozzáférési adatokat és a Webhookok aláírási titkos kulcsait AES-256-GCM algoritmussal titkosítjuk. A hozzáférési adatokat kizárólag az árlista letöltésére használjuk a Felhasználó utasítására; javasoljuk, hogy a csatlakozáshoz hozzon létre egy kizárólag olvasási jogosultsággal és a lehető legszűkebb szükséges jogosultsági körrel rendelkező felhasználót.
• Mellékleteket kizárólag engedélyezett formátumban és méretben fogadunk el, azokat kizárólag jogosult személyek számára és mindig letöltésként adjuk ki, a böngészőben való megjelenítésre soha.
• A Fogadó E-mail-címre érkező üzeneteket csak Ellenőrzött Feladóktól importáljuk automatikusan; a többi üzenet az alkalmazásban megerősítésre vár. A feladót, a tárgyat, a beérkezés időpontját és a mellékleteket 90 nap elteltével töröljük.
• Az Ügynökök az árlisták, specifikációk, mellékletek vagy e-mailek tartalmát nem kezelik utasításként (védelem az utasítások becsempészése, ún. prompt injection ellen).
• A potenciális szállítókról kizárólag általános vállalati elérhetőségeket tartunk nyilván.

6. Üzemeltetés, biztonsági mentések és naplók

• Az alkalmazás és az adatbázis a 9. pontban megnevezett tárhelyszolgáltatónál fut. Az adatbázisról rendszeresen biztonsági mentést készítünk; a biztonsági mentések a szokásos ciklusban, legkésőbb 90 napon belül felülíródnak.
• Az üzemi naplókat (beleértve az IP-címeket) és a Webhookok kézbesítésére vonatkozó nyilvántartásokat legfeljebb 90 napig, az Auditlánc bejegyzéseit 10 évig őrizzük meg.
• Az éles környezethez kizárólag az Üzemeltető titoktartásra kötelezett, megbízott munkatársai férhetnek hozzá.
• A függőségeket pontosan rögzített verziókban használjuk. Minden változtatáskor automatikusan teszteljük a biztonsági invariánsokat: a Szervezetek elkülönítését, az Ügynökök korlátainak betartását, valamint az árplafonok és minimumok bizalmasságát.

7. Incidensek és az incidensek bejelentése

1. Minden biztonsági incidenst értékelünk, korlátozzuk annak hatását, megszüntetjük okát, és dokumentáljuk.
2. Az érintett ügyfeleket indokolatlan késedelem nélkül tájékoztatjuk. Az általunk adatfeldolgozóként kezelt személyes adatokat érintő adatvédelmi incidenst a tudomásszerzéstől számított legkésőbb 48 órán belül bejelentjük az Adatkezelőnek (az Adatfeldolgozási Szerződés 5. cikke).
3. Ha mi vagyunk az adatkezelő, az adatvédelmi incidenst a tudomásszerzéstől számított 72 órán belül bejelentjük a cseh Személyesadat-védelmi Hivatalnak, kivéve, ha az incidens valószínűsíthetően nem jár kockázattal a természetes személyek jogaira és szabadságaira nézve (a GDPR 33. cikke); magas kockázat esetén az érintetteket is indokolatlan késedelem nélkül tájékoztatjuk (a GDPR 34. cikke).
4. Az incidens lezárását követően kérésre az érintett ügyfeleknek összefoglalót adunk annak okairól és a megtett intézkedésekről.

8. Sebezhetőségek bejelentése

Kérjük, hogy a sebezhetőségeket a(z) inquiry@negotiq.synqflows.com címen jelentse be. Az elérhetőségek és a szabályok a(z) https://app.negotiq.synqflows.com/.well-known/security.txt gépileg olvasható fájlban is megtalálhatók.

• Adja meg a sebezhetőség leírását, az érintett címet vagy interfészt, a reprodukálás lépéseit és a lehetséges hatást; a kommunikáció cseh vagy angol nyelven folyhat.
• A bejelentés beérkezését indokolatlan késedelem nélkül visszaigazoljuk, tájékoztatjuk Önt az előrehaladásról, és a javítást követően hozzájárulásával nyilvánosan köszönetet mondunk Önnek. Pénzbeli jutalmat (bug bounty) nem fizetünk.
• Szabályok: kizárólag saját fiókjain és adatain teszteljen; más személyek adataihoz csak a sebezhetőség bizonyításához szükséges mértékben férjen hozzá, semmit ne módosítson vagy töröljön, és a megszerzett adatokat ne őrizze meg; ne hajtson végre szolgáltatásmegtagadással járó (DoS) támadást, social engineeringet, adathalászatot (phishing) vagy fizikai támadást; ne küldjön tömeges üzeneteket a Fogadó E-mail-címekre; a sebezhetőséget ne hozza nyilvánosságra, amíg azt ki nem javítottuk, vagy amíg a bejelentéstől számított 90 nap el nem telt, hacsak másként nem állapodunk meg.
• Biztonságos kikötő (safe harbour): A jóhiszeműen és e szabályokkal összhangban végzett kutatást jogosultnak tekintjük, és az ilyen terjedelmű hozzáféréshez hozzájárulásunkat adjuk. Önnel szemben nem indítunk jogi lépéseket és nem teszünk büntetőfeljelentést, és ha ilyen lépéseket harmadik személy kezdeményezne, megerősítjük, hogy Ön e szabályokkal összhangban járt el. Harmadik felek (pl. a tárhelyszolgáltató vagy a Harmadik Felek Szolgáltatásai) nevében hozzájárulást nem adhatunk.

9. Az adatok helye és a további adatfeldolgozók

A kötelező érvényű listát és a változtatások szabályait (legalább 14 nappal korábbi értesítés, kifogásolási lehetőséggel) az Adatfeldolgozási Szerződés (4. cikk) tartalmazza. A Szervezet által választott rendszerek (ERP, termékfeedek, Webhook-végpontok, harmadik felek ügynökei) nem a mi adatfeldolgozóink; az adatokat a Szervezet utasítására továbbítjuk számukra.

10. Az üzletmenet folytonossága

Törekszünk a folyamatos rendelkezésre állásra, azonban írásban megkötött szolgáltatásszint-megállapodás (SLA) hiányában semmilyen rendelkezésre állási szintet vagy helyreállítási időt nem garantálunk. Az adatbázisról rendszeresen biztonsági mentést készítünk, a tervezett karbantartást pedig lehetőség szerint előre bejelentjük. Szervezete adatait bármikor díjmentesen exportálhatja (JSON), a Visszaigazolásokat és az AP2-Rekordokat pedig letöltheti, és a nyilvános kulccsal a Platformhoz való hozzáférés nélkül is ellenőrizheti.

11. Kapcsolat

• Biztonság és sebezhetőségek: inquiry@negotiq.synqflows.com
• Személyes adatok védelme: inquiry@negotiq.synqflows.com
• Egyéb kérdések és a DSA szerinti kapcsolattartási pont: inquiry@negotiq.synqflows.com