Drošība un uzticamība

Spēkā no 2026-10-06 · Latviešu valodas tulkojums; noteicošā ir čehu valodas versija

Uzņēmumi Negotiq platformā uztic aģentiem savas cenas, noteikumus un komerciālos lēmumus. Šajā dokumentā ir aprakstīts, kā mēs aizsargājam Platformu, kā jūs paši varat pārbaudīt ierakstu integritāti, kā mēs rīkojamies incidentu gadījumā un kā mums ziņot par ievainojamību. Dokumentam ir informatīvs raksturs; saistošie personas datu apstrādes pasākumi ir noteikti Datu apstrādes līguma 1. pielikumā. Terminiem, kas rakstīti ar lielo sākumburtu, ir Pakalpojumu noteikumos noteiktā nozīme.

Sertifikācija: Operatoram pagaidām nav ISO/IEC 27001 sertifikāta, SOC 2 ziņojuma vai citas drošības sertifikācijas. Abas ir plānotas. Līdz tam pēc pieprasījuma sniegsim sīkāku informāciju vai aizpildīsim saprātīgu drošības anketu.

1. Ko Platforma nedara

• Tā neglabā naudu. Operators nepieņem, neglabā un nepārskaita Darījumu pušu naudas līdzekļus un nesniedz maksājumu pakalpojumus; maksājumi tiek veikti tieši no Pircēja konta uz Piegādātāja kontu. Platforma tikai attēlo maksājuma norādījumus un uztur ierakstus (Pakalpojumu noteikumu 7. pants).
• Tā neapmāca modeļus ar jūsu datiem. Mēs neizmantojam Lietotāja saturu mākslīgā intelekta modeļu apmācībai; saskaņā ar līgumu ģeneratīvā modeļa nodrošinātājs to apmācībai arī neizmanto.
• Tā neļauj ģeneratīvajam MI vest sarunas. Aģenti ir deterministiskas kārtulas; ģeneratīvais modelis tikai pārveido nestrukturētus cenrāžus, un rezultātu vienmēr pārbauda cilvēks (Mākslīgā intelekta pārvaldības paziņojums).
• Tā jums neseko. Ne lietotne, ne juridiskās lapas neielādē analītikas, reklāmas vai izsekošanas kodu, kā arī trešo personu fontus vai skriptus. Lapas valoda tiek izvēlēta atbilstoši jūsu pārlūkprogrammas iestatījumiem, nevēršoties pie citiem pakalpojumiem.
• Tā nepārdod datus. Mēs nepārdodam ne personas, ne komercdatus; tirgus salīdzinājumi tiek publicēti tikai anonimizētā un apkopotā veidā, pamatojoties uz vismaz divu dažādu Piegādātāju darījumiem.

2. Piekļuve un konti

• Visa saziņa ar Platformu ir šifrēta, izmantojot HTTPS (TLS).
• Paroles tiek glabātas tikai kā Argon2id jaucējvērtības. Atkopšanas kodi, pieteikšanās sesijas un API atslēgas tiek glabātas tikai kā kriptogrāfiskas jaucējvērtības; API atslēga tiek parādīta tikai tās izveides brīdī.
• Sesijas sīkdatne ir HttpOnly, Secure un SameSite=Lax; pieprasījumiem, kas maina datus, mēs pārbaudām Origin galveni (aizsardzība pret CSRF).
• Pēc 5 neveiksmīgiem pieteikšanās mēģinājumiem konts tiek bloķēts uz 15 minūtēm; paroles maiņa izraksta visas ierīces. Uz API attiecas pieprasījumu skaita ierobežojumi.
• To, kurš ko drīkst darīt, nosaka Organizācijas administratora piešķirtās lomas (piemēram, tiesības apstiprināt Piedāvājumus). Organizācijas administrators izveido, nosauc un atsauc API atslēgas un redz Organizācijas audita ierakstus.

3. Klientu nodalīšana

Jebkura piekļuve datiem ir ierobežota ar pieteikušā Lietotāja vai API atslēgas Organizāciju; Platforma noraida jebkuru pieprasījumu pēc citas Organizācijas datiem. Automatizēti testi pārbauda šo nodalīšanu pēc katrām izmaiņām. Demonstrācijas (demo) dati tiek glabāti atsevišķi no reālu uzņēmumu datiem. Pirms Darījuma noslēgšanas otrā puse neredz ne otras puses identitāti, ne tās limitus.

4. Ierakstu integritāte un pārbaudāmība

• Audita ķēde. Būtiskas darbības mēs ierakstām ķēdē, kurai ierakstus var tikai pievienot. Katrs ieraksts satur iepriekšējā ieraksta jaucējvērtību, un datubāzes trigeris bloķē ierakstu grozīšanu vai dzēšanu, tāpēc jebkura neatļauta iejaukšanās ir konstatējama.
• Ed25519 paraksti. Mandāti, Apliecinājumi, AP2 ieraksti (IntentMandate, CartMandate, PaymentMandate) un Audita ķēdes eksporti tiek parakstīti ar Platformas atslēgu. Publiskā atslēga (algoritms, atslēga un atslēgas identifikators) ir pieejama adresē https://app.negotiq.synqflows.com/api/trust/public-key un JWKS formātā adresē https://app.negotiq.synqflows.com/.well-known/jwks.json; AP2 ierakstos paraksti ir JWS formātā (EdDSA). Mandātu, Apliecinājumu un AP2 ierakstu parakstus var pārbaudīt arī tieši ar API verifikācijas galapunktu palīdzību.
• Publiska pārbaude. Adresē https://app.negotiq.synqflows.com/api/trust/chain ikviens var redzēt, vai Audita ķēde ir neskarta, tostarp parakstīto pēdējo jaucējvērtību; https://app.negotiq.synqflows.com/api/trust/status parāda, ka ražošanas vidē netiek izmantotas izstrādes parakstīšanas vai šifrēšanas atslēgas.
• Kustodiāla atestācija. Ierakstus paraksta Operators ar savu atslēgu, nevis ar pušu atslēgām. Paraksts pierāda, ka ieraksts ir radies Platformā un kopš parakstīšanas nav grozīts; pats par sevi tas nepierāda, ka to ir parakstījusi kāda no pusēm — saikni ar rīkojošos personu nodrošina pieteikšanās, lomas un Audita ķēde. Mainot atslēgu, mēs publicēsim jauno atslēgu ar jaunu identifikatoru un saglabāsim agrākās publiskās atslēgas pieejamas vecāku ierakstu pārbaudei.
• Webhook. Paziņojumi tiek parakstīti ar HMAC-SHA256 saskaņā ar Standard Webhooks specifikāciju (galvenes webhook-id, webhook-timestamp, webhook-signature). Pārbaudiet gan parakstu, gan ziņojuma vecumu un glabājiet noslēpumu ārpus pirmkoda.

5. Datu aizsardzība

• Šifrēšana pārsūtīšanas laikā (TLS) un glabāšanā pie mitināšanas pakalpojuma sniedzēja.
• Pieslēgto sistēmu (ERP) piekļuves dati un Webhook parakstīšanas noslēpumi tiek šifrēti ar AES-256-GCM. Piekļuves dati tiek izmantoti tikai cenrāža iegūšanai pēc Lietotāja norādījuma; pieslēgumam iesakām izveidot atsevišķu lietotāju ar tiesībām tikai lasīt un ar minimālajām nepieciešamajām atļaujām.
• Pielikumi tiek pieņemti tikai atļautos formātos un izmēros, tiek izsniegti tikai pilnvarotām personām un vienmēr tikai lejupielādei, nekad netiek attēloti pārlūkprogrammā.
• Vēstules uz Saņemšanas adresi tiek automātiski importētas tikai no Verificētiem sūtītājiem; pārējās gaida apstiprinājumu lietotnē. Sūtītājs, temats, saņemšanas laiks un pielikumi tiek dzēsti pēc 90 dienām.
• Aģenti neuztver cenrāžu, specifikāciju, pielikumu vai e-pasta vēstuļu saturu kā norādījumus (aizsardzība pret norādījumu iepludināšanu jeb prompt injection).
• Par potenciālajiem piegādātājiem mēs glabājam tikai vispārīgo uzņēmuma kontaktinformāciju.

6. Darbība, rezerves kopijas un žurnāli

• Lietotne un datubāze darbojas pie 9. sadaļā norādītā mitināšanas pakalpojuma sniedzēja. Datubāzes rezerves kopijas tiek veidotas regulāri; rezerves kopijas tiek pārrakstītas parastajā ciklā ne vēlāk kā 90 dienu laikā.
• Darbības žurnāli (tostarp IP adreses) un ieraksti par Webhook paziņojumu piegādi tiek glabāti ne ilgāk kā 90 dienas, Audita ķēdes ieraksti — 10 gadus.
• Piekļuve ražošanas videi ir tikai pilnvarotiem Operatora darbiniekiem, kuriem ir saistošs konfidencialitātes pienākums.
• Atkarības ir piesaistītas precīzām versijām. Pēc katrām izmaiņām mēs automātiski testējam drošības invariantus: Organizāciju nodalīšanu, Aģentu robežu ievērošanu un cenas griestu un minimumu konfidencialitāti.

7. Incidenti un paziņošana par pārkāpumiem

1. Katru drošības incidentu mēs izvērtējam, ierobežojam tā ietekmi, novēršam tā cēloni un to dokumentējam.
2. Skartos klientus mēs informējam bez nepamatotas kavēšanās. Par personas datu aizsardzības pārkāpumu attiecībā uz datiem, kurus apstrādājam kā apstrādātājs, mēs paziņojam Pārzinim ne vēlāk kā 48 stundu laikā pēc tam, kad tas kļuvis mums zināms (Datu apstrādes līguma 5. pants).
3. Ja esam pārzinis, mēs paziņojam par personas datu aizsardzības pārkāpumu Čehijas Personas datu aizsardzības birojam 72 stundu laikā pēc tam, kad tas kļuvis mums zināms, ja vien nav maz ticams, ka pārkāpums varētu radīt risku fizisku personu tiesībām un brīvībām (VDAR 33. pants); ja risks ir augsts, mēs bez nepamatotas kavēšanās informējam arī skartās personas (VDAR 34. pants).
4. Pēc incidenta slēgšanas mēs pēc pieprasījuma sniedzam skartajiem klientiem kopsavilkumu par tā cēloņiem un veiktajiem pasākumiem.

8. Ziņošana par ievainojamībām

Lūdzam ziņot par ievainojamībām uz inquiry@negotiq.synqflows.com. Kontaktinformācija un noteikumi ir pieejami arī mašīnlasāmā failā https://app.negotiq.synqflows.com/.well-known/security.txt.

• Norādiet ievainojamības aprakstu, skarto adresi vai saskarni, atkārtošanas soļus un iespējamo ietekmi; saziņa iespējama čehu vai angļu valodā.
• Mēs bez nepamatotas kavēšanās apstiprināsim jūsu ziņojuma saņemšanu, informēsim jūs par virzību un pēc novēršanas ar jūsu piekrišanu jums publiski pateiksimies. Mēs neizmaksājam naudas atlīdzību (bug bounty).
• Noteikumi: testējiet tikai ar saviem kontiem un datiem; citu personu datiem piekļūstiet tikai tiktāl, cik nepieciešams ievainojamības pierādīšanai, neko negroziet un nedzēsiet un neglabājiet iegūtos datus; neveiciet pakalpojumatteices (DoS) uzbrukumus, sociālās inženierijas, pikšķerēšanas vai fiziskus uzbrukumus; nesūtiet masveida vēstules uz Saņemšanas adresēm; neizpaudiet ievainojamību, kamēr mēs to neesam novērsuši vai kamēr nav pagājušas 90 dienas kopš jūsu ziņojuma, ja vien nevienojamies citādi.
• Drošā osta (safe harbour): labticīgi un saskaņā ar šiem noteikumiem veiktu izpēti mēs uzskatām par atļautu un šādā apjomā piekrītam piekļuvei. Mēs neuzsāksim pret jums tiesvedību un neiesniegsim iesniegumu par noziedzīgu nodarījumu, un, ja šādas darbības uzsāks trešā persona, mēs apstiprināsim, ka esat rīkojies saskaņā ar šiem noteikumiem. Mēs nevaram dot piekrišanu trešo personu vārdā (piemēram, mitināšanas pakalpojuma sniedzēja vai Trešo personu pakalpojumu vārdā).

9. Datu atrašanās vieta un apakšapstrādātāji

Saistošais saraksts un izmaiņu noteikumi (paziņojums vismaz 14 dienas iepriekš ar tiesībām iebilst) ir ietverti Datu apstrādes līgumā (4. pants). Organizācijas izvēlētās sistēmas (ERP, produktu plūsmas, Webhook galapunkti, trešo personu aģenti) nav mūsu apstrādātāji; mēs tām nosūtām datus pēc Organizācijas norādījuma.

10. Darbības nepārtrauktība

Mēs cenšamies nodrošināt nepārtrauktu pieejamību, taču bez rakstiski noslēgta pakalpojuma līmeņa līguma (SLA) mēs negarantējam nekādu pieejamības līmeni vai atjaunošanas laiku. Mēs regulāri veidojam datubāzes rezerves kopijas un, ja iespējams, iepriekš paziņojam par plānotajiem apkopes darbiem. Jūs jebkurā laikā bez maksas varat eksportēt savas Organizācijas datus (JSON), kā arī lejupielādēt Apliecinājumus un AP2 ierakstus un pārbaudīt tos ar publisko atslēgu pat bez piekļuves Platformai.

11. Kontakti

• Drošība un ievainojamības: inquiry@negotiq.synqflows.com
• Datu aizsardzība: inquiry@negotiq.synqflows.com
• Citi jautājumi un kontaktpunkts saskaņā ar Digitālo pakalpojumu aktu (DSA): inquiry@negotiq.synqflows.com