Bezpieczeństwo i zaufanie

Obowiązuje od 2026-10-06 · tłumaczenie na język polski; rozstrzygające znaczenie ma wersja czeska

Firmy korzystające z Negotiq powierzają agentom swoje ceny, warunki i decyzje handlowe. Niniejszy dokument opisuje, jak chronimy Platformę, jak mogą Państwo samodzielnie zweryfikować integralność zapisów, jak postępujemy w przypadku incydentów i jak zgłosić nam podatność. Ma on charakter informacyjny; wiążące środki dotyczące przetwarzania danych osobowych określa Załącznik 1 do Umowy powierzenia przetwarzania danych osobowych. Pojęcia pisane wielką literą mają znaczenie nadane im w Regulaminie.

Certyfikacja: Operator nie posiada jeszcze certyfikacji ISO/IEC 27001, raportu SOC 2 ani innej certyfikacji bezpieczeństwa. Planujemy uzyskanie obu. Do tego czasu na żądanie udostępnimy bardziej szczegółowe informacje lub wypełnimy rozsądny kwestionariusz bezpieczeństwa.

1. Czego Platforma nie robi

• Nie przechowuje pieniędzy. Operator nie przyjmuje, nie przechowuje ani nie przekazuje środków pieniężnych stron Transakcji i nie świadczy usług płatniczych; płatności trafiają bezpośrednio z rachunku Kupującego na rachunek Dostawcy. Platforma jedynie wyświetla instrukcje płatnicze i prowadzi ewidencję (art. 7 Regulaminu).
• Nie trenuje modeli na Państwa danych. Nie wykorzystujemy Treści Użytkowników do trenowania modeli sztucznej inteligencji; dostawca modelu generatywnego zgodnie z umową również nie wykorzystuje ich do trenowania.
• Nie pozwala generatywnej AI negocjować. Agenci to reguły deterministyczne; model generatywny wyłącznie konwertuje nieustrukturyzowane cenniki, a wynik zawsze sprawdza człowiek (Zasady korzystania ze sztucznej inteligencji).
• Nie śledzi Państwa. Ani aplikacja, ani strony z dokumentami prawnymi nie wczytują kodu analitycznego, reklamowego ani śledzącego, czcionek ani skryptów podmiotów trzecich. Język strony dobieramy na podstawie ustawień Państwa przeglądarki, bez odpytywania innych usług.
• Nie sprzedaje danych. Nie sprzedajemy ani danych osobowych, ani danych handlowych; porównania rynkowe publikujemy wyłącznie w formie zanonimizowanej i zagregowanej na podstawie transakcji co najmniej dwóch różnych Dostawców.

2. Dostęp i konta

• Cała komunikacja z Platformą jest szyfrowana za pośrednictwem HTTPS (TLS).
• Hasła przechowujemy wyłącznie w postaci skrótu Argon2id. Kody odzyskiwania, sesje logowania i klucze API przechowujemy wyłącznie w postaci skrótu kryptograficznego; klucz API wyświetlany jest tylko przy jego utworzeniu.
• Plik cookie sesji ma atrybuty HttpOnly, Secure i SameSite=Lax; w przypadku żądań, które zmieniają dane, sprawdzamy nagłówek Origin (ochrona przed CSRF).
• Po 5 nieudanych próbach logowania konto zostaje zablokowane na 15 minut; zmiana hasła powoduje wylogowanie ze wszystkich urządzeń. Interfejs API podlega limitom liczby żądań.
• To, kto co może robić, określają role przydzielane przez Administratora Organizacji (np. uprawnienie do zatwierdzania Ofert). Administrator Organizacji tworzy, nazywa i unieważnia klucze API oraz ma wgląd w zapisy audytowe swojej Organizacji.

3. Oddzielenie klientów

Każdy dostęp do danych jest ograniczony do Organizacji zalogowanego Użytkownika lub klucza API; żądanie dostępu do danych innej Organizacji Platforma odrzuca. To oddzielenie weryfikują automatyczne testy przy każdej zmianie. Dane demonstracyjne (demo) są oddzielone od danych rzeczywistych firm. Przed zawarciem Transakcji kontrahent nie widzi tożsamości ani limitów drugiej strony.

4. Integralność i weryfikowalność zapisów

• Łańcuch audytowy. Istotne czynności zapisujemy w łańcuchu, do którego wpisy można jedynie dodawać. Każdy wpis zawiera skrót (hash) poprzedniego wpisu, a zmianę lub usunięcie wpisów blokuje wyzwalacz bazy danych (trigger), dzięki czemu każda ingerencja jest wykrywalna.
• Podpisy Ed25519. Mandaty, Potwierdzenia, Zapisy AP2 (IntentMandate, CartMandate, PaymentMandate) i eksporty Łańcucha audytowego podpisujemy kluczem Platformy. Klucz publiczny (algorytm, klucz i jego identyfikator) jest dostępny pod adresem https://app.negotiq.synqflows.com/api/trust/public-key oraz w formacie JWKS pod adresem https://app.negotiq.synqflows.com/.well-known/jwks.json; Zapisy AP2 zawierają podpisy w formacie JWS (EdDSA). Podpisy Mandatów, Potwierdzeń i Zapisów AP2 można również sprawdzić bezpośrednio za pośrednictwem weryfikacyjnych punktów końcowych API.
• Publiczna kontrola. Pod adresem https://app.negotiq.synqflows.com/api/trust/chain każdy może sprawdzić, czy Łańcuch audytowy jest nienaruszony, łącznie z podpisanym ostatnim skrótem; https://app.negotiq.synqflows.com/api/trust/status pokazuje, że środowisko produkcyjne nie używa deweloperskich kluczy podpisujących ani szyfrujących.
• Atestacja powiernicza (custodial). Zapisy podpisuje Operator własnym kluczem, a nie kluczami stron. Podpis dowodzi, że zapis powstał na Platformie i nie został zmieniony od chwili podpisania; sam w sobie nie dowodzi, że podpisała go strona — powiązanie z osobą działającą zapewniają logowanie, role i Łańcuch audytowy. W przypadku wymiany klucza opublikujemy nowy klucz z nowym identyfikatorem, a wcześniejsze klucze publiczne pozostawimy dostępne do weryfikacji starszych zapisów.
• Webhooki. Powiadomienia podpisujemy HMAC-SHA256 zgodnie ze specyfikacją Standard Webhooks (nagłówki webhook-id, webhook-timestamp, webhook-signature). Prosimy weryfikować zarówno podpis, jak i wiek wiadomości oraz przechowywać tajny klucz poza kodem źródłowym.

5. Ochrona danych

• Szyfrowanie podczas przesyłania (TLS) i przechowywania u dostawcy hostingu.
• Dane dostępowe do podłączonych systemów (ERP) i tajne klucze podpisujące Webhooków szyfrujemy algorytmem AES-256-GCM. Danych dostępowych używamy wyłącznie do pobrania cennika na polecenie Użytkownika; zalecamy utworzenie na potrzeby połączenia odrębnego użytkownika z uprawnieniem wyłącznie do odczytu i minimalnym niezbędnym zakresem uprawnień.
• Załączniki przyjmujemy wyłącznie w dozwolonych formatach i rozmiarach, udostępniamy je wyłącznie osobom uprawnionym i zawsze do pobrania, nigdy do wyświetlenia w przeglądarce.
• Wiadomości na Adres odbiorczy importujemy automatycznie wyłącznie od Zweryfikowanych nadawców; pozostałe oczekują na potwierdzenie w aplikacji. Nadawcę, temat, czas odbioru i załączniki usuwamy po 90 dniach.
• Agenci nie traktują treści cenników, specyfikacji, załączników ani wiadomości e-mail jako poleceń (ochrona przed wstrzykiwaniem poleceń, tzw. prompt injection).
• W przypadku potencjalnych dostawców przechowujemy wyłącznie ogólne firmowe dane kontaktowe.

6. Eksploatacja, kopie zapasowe i logi

• Aplikacja i baza danych działają u dostawcy hostingu wskazanego w punkcie 9. Bazę danych regularnie kopiujemy; kopie zapasowe są nadpisywane w zwykłym cyklu najpóźniej w ciągu 90 dni.
• Logi operacyjne (w tym adresy IP) i zapisy dotyczące doręczenia do Webhooków przechowujemy najwyżej 90 dni, wpisy w Łańcuchu audytowym 10 lat.
• Dostęp do środowiska produkcyjnego mają wyłącznie upoważnione osoby Operatora zobowiązane do zachowania tajemnicy.
• Zależności są przypięte do dokładnie określonych wersji. Przy każdej zmianie automatycznie testujemy niezmienniki bezpieczeństwa: oddzielenie Organizacji, przestrzeganie granic działania Agentów oraz poufność cen maksymalnych i minimów.

7. Incydenty i zgłaszanie naruszeń

1. Każdy incydent bezpieczeństwa oceniamy, ograniczamy jego skutki, usuwamy jego przyczynę i dokumentujemy go.
2. Klientów, których dotyczy incydent, informujemy bez zbędnej zwłoki. Naruszenie ochrony danych osobowych, które przetwarzamy jako podmiot przetwarzający, zgłaszamy Administratorowi najpóźniej w ciągu 48 godzin od jego stwierdzenia (art. 5 Umowy powierzenia przetwarzania danych osobowych).
3. Jeżeli jesteśmy administratorem, zgłaszamy naruszenie ochrony danych osobowych czeskiemu Urzędowi Ochrony Danych Osobowych w ciągu 72 godzin od jego stwierdzenia, chyba że jest mało prawdopodobne, by skutkowało ono ryzykiem naruszenia praw lub wolności osób fizycznych (art. 33 RODO); w przypadku wysokiego ryzyka bez zbędnej zwłoki informujemy również osoby, których dane dotyczą (art. 34 RODO).
4. Po zamknięciu incydentu udostępniamy klientom, których on dotyczył, na żądanie podsumowanie jego przyczyn i podjętych środków.

8. Zgłaszanie podatności

Podatności prosimy zgłaszać na adres inquiry@negotiq.synqflows.com. Dane kontaktowe i zasady są dostępne również w pliku nadającym się do odczytu maszynowego https://app.negotiq.synqflows.com/.well-known/security.txt.

• Prosimy podać opis podatności, adres lub interfejs, którego dotyczy, kroki pozwalające ją odtworzyć oraz potencjalne skutki; komunikować się można w języku czeskim lub angielskim.
• Potwierdzimy otrzymanie zgłoszenia bez zbędnej zwłoki, będziemy Państwa informować o postępach, a po usunięciu podatności, za Państwa zgodą, publicznie podziękujemy. Nie wypłacamy nagród pieniężnych (bug bounty).
• Zasady: testy należy prowadzić wyłącznie na własnych kontach i danych; do danych innych osób można uzyskiwać dostęp wyłącznie w zakresie niezbędnym do wykazania podatności, niczego nie zmieniając ani nie usuwając i nie zachowując uzyskanych danych; nie należy przeprowadzać ataków na dostępność (DoS), stosować socjotechniki, phishingu ani ataków fizycznych; nie należy wysyłać masowych wiadomości na Adresy odbiorcze; nie należy ujawniać podatności, dopóki jej nie usuniemy lub dopóki nie upłynie 90 dni od jej zgłoszenia, chyba że uzgodnimy inaczej.
• Bezpieczna przystań (safe harbour): Badania prowadzone w dobrej wierze i zgodnie z niniejszymi zasadami uznajemy za uprawnione i w tym zakresie wyrażamy zgodę na dostęp. Nie podejmiemy wobec Państwa kroków prawnych ani nie złożymy zawiadomienia o popełnieniu przestępstwa, a jeżeli takie kroki podjąłby podmiot trzeci, potwierdzimy, że działali Państwo zgodnie z niniejszymi zasadami. Nie możemy udzielić zgody w imieniu podmiotów trzecich (np. dostawcy hostingu lub Usług podmiotów trzecich).

9. Lokalizacja danych i dalsze podmioty przetwarzające

Wiążący wykaz i zasady wprowadzania zmian (powiadomienie z co najmniej 14-dniowym wyprzedzeniem z prawem wniesienia sprzeciwu) zawiera Umowa powierzenia przetwarzania danych osobowych (art. 4). Systemy wybrane przez Organizację (ERP, feedy produktowe, punkty końcowe Webhooków, agenci podmiotów trzecich) nie są naszymi podmiotami przetwarzającymi; przekazujemy im dane na jej polecenie.

10. Ciągłość działania

Dążymy do zapewnienia nieprzerwanej dostępności, jednak bez zawartej na piśmie umowy o poziomie usług (SLA) nie gwarantujemy żadnego poziomu dostępności ani czasu przywrócenia działania. Regularnie tworzymy kopie zapasowe bazy danych i, jeżeli to możliwe, z wyprzedzeniem zapowiadamy planowane prace konserwacyjne. Dane swojej Organizacji mogą Państwo w każdej chwili bezpłatnie wyeksportować (JSON), a Potwierdzenia i Zapisy AP2 pobrać i zweryfikować kluczem publicznym nawet bez dostępu do Platformy.

11. Kontakt

• Bezpieczeństwo i podatności: inquiry@negotiq.synqflows.com
• Ochrona danych osobowych: inquiry@negotiq.synqflows.com
• Pozostałe zapytania i punkt kontaktowy na podstawie DSA: inquiry@negotiq.synqflows.com