Securitate și încredere

În vigoare de la 2026-10-06 · Traducere în limba română; prevalează versiunea în limba cehă

Companiile de pe Negotiq încredințează agenților prețurile, condițiile și deciziile lor comerciale. Prezentul document descrie modul în care protejăm Platforma, modul în care puteți verifica dumneavoastră înșivă integritatea înregistrărilor, modul în care gestionăm incidentele și modul în care ne puteți raporta o vulnerabilitate. Documentul are caracter informativ; măsurile obligatorii pentru prelucrarea datelor cu caracter personal sunt stabilite în Anexa 1 la Contractul privind prelucrarea datelor. Termenii scriși cu inițială majusculă au înțelesul atribuit în Condițiile de utilizare.

Certificări: În prezent, Prestatorul nu deține certificarea ISO/IEC 27001, un raport SOC 2 sau o altă certificare de securitate. Ambele sunt planificate. Până atunci, la cerere, vă vom furniza informații mai detaliate sau vom completa un chestionar de securitate rezonabil.

1. Ce nu face Platforma

• Nu deține bani. Prestatorul nu primește, nu deține și nu transferă fondurile părților la Acorduri și nu prestează servicii de plată; plățile se efectuează direct din contul Cumpărătorului în contul Furnizorului. Platforma doar afișează instrucțiunile de plată și ține evidența (art. 7 din Condițiile de utilizare).
• Nu antrenează modele pe baza datelor dumneavoastră. Nu utilizăm Conținutul Utilizatorilor pentru antrenarea modelelor de inteligență artificială; potrivit contractului, nici furnizorul modelului generativ nu îl utilizează pentru antrenare.
• Nu lasă IA generativă să negocieze. Agenții sunt reguli deterministe; modelul generativ doar convertește listele de prețuri nestructurate, iar rezultatul este întotdeauna verificat de un om (Declarația privind guvernanța IA).
• Nu vă urmărește. Nici aplicația, nici paginile juridice nu încarcă coduri de analiză, de publicitate sau de urmărire și nici fonturi sau scripturi ale terților. Limba paginii este aleasă în funcție de setările browserului dumneavoastră, fără interogarea altor servicii.
• Nu vinde date. Nu vindem nici date cu caracter personal, nici date comerciale; comparațiile de piață sunt publicate numai în formă anonimizată și agregată, pe baza acordurilor a cel puțin doi Furnizori diferiți.

2. Acces și conturi

• Întreaga comunicare cu Platforma este criptată prin HTTPS (TLS).
• Parolele sunt stocate numai sub formă de amprentă (hash) Argon2id. Codurile de recuperare, sesiunile de autentificare și cheile API sunt stocate numai sub formă de amprentă criptografică; o cheie API este afișată numai la creare.
• Cookie-ul de sesiune este HttpOnly, Secure și SameSite=Lax; la solicitările care modifică date, verificăm antetul Origin (protecție împotriva CSRF).
• După 5 încercări eșuate de autentificare, contul este blocat timp de 15 minute; schimbarea parolei deconectează toate dispozitivele. Interfața API este supusă unor limite privind numărul de solicitări.
• Cine ce poate face este determinat de rolurile atribuite de Administratorul Organizației (de exemplu, dreptul de a aproba Oferte). Administratorul Organizației creează, denumește și revocă cheile API și vede înregistrările de audit ale Organizației sale.

3. Separarea clienților

Orice acces la date este limitat la Organizația Utilizatorului autentificat sau a cheii API; Platforma respinge orice solicitare privind datele unei alte Organizații. Separarea este verificată prin teste automate la fiecare modificare. Datele demonstrative (demo) sunt separate de datele companiilor reale. Înainte de încheierea Acordului, contrapartea nu vede nici identitatea, nici limitele celeilalte părți.

4. Integritatea și verificabilitatea înregistrărilor

• Lanțul de audit. Acțiunile importante sunt înscrise într-un lanț la care înregistrările pot fi doar adăugate. Fiecare înregistrare conține amprenta (hash) înregistrării anterioare, iar modificarea sau ștergerea înregistrărilor este blocată de un declanșator (trigger) al bazei de date, astfel încât orice intervenție poate fi detectată.
• Semnături Ed25519. Mandatele, Confirmările, Înregistrările AP2 (IntentMandate, CartMandate, PaymentMandate) și exporturile Lanțului de audit sunt semnate cu cheia Platformei. Cheia publică (algoritmul, cheia și identificatorul acesteia) este disponibilă la adresa https://app.negotiq.synqflows.com/api/trust/public-key și, în format JWKS, la https://app.negotiq.synqflows.com/.well-known/jwks.json; Înregistrările AP2 poartă semnături în format JWS (EdDSA). Semnăturile Mandatelor, ale Confirmărilor și ale Înregistrărilor AP2 pot fi verificate și direct prin interfețele de verificare ale API.
• Verificarea publică. La adresa https://app.negotiq.synqflows.com/api/trust/chain, oricine poate verifica dacă Lanțul de audit este intact, inclusiv ultima amprentă semnată; https://app.negotiq.synqflows.com/api/trust/status arată că mediul de producție nu utilizează chei de semnare sau de criptare destinate dezvoltării.
• Atestare custodială. Înregistrările sunt semnate de Prestator cu propria cheie, nu cu cheile părților. Semnătura dovedește că înregistrarea a fost creată pe Platformă și nu a fost modificată de la semnare; ea nu dovedește, în sine, că o parte a semnat-o — legătura cu persoana care a acționat este asigurată prin autentificare, roluri și Lanțul de audit. La schimbarea cheii, vom publica noua cheie cu un nou identificator și vom păstra disponibile cheile publice anterioare pentru verificarea înregistrărilor mai vechi.
• Webhookuri. Notificările sunt semnate cu HMAC-SHA256 potrivit specificației Standard Webhooks (antetele webhook-id, webhook-timestamp, webhook-signature). Verificați atât semnătura, cât și vechimea mesajului și păstrați secretul în afara codului sursă.

5. Protecția datelor

• Criptarea în tranzit (TLS) și în repaus la furnizorul de găzduire.
• Datele de acces la sistemele conectate (ERP) și secretele de semnare ale Webhookurilor sunt criptate cu algoritmul AES-256-GCM. Datele de acces sunt utilizate numai pentru descărcarea listei de prețuri la instrucțiunea Utilizatorului; pentru conectare, vă recomandăm să creați un utilizator dedicat cu drept de acces numai pentru citire și cu un set minim necesar de permisiuni.
• Atașamentele sunt acceptate numai în formatele și dimensiunile permise, sunt puse numai la dispoziția persoanelor autorizate și întotdeauna pentru descărcare, niciodată pentru afișare în browser.
• Mesajele trimise la Adresa de recepție sunt importate automat numai de la Expeditori verificați; celelalte așteaptă confirmarea în aplicație. Expeditorul, subiectul, momentul primirii și atașamentele sunt șterse după 90 de zile.
• Agenții nu tratează conținutul listelor de prețuri, al specificațiilor, al atașamentelor sau al e-mailurilor drept instrucțiuni (protecție împotriva injectării de instrucțiuni, așa-numita „prompt injection”).
• În cazul potențialilor furnizori, păstrăm numai date de contact generale ale companiilor.

6. Operare, copii de siguranță și jurnale

• Aplicația și baza de date rulează la furnizorul de găzduire indicat în secțiunea 9. Baza de date este salvată periodic; copiile de siguranță sunt suprascrise în ciclul obișnuit, cel târziu în termen de 90 de zile.
• Jurnalele operaționale (inclusiv adresele IP) și înregistrările privind livrarea Webhookurilor sunt păstrate cel mult 90 de zile, iar înregistrările din Lanțul de audit 10 ani.
• Accesul la mediul de producție este limitat la personalul autorizat al Prestatorului, obligat să păstreze confidențialitatea.
• Dependențele sunt utilizate în versiuni fixate exact. La fiecare modificare testăm automat invarianții de securitate: separarea Organizațiilor, respectarea limitelor Agenților și confidențialitatea plafoanelor și a minimelor.

7. Incidente și notificarea încălcărilor

1. Evaluăm fiecare incident de securitate, îi limităm impactul, îi eliminăm cauza și îl documentăm.
2. Informăm clienții afectați de incident fără întârzieri nejustificate. Încălcarea securității datelor cu caracter personal pe care le prelucrăm în calitate de persoană împuternicită de operator o notificăm Operatorului cel târziu în termen de 48 de ore de la momentul în care am luat cunoștință de aceasta (art. 5 din Contractul privind prelucrarea datelor).
3. Atunci când avem calitatea de operator, notificăm încălcarea securității datelor cu caracter personal Oficiului ceh pentru protecția datelor cu caracter personal în termen de 72 de ore de la momentul în care am luat cunoștință de aceasta, cu excepția cazului în care este puțin probabil ca încălcarea să genereze un risc pentru drepturile și libertățile persoanelor fizice (art. 33 din RGPD); în cazul unui risc ridicat, informăm fără întârzieri nejustificate și persoanele afectate (art. 34 din RGPD).
4. După închiderea incidentului, punem la dispoziția clienților afectați, la cerere, un rezumat al cauzelor și al măsurilor luate.

8. Raportarea vulnerabilităților

Vă rugăm să ne raportați vulnerabilitățile la inquiry@negotiq.synqflows.com. Datele de contact și regulile sunt disponibile și în fișierul lizibil automat https://app.negotiq.synqflows.com/.well-known/security.txt.

• Indicați descrierea vulnerabilității, adresa sau interfața afectată, pașii de reproducere și impactul posibil; comunicarea se poate face în limba cehă sau în limba engleză.
• Vom confirma primirea raportului fără întârzieri nejustificate, vă vom informa cu privire la progres și, după remediere, cu acordul dumneavoastră, vă vom mulțumi public. Nu acordăm recompense financiare (bug bounty).
• Reguli: testați numai pe propriile conturi și date; accesați datele altor persoane numai în măsura strict necesară pentru demonstrarea vulnerabilității, nu modificați și nu ștergeți nimic și nu păstrați datele obținute; nu efectuați atacuri asupra disponibilității (DoS), inginerie socială, phishing sau atacuri fizice; nu trimiteți mesaje în masă la Adresele de recepție; nu publicați vulnerabilitatea până când nu o remediem sau până când nu trec 90 de zile de la raportare, cu excepția cazului în care convenim altfel.
• Port sigur (safe harbour): Considerăm cercetarea efectuată cu bună-credință și în conformitate cu prezentele reguli ca fiind autorizată și ne dăm consimțământul pentru accesul în această limită. Nu vom iniția acțiuni în justiție împotriva dumneavoastră și nu vom depune plângere penală, iar în cazul în care un terț ar iniția astfel de acțiuni, vom confirma că ați acționat în conformitate cu prezentele reguli. Nu putem acorda consimțământul în numele terților (de exemplu, al furnizorului de găzduire sau al Serviciilor terților).

9. Localizarea datelor și alte persoane împuternicite

Lista obligatorie și regulile privind modificările (notificare cu cel puțin 14 zile înainte, cu posibilitatea de a formula obiecții) sunt cuprinse în Contractul privind prelucrarea datelor (art. 4). Sistemele alese de Organizație (ERP, fluxuri de produse, puncte finale ale Webhookurilor, agenți ai terților) nu sunt persoanele noastre împuternicite; le transmitem date la instrucțiunea acesteia.

10. Continuitatea activității

Depunem eforturi pentru asigurarea disponibilității continue, însă în lipsa unui contract privind nivelul serviciilor (SLA) încheiat în scris, nu garantăm niciun nivel de disponibilitate și niciun timp de restaurare. Salvăm periodic baza de date și anunțăm în prealabil, atunci când este posibil, lucrările de întreținere planificate. Puteți exporta oricând, gratuit, datele Organizației dumneavoastră (JSON), iar Confirmările și Înregistrările AP2 le puteți descărca și verifica cu cheia publică chiar și fără acces la Platformă.

11. Contact

• Securitate și vulnerabilități: inquiry@negotiq.synqflows.com
• Protecția datelor cu caracter personal: inquiry@negotiq.synqflows.com
• Alte întrebări și punctul de contact în temeiul DSA: inquiry@negotiq.synqflows.com