Bezpečnosť a dôvera

Účinné od 2026-10-06 · slovenský preklad; rozhodujúce je české znenie

Firmy na platforme Negotiq zverujú agentom svoje ceny, podmienky a obchodné rozhodnutia. Tento dokument opisuje, ako Platformu chránime, ako si môžete sami overiť integritu záznamov, ako riešime incidenty a ako nám nahlásiť zraniteľnosť. Má informatívnu povahu; záväzné opatrenia na spracúvanie osobných údajov stanovuje Príloha 1 Zmluvy o spracúvaní osobných údajov. Pojmy s veľkým začiatočným písmenom majú význam podľa Obchodných podmienok.

Certifikácia: Poskytovateľ zatiaľ nemá certifikáciu ISO/IEC 27001, správu SOC 2 ani inú bezpečnostnú certifikáciu. Oboje plánujeme. Dovtedy vám na požiadanie poskytneme podrobnejšie informácie alebo vyplníme primeraný bezpečnostný dotazník.

1. Čo Platforma nerobí

• Nedrží peniaze. Poskytovateľ neprijíma, nedrží ani neprevádza peňažné prostriedky strán Dohôd a neposkytuje platobné služby; úhrady idú priamo z účtu Kupujúceho na účet Dodávateľa. Platforma iba zobrazuje platobné inštrukcie a vedie záznamy (čl. 7 Obchodných podmienok).
• Netrénuje modely na vašich údajoch. Obsah Používateľov nepoužívame na trénovanie modelov umelej inteligencie; poskytovateľ generatívneho modelu ho podľa zmluvy na trénovanie tiež nepoužíva.
• Nenecháva generatívnu AI vyjednávať. Agenti sú deterministické pravidlá; generatívny model iba prevádza neštruktúrované cenníky a výsledok vždy kontroluje človek (Zásady používania umelej inteligencie).
• Nesleduje vás. Aplikácia ani právne stránky nenačítavajú analytické, reklamné ani sledovacie kódy, písma ani skripty tretích strán. Jazyk stránky volíme podľa nastavení vášho prehliadača, bez dopytu na iné služby.
• Nepredáva údaje. Osobné ani obchodné údaje nepredávame; trhové porovnanie zverejňujeme iba anonymizovane a agregovane z dohôd aspoň dvoch rôznych Dodávateľov.

2. Prístup a účty

• Všetka komunikácia s Platformou prebieha šifrovane cez HTTPS (TLS).
• Heslá ukladáme iba ako hash Argon2id. Záchranné kódy, prihlasovacie relácie a API kľúče ukladáme iba ako kryptografický odtlačok; API kľúč sa zobrazí iba pri vytvorení.
• Reláciový súbor cookie je HttpOnly, Secure a SameSite=Lax; pri požiadavkách, ktoré menia údaje, kontrolujeme hlavičku Origin (ochrana proti CSRF).
• Po 5 neúspešných pokusoch o prihlásenie sa účet na 15 minút zamkne; zmena hesla odhlási všetky zariadenia. Rozhranie API podlieha limitom počtu požiadaviek.
• Čo kto smie, určujú roly, ktoré prideľuje Správca Organizácie (napr. oprávnenie schvaľovať Ponuky). Správca Organizácie vytvára, pomenúva a ruší API kľúče a vidí auditné záznamy svojej Organizácie.

3. Oddelenie zákazníkov

Každý prístup k údajom je obmedzený na Organizáciu prihláseného Používateľa alebo API kľúča; požiadavku na údaje inej Organizácie Platforma odmietne. Oddelenie overujú automatické testy pri každej zmene. Ukážkové (demo) údaje sú oddelené od údajov skutočných firiem. Pred uzavretím Dohody protistrana nevidí totožnosť ani limity druhej strany.

4. Integrita a overiteľnosť záznamov

• Auditný reťazec. Podstatné úkony zapisujeme do reťazca, do ktorého možno záznamy iba pridávať. Každý záznam obsahuje odtlačok (hash) predchádzajúceho záznamu a zmenu či vymazanie záznamov blokuje databázový trigger, takže akýkoľvek zásah je zistiteľný.
• Podpisy Ed25519. Mandáty, Potvrdenia, Záznamy AP2 (IntentMandate, CartMandate, PaymentMandate) a exporty Auditného reťazca podpisujeme kľúčom Platformy. Verejný kľúč (algoritmus, kľúč a jeho identifikátor) je na adrese https://app.negotiq.synqflows.com/api/trust/public-key a vo formáte JWKS na https://app.negotiq.synqflows.com/.well-known/jwks.json; Záznamy AP2 nesú podpisy vo formáte JWS (EdDSA). Podpis Mandátu, Potvrdenia a Záznamov AP2 možno overiť aj priamo cez overovacie rozhranie API.
• Verejná kontrola. Na adrese https://app.negotiq.synqflows.com/api/trust/chain ktokoľvek zistí, či je Auditný reťazec neporušený, vrátane podpísaného posledného odtlačku; https://app.negotiq.synqflows.com/api/trust/status ukazuje, že produkcia nepoužíva vývojové podpisové ani šifrovacie kľúče.
• Kustodiálna atestácia. Záznamy podpisuje Poskytovateľ svojím kľúčom, nie kľúčmi strán. Podpis preukazuje, že záznam vznikol na Platforme a od podpisu nebol zmenený; sám osebe nepreukazuje, že ho strana podpísala — väzbu na konajúcu osobu zabezpečuje prihlásenie, roly a Auditný reťazec. Pri výmene kľúča zverejníme nový kľúč s novým identifikátorom a skoršie verejné kľúče ponecháme k dispozícii na overenie starších záznamov.
• Webhooky. Oznámenia podpisujeme HMAC-SHA256 podľa špecifikácie Standard Webhooks (hlavičky webhook-id, webhook-timestamp, webhook-signature). Overujte podpis aj vek správy a tajný kľúč uchovávajte mimo zdrojového kódu.

5. Ochrana údajov

• Šifrovanie pri prenose (TLS) aj pri uložení u poskytovateľa hostingu.
• Prístupové údaje k napojeným systémom (ERP) a tajné kľúče Webhookov šifrujeme algoritmom AES-256-GCM. Prístupové údaje používame iba na stiahnutie cenníka na pokyn Používateľa; odporúčame na napojenie vytvoriť používateľa s oprávnením iba na čítanie a s najmenším nevyhnutným rozsahom oprávnení.
• Prílohy prijímame iba v povolených formátoch a veľkostiach, vydávame ich iba oprávneným osobám a vždy na stiahnutie, nie na zobrazenie v prehliadači.
• Správy na Adresu na príjem e-mailov importujeme automaticky iba od Overených odosielateľov; ostatné čakajú na potvrdenie v aplikácii. Odosielateľa, predmet, čas prijatia a prílohy vymazávame po 90 dňoch.
• Agenti nečítajú obsah cenníkov, špecifikácií, príloh ani e-mailov ako pokyny (ochrana proti vkladaniu pokynov, tzv. prompt injection).
• Pri potenciálnych dodávateľoch vedieme iba všeobecné firemné kontakty.

6. Prevádzka, zálohy a logy

• Aplikácia a databáza bežia u poskytovateľa hostingu uvedeného v článku 9. Databázu pravidelne zálohujeme; zálohy sa prepisujú v bežnom cykle najneskôr do 90 dní.
• Prevádzkové logy (vrátane IP adries) a záznamy o doručení Webhookov uchovávame najviac 90 dní, záznamy Auditného reťazca 10 rokov.
• Prístup do produkčného prostredia majú iba poverené osoby Poskytovateľa viazané mlčanlivosťou.
• Závislosti používame v pevne určených verziách. Pri každej zmene automaticky testujeme bezpečnostné invarianty: oddelenie Organizácií, dodržanie medzí Agentov a dôvernosť stropov a miním.

7. Incidenty a oznamovanie porušení

1. Každý bezpečnostný incident vyhodnotíme, obmedzíme jeho dosah, odstránime príčinu a zdokumentujeme ho.
2. Zákazníkov, ktorých sa incident týka, informujeme bez zbytočného odkladu. Porušenie ochrany osobných údajov, ktoré spracúvame ako sprostredkovateľ, oznámime Prevádzkovateľovi najneskôr do 48 hodín od zistenia (čl. 5 Zmluvy o spracúvaní osobných údajov).
3. Ak sme prevádzkovateľom, oznámime porušenie ochrany osobných údajov Úradu pre ochranu osobných údajov Českej republiky do 72 hodín od zistenia, ibaže nie je pravdepodobné, že by malo za následok riziko pre práva a slobody fyzických osôb (čl. 33 všeobecného nariadenia o ochrane údajov); pri vysokom riziku informujeme bez zbytočného odkladu aj dotknuté osoby (čl. 34 všeobecného nariadenia o ochrane údajov).
4. Po uzavretí incidentu poskytneme dotknutým zákazníkom na požiadanie zhrnutie príčin a prijatých opatrení.

8. Hlásenie zraniteľností

Zraniteľnosť nám, prosím, nahláste na inquiry@negotiq.synqflows.com. Kontakty a pravidlá sú aj v strojovo čitateľnom súbore https://app.negotiq.synqflows.com/.well-known/security.txt.

• Uveďte opis zraniteľnosti, dotknutú adresu alebo rozhranie, kroky na reprodukciu a možný dosah; komunikovať možno v češtine alebo angličtine.
• Prijatie hlásenia potvrdíme bez zbytočného odkladu, budeme vás informovať o postupe a po oprave vám s vaším súhlasom verejne poďakujeme. Finančné odmeny (bug bounty) nevyplácame.
• Pravidlá: testujte iba na vlastných účtoch a údajoch; k údajom iných osôb pristupujte iba v rozsahu nevyhnutnom na preukázanie zraniteľnosti, nič nemeňte ani nemažte a získané údaje neuchovávajte; nevykonávajte útoky na dostupnosť (DoS), sociálne inžinierstvo, phishing ani fyzické útoky; nezasielajte hromadné správy na Adresy na príjem e-mailov; zraniteľnosť nezverejňujte, kým ju neopravíme alebo kým neuplynie 90 dní od nahlásenia, ak sa nedohodneme inak.
• Bezpečný prístav: Výskum vykonaný v dobrej viere a v súlade s týmito pravidlami považujeme za oprávnený a na prístup v tomto rozsahu dávame súhlas. Nepodnikneme proti vám právne kroky ani nepodáme trestné oznámenie, a ak by takéto kroky začala tretia osoba, potvrdíme, že ste konali v súlade s týmito pravidlami. Súhlas nemôžeme udeliť za tretie strany (napr. poskytovateľa hostingu alebo Služieb tretích strán).

9. Umiestnenie údajov a ďalší sprostredkovatelia

Záväzný zoznam a pravidlá zmien (oznámenie najmenej 14 dní vopred s možnosťou námietky) obsahuje Zmluva o spracúvaní osobných údajov (čl. 4). Systémy, ktoré zvolí Organizácia (ERP, produktové feedy, koncové body Webhookov, agenti tretích strán), nie sú našimi sprostredkovateľmi; údaje im odovzdávame na jej pokyn.

10. Kontinuita prevádzky

Usilujeme sa o nepretržitú dostupnosť, ale bez písomne dojednanej zmluvy o úrovni služieb (SLA) negarantujeme žiadnu úroveň dostupnosti ani dobu obnovy. Databázu pravidelne zálohujeme a plánovanú údržbu oznamujeme vopred, ak je to možné. Údaje svojej Organizácie si môžete kedykoľvek bezplatne exportovať (JSON) a Potvrdenia a Záznamy AP2 stiahnuť a overiť verejným kľúčom aj bez prístupu k Platforme.

11. Kontakt

• Bezpečnosť a zraniteľnosti: inquiry@negotiq.synqflows.com
• Ochrana osobných údajov: inquiry@negotiq.synqflows.com
• Ostatné otázky a kontaktné miesto podľa aktu o digitálnych službách: inquiry@negotiq.synqflows.com