Bezpečnost a důvěra

1. Jednostránkové shrnutí

Nose for Horse (dále jen „Nose“) je produkt v rané fázi. Dnes nejsme držiteli SOC 2 ani ISO 27001 a dosud jsme si nenechali provést externí penetrační test. Tato stránka popisuje, co uchováváme, kde to běží a jaké třídy opatření to chrání, aby stáj, která si je vědoma bezpečnosti, mohla učinit informované rozhodnutí.

• Kdo jsme. Nose je software pro provoz jezdecké školy – plánování lekcí, sledování docházky a způsobu plateb jezdců, správu permanentek a dárkových poukazů, výpočet odměn instruktorů a zpřístupnění vlastních rezervací zákazníkům stáje. Provozuje ho DF Daniel Fojcik, polský živnostník (NIP 6472592229 / REGON 387798601, Marklowice), obchodující pod názvem Nose for Horse.
• Naše dvě role. Jsme správcem osobních údajů pro údaje o vlastním účtu, analytiku a bezpečnost a zpracovatelem osobních údajů jednajícím podle pokynů každé stáje ohledně údajů o jezdcích a zákaznících, které stáj zadá. Vztah zpracovatele se řídí naší smlouvou o zpracování osobních údajů (DPA). Viz níže „Právní rámec“.
• Jaké údaje uchováváme. E-mail účtu a volitelné jméno/telefon v profilu; e-mailové adresy pro pozvánky; provozní záznamy, které stáj zadá o jezdcích (jména, kontakty, účast na lekcích, permanentky a poukazy, štítky plateb a volné poznámky); PINy rozvrhu a tokeny pozvánek uložené pouze jako jednosměrné hashe. Neuchováváme údaje o platebních kartách, bankovní údaje ani zdravotní údaje. Úplný přehled je níže v části „Údaje, které uchováváme“.
• Co je chrání. Šifrování při přenosu i v klidu; izolace tenantů vynucená v samotné databázi; ověřování relace na straně serveru; zvýšené opětovné ověření pro destruktivní a administrativní akce; přísné zásady zabezpečení obsahu; omezování rychlosti a ochrana proti botům; a pouze doplňovaný auditní protokol. Viz níže část „Technická opatření“.
• Kde to běží. Ve více než jednom datovém regionu a regiony přidáváme, jak rosteme. Data zákazníků stájí v regionu USA jsou uložena ve Spojených státech. Služba je provozována, spravována a podporována z Evropské unie. Stáje v našem regionu EU jsou obsluhovány z EHP. Několik služeb je sdílených oběma regiony a běží v EHP — transakční e-maily, sledování chyb, produktová analytika — a několik komponent běží globálně. Regiony a mechanismy přenosu jednotlivých poskytovatelů najdete na stránce Dílčí zpracovatelé.
• Co ještě nemáme. Žádné SOC 2, ISO 27001 ani externí penetrační test. Pokud váš proces zadávání zakázek dnes některý z nich vyžaduje, ještě pro vás nejsme ta správná volba.
• Jak nás kontaktovat ohledně zabezpečení. Zašlete e-mail na adresu support@nose.horse a v předmětu uveďte `Security`. Viz „Reakce na incident (72hodinové oznámení o narušení)“ a „Odpovědné zveřejnění“ níže.

2. Údaje, které uchováváme

Shromažďujeme minimum potřebné k provozování Služby. Níže uvedené kategorie jsou osobní údaje, které se dotýkají Nose.

Tam, kde řádek uvádí region vaší stáje, jde o region EU, nebo region USA — určený v okamžiku vytvoření stáje a popsaný níže v části „Infrastruktura – kdo co provozuje a kde“.

Co neuchováváme

• Žádné údaje o platebních kartách ani bankovní údaje. Nose nikdy není účastníkem platby ani nenakládá s údaji o kartě. Offline metody (hotovost / permanentka / dárkový poukaz / převod) jsou jen štítky zaznamenané stájí, nikoli transakce prováděné Nose. Údaje o kartě pro fakturaci předplatného stáje (Stripe pro polské stáje, Dodo Payments jako Merchant of Record pro nepolské stáje) i pro online platby jezdců tam, kde je stáj povolí (Stripe s vypořádáním na vlastní účet stáje), zpracovává výhradně poskytovatel plateb na své pokladně a nikdy se k nám nedostanou. Proto jsme mimo rozsah PCI DSS (viz níže „Právní rámec“).
• Žádné doklady totožnosti ani adresy. Neshromažďujeme domácí adresy, čísla dokladů totožnosti ani vládní identifikátory.
• Žádné údaje zvláštní kategorie (zdravotní). Nemáme v úmyslu shromažďovat údaje podle článku 9 GDPR a produkt není určen k jejich ukládání. Stáje mají (v DPA) pokyn nezadávat údaje zvláštní kategorie do polí s volným textem. Poznámky o koni se týkají zvířete, nikoli osoby, a nespadají pod GDPR.
• Žádné reklamní profily, identifikátory retargetingu nebo sledování napříč weby. Žádné pixely Meta/LinkedIn/X/TikTok; žádné snímání otisku prohlížeče (fingerprinting).
• Žádná data neprodaná, pronajatá nebo zapůjčená třetím stranám.
• Žádné trénování modelů AI/ML na vašich datech. Na osobních datech čerpaných z Nose netrénujeme, nevylaďujeme ani nevyhodnocujeme žádné modely umělé inteligence ani strojového učení.

3. Infrastruktura – kdo co provozuje a kde

Nose je hostován na spravované cloudové infrastruktuře s malou sadou specializovaných poskytovatelů („dílčích zpracovatelů“), z nichž každý zpracovává úzký úsek. Žádný nemá úplný přístup ke všemu. Nose běží ve dvou datových regionech: v regionu EU a v regionu USA. Data zákazníků stájí v regionu USA jsou uložena ve Spojených státech. Služba je provozována, spravována a podporována z Evropské unie. Provozní data stáje se nacházejí pouze v databázi jejího vlastního regionu — mezi regiony neprobíhá žádná replikace a v aplikaci neexistuje cesta, která by data četla napříč nimi. Tři služby jsou sdílené oběma regiony a zůstávají v EHP — transakční e-maily, sledování chyb a produktová analytika.

Kanonickým, vždy aktuálním seznamem poskytovatelů – s účelem, kategoriemi osobních údajů, regionem zpracování pro každý datový region a mechanismem přenosu u každého z nich – je stránka Dílčí zpracovatelé. Zásady ochrany osobních údajů a DPA odkazují na stejný zdroj, místo aby uchovávaly odlišné kopie, a stejně tak i tato stránka.

4. Technická opatření

Toto jsou třídy opatření, která jsou dnes skutečně zavedena. To je také podstata DPA → „Důvěrnost, bezpečnost a dílčí zpracovatelé“, která zde odkazuje na naše technická a organizační opatření.

Síť a přenos

• TLS pro veškerý provoz, s přednačtením HSTS.
• Žádný smíšený obsah — Zásady zabezpečení obsahu odmítají nezabezpečené zdroje.

Izolace tenantů a autorizace

• Zabezpečení na úrovni řádků v rozsahu pro každou stáj na každé operační tabulce, vynucené v samotné databázi — data jedné stáje nemůže jiná číst, i když kód aplikace měl chybu. Toto je primární obrana proti přístupu mezi tenanty.
• Kontroly rolí v aplikační vrstvě jako další vrstva ochrany nad databázovou izolací, nikdy jako jediná obrana.

Autentizace

• Přihlášení bez hesla – e-mailový magický odkaz nebo volitelné přihlášení přes Google či Apple. Nejsou uložena žádná hesla.
• Ověření relace na straně serveru u každého chráněného požadavku – samotný soubor cookie pro přihlášení není nikdy důvěryhodný.
• Opětovné ověření pro destruktivní a administrativní akce; pokud zvýšené ověření chybí nebo vypršelo, operace se bezpečně odmítne.

Tajemství a zpracování pověření

• PINy rozvrhu a tokeny pozvánek jsou uloženy pouze jako jednosměrné hashe; tokeny pozvánek jsou jednorázové a časově omezené a surové tokeny nejsou nikdy uchovávány.
• Privilegované servisní přihlašovací údaje jsou pouze pro server — nikdy se neodesílají do prohlížeče; vynucuje to kontrola při sestavení.

Manipulace se vstupy a výstupy

• Každý vstup na server je ověřen proti schématu — ověření na straně klienta je považováno pouze za UX; server je hranicí důvěry.
• Na každou odpověď se uplatňují přísné zásady zabezpečení obsahu a zpevněná sada bezpečnostních hlaviček.
• Automatické escapování výstupu; obsah vytvořený uživateli je v této fázi prostý text.

Ochrana proti zneužití a botům

• Omezování počtu požadavků a ochrana proti botům se uplatňují na autentizační a další citlivé koncové body.

Data v klidu a auditní stopa

• Šifrování v klidu u databáze i úložiště souborů.
• Pouze doplňovaný auditní protokol zaznamenává události související se zabezpečením (ověření, změny rolí a členství, finanční události, exporty, smazání). Zapisuje se vždy a je oddělený od provozní telemetrie.
• Sledování chyb s čištěním osobních údajů – osobní údaje jsou z chybových hlášení odstraněny dříve, než opustí naše systémy; zůstává technický kontext plus pseudonymní identifikátory.

Zálohování a obnova

• Automatizované denní zálohy databáze s průběžným obdobím uchovávání. Předchozí nasazení se uchovávají, aby bylo možné chybné vydání rychle vrátit zpět.

5. Organizační opatření

• Produkční data zůstávají ve spravované infrastruktuře. Výpisy produkční databáze se neukládají na místních počítačích; lokální vývoj využívá samostatnou databázi se syntetickými daty.
• Nejmenší oprávnění pro servisní účty. Privilegované přihlašovací údaje jsou určeny pouze pro použití na straně serveru; přístup k databázi z prohlížeče probíhá přes omezený klíč za zabezpečením na úrovni řádků.
• Protokolování přístupu na straně poskytovatele. Administrativní akce u našich poskytovatelů jsou protokolovány těmito poskytovateli a kontrolovány.
• Důvěrnost. Každý, kdo má přístup k produkci, je vázán mlčenlivostí ohledně osobních údajů zpracovávaných prostřednictvím Služby, jak je uvedeno v DPA.

6. Reakce na incident (72hodinové oznámení o narušení)

Monitorování. Chyby a události související se zabezpečením jsou monitorovány a pouze doplňovaný auditní protokol poskytuje trvalý záznam pro vyšetřování.

Náš závazek oznamovat porušení ochrany osobních údajů. Pokud dojde k porušení ochrany osobních údajů, které pravděpodobně povede k ohrožení práv a svobod dotčených osob, budeme:

• Informovat příslušný dozorový úřad – polský Úřad pro ochranu osobních údajů (UODO) – bez zbytečného odkladu a je-li to možné do 72 hodin od okamžiku, kdy se o porušení dozvíme (článek 33 GDPR).
• *Pokud porušení pravděpodobně povede k vysokému* riziku pro dotčené osoby, informovat je bez zbytečného odkladu a popsat povahu porušení, dotčené kategorie údajů, pravděpodobné důsledky a přijatá opatření (článek 34 GDPR**).
• Pokud jednáme jako zpracovatel pro stáj, bez zbytečného odkladu vyrozumět tuto stáj (správce), aby mohla splnit své povinnosti podle článků 33 a 34 vůči svým jezdcům.

To odráží zásady ochrany osobních údajů a DPA. Uvádí, jak implementujeme povinnost, kterou již GDPR ukládá – nejedná se o další smluvní příslib nad rámec GDPR.

Kontakt. Není to naléhavé: support@nose.horse. Zabezpečení (naléhavé): pošlete e-mail na support@nose.horse s `Security` v předmětu.

7. Co zatím nemáme

Zatím nejsme držiteli SOC 2 ani ISO 27001 a dosud jsme si nenechali provést externí penetrační test. Certifikaci zveřejníme, až ji budeme mít, nikoli dříve. Pokud proces zadávání zakázek u potenciální stáje dnes některý z nich vyžaduje, nejsme aktuálně ta správná volba – a raději to řekneme, než abychom rozhovor zdržovali.

8. Právní rámec

GDPR (nařízení 2016/679). Nose působí ve dvojí roli: jako správce údajů, jejichž účely a prostředky určuje (návštěvníci marketingového webu, údaje o účtu a kontaktu správců stájí a instruktorů, přihlašovací identita každého držitele účtu bez ohledu na roli, produktová analytika a údaje pro bezpečnost a prevenci zneužití), a jako zpracovatel provozních údajů jezdců a zákazníků, které zadává stáj. V tomto druhém případě je stáj správcem a Nose zpracovává údaje podle jejích dokumentovaných pokynů v souladu s DPA (článek 28 GDPR). Dílčí zpracovatelé jednají na základě smluv podle článku 28 (DPA + SCC/DPF, dodatku pro Spojené království nebo obdobného mechanismu při přeshraničním přenosu) – viz stránka Dílčí zpracovatelé.

Dětská data. Jezdecké školy pravidelně vyučují děti, takže Nose vědomě zpracovává údaje nezletilých jménem stáje (například dítě zadané jako účastník lekce, často rodičem, který je zákazníkem stáje). Stáj je odpovědná za zákonný základ a jakýkoli požadovaný souhlas rodičů nebo oprávnění podle práva, které se na ni vztahuje (článek 8 GDPR v EU a Spojeném království; COPPA a právo jednotlivých států ve Spojených státech); Nose minimalizuje to, co o dítěti uchovává, a na děti přímo necílí marketingem ani reklamou. Viz Zásady ochrany osobních údajů → „Soukromí dětí“.

Práva subjektů údajů podporujeme, včetně samoobslužného přístupu a přenositelnosti prostřednictvím exportu JSON na /account/export a výmazu přes /account/delete (platí 30denní vratná lhůta a zvýšené opětovné ověření; při výmazu odstraníme přímé identifikátory, nikoli všechny záznamy – jde o pseudonymizaci podle čl. 4 odst. 5 GDPR, nikoli úplnou anonymizaci podle bodu odůvodnění 26). Podrobnosti na úrovni polí jsou v tabulce uchovávání v Zásadách ochrany osobních údajů → „Jak dlouho údaje uchováváme“. U údajů jezdce je správcem stáj, proto jezdec uplatňuje svá práva vůči stáji a Nose jí pomáhá jako zpracovatel; výjimkou je přihlašovací identita jezdce, jejímž správcem je Nose, a práva k ní se proto uplatňují přímo vůči Nose.

PCI DSS – na Nose se nevztahuje. Nezpracováváme, neukládáme ani nepřenášíme údaje o kartách. Při fakturaci předplatného stáje zpracovává údaje o kartě výhradně poskytovatel plateb na své hostované pokladně – Stripe (zpracovatel plateb) pro polské stáje, kde je Nose obchodníkem, a Dodo Payments jako Merchant of Record pro nepolské stáje. Při online platbách jezdců, pokud je stáj povolí, zpracovává údaje o kartě, peněžence nebo (v Polsku) BLIK výhradně Stripe přes Stripe Connect a peníze jsou vypořádány na vlastní účet Stripe stáje. Stáj je obchodníkem a Stripe je zpracovatelem v souladu s PCI; Nose pouze předává pokyny a údaje o kartě nikdy nepřijímá. Ve všech případech tedy Nose zůstává mimo rozsah PCI.

Zákon EU o umělé inteligenci — nevztahuje se. Nose je operační nástroj pro jezdecké školy; neškolí, nevyvíjí ani nenasazuje modely umělé inteligence a žádná součást nepoužívá strojové učení ani generativní umělou inteligenci ke zpracování osobních údajů. Pokud se to změní, zveřejníme stanovisko k zákonu EU o umělé inteligenci a závazek „žádné trénování na osobních údajích“ ještě před vydáním této funkce.

ePrivacy / cookies. Volitelná analytika se načítá pouze se souhlasem (ve Spojených státech: dokud ji nevypnete); přísně nezbytné soubory cookie jsou vyňaty podle čl. 5 odst. 3 směrnice o soukromí a elektronických komunikacích. Viz Zásady používání souborů cookie.

9. Odpovědné zveřejnění

Pokud se domníváte, že jste v Nose našli bezpečnostní chybu:

• E-mail [support@nose.horse](mailto:support@nose.horse) s předmětem `Security`. (Plánuje se vyhrazená adresa `security@` a klíč PGP.)
• Uveďte dostatek podrobností, aby bylo možné problém reprodukovat.
• Dejte nám přiměřenou lhůtu na prošetření a nápravu před jakýmkoli zveřejněním.

Co od nás můžete očekávat:

• Potvrzení přijetí a počáteční posouzení, jakmile to bude rozumně možné; nenecháme důvěryhodnou zprávu bez dozoru.
• Stav se aktualizuje v rozumných intervalech, zatímco se problém třídí nebo opravuje.
• Kredit v jakémkoli zveřejnění po opravě, pokud si to přejete (volitelné). Za hlášení nevyplácíme finanční odměny.

Rozsah a bezpečný přístav. Průzkum zabezpečení v dobré víře, který se řídí těmito zásadami, zůstává ve vašich vlastních účtech, zamezuje znehodnocování Služby pro ostatní a nemá přístup k jiným než vašim vlastním údajům, nebude považován za porušení našich zásad přijatelného užívání nebo smluvních podmínek. Nepokoušejte se získat přístup k datům jiné stáje nebo jiného jezdce a neprovádějte vůči Službě automatizovaný scraping ani testování odmítnutí služby (DoS).

10. Historie změn