Zabezpečení dat

1. Integrita dokladů dle § 34 ZDPH

Každý doklad je po nahrání uložen jako write-once — originál nelze přepsat ani změnit. Při uložení se vypočítá kryptografický otisk SHA-256, který je uložen spolu s dokladem a časovým razítkem zamknutí.

Kdykoli lze spustit ověření integrity (endpoint GET /api/v1/documents/{id}/verify-integrity) — systém porovná aktuální otisk souboru s uloženou hodnotou a vrátí stav ok nebo upozornění na narušení. Toto opatření je v souladu s § 34 zákona č. 235/2004 Sb. o DPH.

2. Zpracování a AI inference v EU

Veškerá AI inference — OCR rozpoznávání dokladů i návrhy předkontace — probíhá výhradně v EU regionech Google Cloud Vertex AI (europe-west4, Nizozemsko).

• Smluvní záruka no-training: vaše data nejsou používána k trénování ani vylepšování AI modelů (Vertex AI DPA)
• Data ukládáme a zpracováváme v datových centrech v EU/EHP
• Část sub-zpracovatelů jsou americké společnosti; případný přenos mimo EU/EHP je ošetřený rámcem Data Privacy Framework nebo smluvními doložkami (viz Zásady ochrany osobních údajů)

3. Šifrování

• Při přenosu: TLS 1.2+ na všech spojích mezi klientem, frontendem a backendem
• V klidu (at-rest): šifrování databáze a úložiště dokladů (Supabase / PostgreSQL + Storage)
• Přístup k souborům: výhradně přes podepsané časově omezené URL (platnost 1 hodina) — přímý přístup k úložišti bez platného odkazu není možný

4. Izolace dat

Přístup k datům je řízen na úrovni databáze pomocí Row Level Security (RLS) v PostgreSQL. Každý uživatel a každá účetní firma vidí výhradně svá data — izolace není závislá pouze na aplikační logice, ale je vynucena přímo databázovým enginem.

5. Zálohy

Data jsou pravidelně zálohována do geograficky oddělené EU lokality (Cloudflare R2). Zálohy jsou šifrovány pomocí age šifrování (moderní kryptografie, asymetrický klíč). Retenční lhůty záloh odpovídají zákonným archivačním povinnostem pro účetní doklady.

6. Autentizace

• Autentizace zajišťuje Supabase Auth (JWT tokeny)
• Povinné ověření e-mailové adresy při registraci
• Minimální délka hesla 12 znaků s kontrolou síly; přihlášení je chráněno omezením počtu pokusů na e-mailovou adresu i IP adresu
• Session cookies jsou přenášeny výhradně přes HTTPS (Secure). Session klientského portálu je navíc HttpOnly — nepřístupná JavaScriptu
• Hesla jsou ukládána výhradně jako hash — účty účetních přes Supabase Auth (bcrypt), přístupy do klientského portálu pomocí Argon2id

7. GDPR a zpracovatelská smlouva

• Právo na výmaz účtu kdykoli v nastavení profilu
• Export dat na vyžádání — kontakt: support@kvitano.cz
• Zpracovatelská smlouva (DPA) pro zákazníky — připravujeme; dostupná k podpisu se spuštěním placených plánů
• Podrobnosti o zpracování osobních údajů v Zásadách ochrany osobních údajů

8. Kontakt — security dotazy a responsible disclosure

Pokud jste nalezli bezpečnostní zranitelnost nebo máte dotazy k zabezpečení, kontaktujte nás na support@kvitano.cz. Budeme reagovat do 2 pracovních dnů.