Centrum dôvery

Životný cyklus údajov

Technické a organizačné opatrenia

• serverové uloženie API kľúča bez jeho zobrazovania vo verejnom HTML,
• ochrana formulárov bezpečnostnými tokenmi WordPressu a obmedzenie počtu požiadaviek,
• kontrola verejných URL proti prístupu do interných alebo lokálnych adries,
• povolený zoznam typov súborov, limit veľkosti a kontrola rozbalených kancelárskych dokumentov,
• súkromné ukladanie výstupov a oddelenie používateľských účtov,
• súhrnné meranie interných prechodov medzi stránkami iba pre správcu, bez mena, e-mailu, účtu, cookies alebo identifikátora návštevy,
• automatické čistenie jednotlivých udalostí a súhrnnej analytiky po 90 dňoch,
• PWA ukladá offline iba verejnú ikonu aplikácie; súkromné stránky, audity, výstupy ani upozornenia sa do offline vyrovnávacej pamäte neukladajú,
• upozornenia prehliadača sú dobrovoľné a na zamknutej obrazovke zobrazujú iba všeobecnú informáciu bez názvu firmy či obsahu výstupu,
• bezpečnostné hlavičky, vypnutý verejný zoznam používateľov a XML-RPC,
• predvolený režim návrh + kontrola človekom; automatické konanie nie je zapnuté bez osobitného návrhu a súhlasu.

Tieto opatrenia znižujú riziko, ale nepredstavujú certifikáciu ani záruku absolútnej bezpečnosti.

Poskytovatelia a integrácie

Pri AI výstupe môže byť spracovateľom poskytovateľ nakonfigurovaného AI API. Hosting a e-mail zabezpečujú príslušní poskytovatelia prevádzky webu. Aktuálny zoznam spracovateľov musí prevádzkovateľ pred ostrým spustením doplniť podľa reálnych zmlúv a nastavení.

Educado zatiaľ štandardne nežiada heslá do e-mailu, kalendára, CRM, banky ani účtovníctva. Budúce integrácie majú používať samostatné konektory v prostredí klienta, minimálne oprávnenia, testovacie dáta, záznam krokov a možnosť prístup okamžite odobrať.

Čo od používateľa potrebujeme

• vkladať iba údaje potrebné pre konkrétnu úlohu,
• anonymizovať osobné a citlivé údaje,
• neposielať heslá, tokeny ani celé databázy,
• overiť fakty, ceny, termíny a právne alebo finančné tvrdenia,
• nenechať AI samostatne vykonať krok s vysokým dopadom bez schválenia.

Úrovne prístupu A0 až A5

Súhlas s auditom nie je súhlasom s pripojením systému ani so zápisom. Každé zvýšenie úrovne sa schvaľuje samostatne, s konkrétnym rozsahom a možnosťou odvolania.