Vaše údaje v bezpečí

Všetky údaje zákazníkov — databáza, nahrané fotografie a dokumenty aj zálohy — sú uložené v Európskej únii, v českom dátovom centre Aruba Cloud (Aruba S.p.A.).

EHS Axis vyvíja a prevádzkuje spoločnosť Cyber in Systems Kft., maďarská firma. Žiadny poskytovateľ mimo EÚ neukladá údaje pracovného priestoru (nezhody, incidenty, fotografie a pod.) a mimo EÚ ich neprenášame. Jedinou výnimkou je platba kartou: Stripe môže kontaktné fakturačné údaje v rámci svojej skupiny prenášať do USA na základe rámca EU–US Data Privacy Framework.

Každé spojenie medzi vaším prehliadačom a naším serverom je šifrované (TLS 1.2 a 1.3, HSTS); staršie, slabé protokoly sa odmietajú.

Heslá ukladáme iba ako jednosmerné hashe so soľou (bcrypt) — ani my ich nevidíme. Tajné kľúče dvojfázového overenia sú uložené zašifrované pomocou AES-256-GCM. Údaje o kartách spracúva Stripe a k nám sa nikdy nedostanú.

Šesť rolí (vlastník, administrátor, schvaľovateľ, zodpovedná osoba, oznamovateľ, čitateľ) určuje, kto čo smie vidieť a meniť.

Dvojfázové overenie (aplikácia na overenie + záložné kódy) je k dispozícii každému používateľovi a vlastník spoločnosti ho môže nastaviť ako povinné pre administrátorov alebo pre všetkých. Účty sa po príliš mnohých neúspešných pokusoch o prihlásenie dočasne zablokujú a zmena hesla odhlási všetky ostatné relácie.

Konzola prevádzkovateľa používa prihlásenie oddelené od zákazníckych účtov, je chránená dvojfázovým overením a je prístupná len určeným pracovníkom viazaným mlčanlivosťou.

Údaje každej spoločnosti sú logicky oddelené: každý dopyt je filtrovaný na spoločnosť a spoločnosť vždy určuje server, nikdy údaje odoslané z prehliadača. Automatizované testy pred každým vydaním overujú, že žiadna spoločnosť nevidí údaje inej.

Zdravotné údaje v záznamoch o incidentoch (zranenie, údaje o zranenom) sú v rámci spoločnosti viditeľné len pre administrátorov a určeného vyšetrovateľa.

Typ nahrávaných súborov kontrolujeme podľa ich obsahu (nie podľa názvu) a platia limity veľkosti. Súbory môžu sťahovať iba členovia spoločnosti, faktúry len administrátori.

Fotografie sa pri nahraní znova komprimujú a zbavujú sa skrytých metaúdajov (EXIF), vrátane polohy GPS.

Databáza a nahrané súbory sa zálohujú denne a uchovávajú 14 dní; záloha z každého dňa sa navyše kopíruje na samostatný server. K zálohám má prístup iba prevádzkovateľ.

Obnovu zo zálohy automaticky testujeme každý týždeň: z najnovšej zálohy vytvoríme dočasnú databázu a overíme údaje aj odkazované súbory.

Naše záväzky: stratiť sa môže najviac 24 hodín údajov (RPO — od poslednej dennej zálohy) a po závažnej poruche obnovíme službu do 1 pracovného dňa (RTO).

Cielime na mesačnú dostupnosť 99,5 %. Službu každých 5 minút kontrolujeme z oddeleného servera a pri výpadku sme okamžite upozornení; správca procesov aplikáciu reštartuje, ak sa zastaví.

Aktualizácie nasadzujeme podľa možnosti mimo pracovného času; spôsobia najviac niekoľko minút výpadku.

Pred každým vydaním bežia automatizované regresné testy — vrátane testov oprávnení, testov izolácie medzi spoločnosťami a bezpečnostných testov simulujúcich útoky. Naša posledná komplexná bezpečnostná previerka prebehla v októbri 2026; zistené nedostatky boli odstránené a testy strážia, aby sa nevrátili.

Používané knižnice pravidelne aktualizujeme a kontrolujeme na známe zraniteľnosti. Prísne bezpečnostné hlavičky (Content Security Policy, ochrana proti clickjackingu) pridávajú ochranu v prehliadači.

Dotknutých zákazníkov informujeme o porušení ochrany osobných údajov bez zbytočného odkladu, najneskôr do 48 hodín, s informáciami požadovanými čl. 33 GDPR (čo sa stalo, koho sa to týka, pravdepodobné dôsledky, čo sme urobili).

Logy servera a aplikácie uchovávame 30 dní, aby bolo možné udalosti dodatočne vyšetriť.

Vlastník spoločnosti si môže kedykoľvek bezplatne stiahnuť všetky údaje a súbory spoločnosti (JSON, Excel a súbory v archíve ZIP) — zmenu poskytovateľa podporujeme v súlade s nariadením EÚ o údajoch (Data Act).

Po skončení predplatného zostanú údaje 90 dní len na čítanie a export, potom ich vymažeme (zo záloh zmiznú v priebehu ďalších 14 dní).

Využívame iba poskytovateľov nevyhnutných na prevádzku, ktorí spracúvajú údaje v súlade s pravidlami EÚ: hosting a zálohovanie, odosielanie e-mailov, online platby, fakturáciu a ochranu verejných formulárov pred robotmi. Úplný a aktuálny zoznam je v prílohe 1 Zmluvy o spracúvaní osobných údajov; pred pridaním nového sprostredkovateľa vás informujeme najmenej 30 dní vopred.

Ak objavíte bezpečnostný problém, napíšte nám, prosím, na info@ehsaxis.com s predmetom „Security“ a nezverejňujte ho, kým ho neopravíme. Odpovieme do 5 pracovných dní. Kontaktné údaje sú aj v strojovo čitateľnej podobe na /.well-known/security.txt.