Bezpečnost vašich dat

1. Vaše faktury si zaslouží jasná pravidla

Ve Fakturobotu pracujete s údaji, na kterých závisí vaše podnikání. Proto srozumitelně vysvětlujeme, k čemu data používáme, kdo k nim může přistupovat a co se s nimi stane při odchodu ze služby.

Osobní údaje zpracováváme podle GDPR a souvisejících předpisů. Smluvní pravidla upravuje zpracovatelská smlouva, informace o zpracování Zásady ochrany osobních údajů.

2. Kdo za službou stojí

Fakturobot provozuje Online Factory s.r.o. Servery aplikace provozujeme u poskytovatele hostingu MasterDC. Všechny dodavatele, kteří s daty pracují, uvádí stránka Zpracovatelé a dodavatelé.

3. Přihlášení a přenos dat

• Web, aplikace i API fungují jen přes šifrované spojení HTTPS.
• Hesla ukládáme jen jako otisk algoritmem Argon2id – původní heslo neznáme.
• Dvoufázové ověření (kód z ověřovací aplikace a jednorázové záložní kódy) si zapnete v Nastavení → Zabezpečení. Pro správce Fakturobotu je povinné.
• Počet pokusů o přihlášení, obnovu hesla a ověřovací kód je omezený.
• Vidíte svá přihlášená zařízení a můžete je odhlásit. Po změně hesla se ostatní zařízení odhlásí. Přihlášení z nového zařízení vám oznámíme e-mailem.
• Odkazy pro obnovu hesla a pozvánky jsou jednorázové a s omezenou platností.

4. Kdo může k údajům přistupovat

Zákazník určuje své uživatele a jejich role. Každý požadavek na data aplikace ověřuje proti firmě přihlášeného uživatele, takže data jedné firmy nejsou dostupná z jiné; oddělení prověřují automatizované testy.

Na naší straně vyžaduje správcovský přístup dvoufázové ověření a servisní zásahy do dat se zaznamenávají. Údaje zpřístupňujeme potřebným smluvním dodavatelům, příjemcům podle vašich pokynů a v případech stanovených zákonem.

5. Jak chráníme uložená data

• Přístupové tokeny k bankám, tajné klíče dvoufázového ověření a podpisové klíče e-mailů ukládáme šifrovaně.
• Klíče API a jednorázové odkazy ukládáme jen jako otisk.
• Nahrané soubory kontrolujeme podle skutečného typu a velikosti. Přílohy dokladů a exporty leží mimo veřejně dostupnou část serveru a vydáme je jen uživateli s oprávněním.
• Prohlížeči posíláme bezpečnostní hlavičky včetně vynucených zásad zabezpečení obsahu (CSP).
• Změny v účtech a firmách zaznamenáváme do auditního záznamu bez hesel a obsahu formulářů.
• Hlášení chyb aplikace neobsahuje IP adresy, cookies ani obsah formulářů.
• Knihovny, na kterých aplikace stojí, kontrolujeme na známé zranitelnosti při každém sestavení.

6. E-maily a bankovní propojení

Doklady odesíláme e-mailem ze systémové adresy Fakturobotu se jménem vaší firmy. Při doručení faktury získává její obsah také adresát a jeho e-mailová infrastruktura; běžný e-mail není šifrovaný mezi odesílatelem a příjemcem.

Platby párujeme z notifikací a výpisů, které vaše banka posílá a vy přeposíláte na adresu firmy ve Fakturobotu, nebo u Fio banky přes API s tokenem, který zadáte a můžete kdykoli odebrat. Fakturobot z banky jen načítá pohyby; platby nezadává. Platbu z bankovní notifikace spárujeme automaticky jen tehdy, když e-mail podle elektronického podpisu skutečně odeslala banka; jinak čeká na vaši kontrolu.

7. Když se něco stane

Bezpečnostní problém hlaste na info@onlinefactory.cz. Neposílejte hesla ani celé databáze. Pokud dojde k porušení zabezpečení vašich osobních údajů, informujeme vás bez zbytečného odkladu podle zpracovatelské smlouvy a pomůžeme vám vyhodnotit dopady.

8. Data si můžete odnést

Vlastník firmy si v Nastavení → Ochrana údajů připraví export: ZIP s daty firmy v CSV a nahranými přílohami. Doklady stáhnete i jako PDF. Export je dostupný ve všech tarifech včetně tarifu Zdarma.

Smazání uživatelského účtu i zrušení firmy proběhne až po 30denní lhůtě, během které jde žádost odvolat. Co se pak s daty děje, popisují obchodní podmínky.