Bezpečnost a důvěra

1. Jednostránkové shrnutí

Náš poctivý současný stav k 8. 7. 2026: Nose for Horse (dále jen „Nose“) je produkt v rané fázi provozovaný samostatným operátorem. Dnes NEJSME držiteli SOC 2 ani ISO 27001 a ještě jsme neměli externí penetrační test. Tato stránka popisuje, co děláme, co uchováváme a co ještě nemáme. Raději vám jasně řekneme, kde si stojíme, než abychom to přeháněli.

• Kdo jsme. Nose je software pro provoz jezdecké školy – plánování lekcí, sledování docházky a způsobu plateb jezdců, správu permanentek a dárkových poukazů, výpočet odměn instruktorů a zpřístupnění vlastních rezervací zákazníkům stáje. Provozuje ho DF Daniel Fojcik, polský živnostník (NIP 6472592229 / REGON 387798601, Marklowice), obchodující pod názvem Nose for Horse.
• Naše dvě role. Jsme správcem osobních údajů pro údaje o vlastním účtu, analytiku a bezpečnost a zpracovatelem osobních údajů jednajícím podle pokynů každé stáje ohledně údajů o jezdcích a zákaznících, které stáj zadá. Vztah zpracovatele se řídí naší smlouvou o zpracování osobních údajů (DPA). Viz níže „Právní rámec“.
• Jaké údaje uchováváme. E-mail účtu a volitelné jméno/telefon v profilu; e-mailové adresy pro pozvánky; provozní záznamy, které stáj zadá o jezdcích (jména, kontakty, účast na lekcích, permanentky a poukazy, štítky plateb a volné poznámky); PINy rozvrhu hašované pomocí bcryptu; tokeny pozvánek hašované pomocí SHA-256. Neuchováváme údaje o platebních kartách, bankovní údaje ani zdravotní údaje. Úplný přehled je níže v části „Údaje, které uchováváme“.
• Co je chrání. TLS všude s přednačtením HSTS; šifrování v klidu (AES-256); databází vynucené zabezpečení na úrovni řádků izolující každou stáj; ověřování relace na straně serveru; zvýšené opětovné ověření pro destruktivní a administrativní akce; přísné zásady zabezpečení obsahu; omezování rychlosti a ochrana proti botům; a pouze doplňovaný auditní protokol. Úplný seznam je níže v části „Technická opatření“.
• Kde to běží. Ve více než jednom datovém regionu a regiony přidáváme, jak rosteme. Data zákazníků stájí v regionu USA jsou uložena ve Spojených státech. Služba je provozována, spravována a podporována z Evropské unie. Stáje v našem regionu EU jsou obsluhovány z EHP. Několik služeb je sdílených oběma regiony a běží v EHP — transakční e-maily, sledování chyb, analytika se souhlasem — a několik komponent běží globálně. Regiony a mechanismy přenosu jednotlivých poskytovatelů — zvlášť pro každý datový region — najdete níže v části „Infrastruktura – kdo co provozuje a kde“ a na stránce Dílčí zpracovatelé.
• Co ještě nemáme. Žádné SOC 2, ISO 27001, externí penetrační test nebo bug-bounty program. Pokud váš proces zadávání zakázek dnes vyžaduje SOC 2, ještě pro vás nejsme ta správná volba.
• Jak nás kontaktovat ohledně zabezpečení. Zašlete e-mail na adresu support@nose.horse a v předmětu uveďte `Security`. Viz „Reakce na incident (72hodinové oznámení o narušení)“ a „Odpovědné zveřejnění“ níže.

2. Údaje, které uchováváme

Shromažďujeme minimum potřebné k provozování Služby. Níže uvedené kategorie jsou osobní údaje, které se dotýkají Nose.

Tam, kde řádek uvádí region vaší stáje, jde o region EU, nebo region USA — určený v okamžiku vytvoření stáje a popsaný níže v části „Infrastruktura – kdo co provozuje a kde“.

Co neuchováváme

• Žádné údaje o platebních kartách ani bankovní údaje. Nose nikdy není účastníkem platby ani nenakládá s údaji o kartě. Offline metody (hotovost / permanentka / dárkový poukaz / převod) jsou jen štítky zaznamenané stájí, nikoli transakce prováděné Nose. Údaje o kartě pro fakturaci předplatného stáje (Stripe pro polské stáje, Dodo Payments jako Merchant of Record pro nepolské stáje) i pro online platby jezdců tam, kde je stáj povolí (Stripe s vypořádáním na vlastní účet stáje), zpracovává výhradně poskytovatel plateb na své pokladně a nikdy se k nám nedostanou. Proto jsme mimo rozsah PCI DSS (viz níže „Právní rámec“).
• Žádné doklady totožnosti ani adresy. Neshromažďujeme domácí adresy, čísla dokladů totožnosti ani vládní identifikátory.
• Žádné údaje zvláštní kategorie (zdravotní). Nemáme v úmyslu shromažďovat údaje podle článku 9 GDPR a produkt není určen k jejich ukládání. Stáje mají (v DPA) pokyn nezadávat údaje zvláštní kategorie do polí s volným textem. Poznámky o koni se týkají zvířete, nikoli osoby, a nespadají pod GDPR.
• Žádné reklamní profily, identifikátory retargetingu nebo sledování napříč weby. Žádné pixely Meta/LinkedIn/X/TikTok; žádné snímání otisku prohlížeče (fingerprinting).
• Žádná data neprodaná, pronajatá nebo zapůjčená třetím stranám.
• Žádné trénování modelů AI/ML na vašich datech. Na osobních datech čerpaných z Nose netrénujeme, nevylaďujeme ani nevyhodnocujeme žádné modely umělé inteligence ani strojového učení. Rozšíření `pgvector` je v našem Postgresu povoleno pro budoucí případy použití v rámci interního vyhledávání, ale dnes není obsazeno žádnými vloženími odvozenými z osobních údajů.

3. Infrastruktura – kdo co provozuje a kde

Nose je aplikace Next.js hostovaná na Vercelu, podporovaná databází Supabase Postgres, s malou sadou specializovaných poskytovatelů („dílčích zpracovatelů“), z nichž každý zpracovává úzký úsek. Žádný nemá úplný přístup ke všemu. Nose běží ve dvou datových regionech: v regionu EU a v regionu USA. Data zákazníků stájí v regionu USA jsou uložena ve Spojených státech. Služba je provozována, spravována a podporována z Evropské unie. Provozní data stáje se nacházejí pouze v databázi jejího vlastního regionu — mezi regiony neprobíhá žádná replikace a v aplikaci neexistuje cesta, která by data četla napříč nimi. Tři služby jsou sdílené oběma regiony a zůstávají v EHP — transakční e-maily, sledování chyb a produktová analytika se souhlasem. Tabulka níže uvádí region každého poskytovatele zvlášť pro každý datový region; kanonickým seznamem — s kategoriemi údajů a mechanismy přenosu — je stránka Dílčí zpracovatelé.

Kanonická, vždy aktuální verze této tabulky – s kategoriemi osobních údajů a mechanismy přenosu podle jednotlivých poskytovatelů – je udržována na stránce Dílčí zpracovatelé; Zásady ochrany osobních údajů a DPA odkazují na stejný zdroj, místo aby uchovávaly odlišné kopie.

4. Technická opatření

Toto jsou opatření, která jsou dnes skutečně zavedena. To je také podstata DPA → „Důvěrnost, bezpečnost a dílčí zpracovatelé“, která zde odkazuje na naše technická a organizační opatření.

Síť a přenos

• TLS pro veškerý provoz, vynucené společnostmi Vercel a Supabase. HSTS je nastaveno pomocí `max-age=63072000; includeSubDomains; preload`.
• Žádný smíšený obsah — Zásady zabezpečení obsahu odmítají zdroje `http://`.

Izolace tenantů a autorizace

• Row-Level Security (RLS) v rozsahu pro každou stáj na každé operační tabulce, vynucené v samotné databázi — data jedné stáje nemůže jiná číst, i když kód aplikace měl chybu. Toto je primární obrana proti přístupu mezi tenanty.
• Kontroly rolí v aplikační vrstvě (ověřený uživatel / rozsah konkrétní stáje / instruktor nebo správce / superadministrátor) jako další vrstva ochrany nad RLS, nikdy jako jediná obrana.
• Kontroly vrstvy trasy vyžadují aktivní relaci pro chráněné cesty a status superadministrátora pro administrátorské rozhraní.

Autentizace

• Přihlášení bez hesla – e-mailový magický odkaz (spravovaný Supabase Auth) nebo volitelné přihlášení Google (OAuth). Nejsou uložena žádná hesla.
• Ověření relace na straně serveru u každého chráněného požadavku – samotný soubor cookie pro přihlášení není nikdy důvěryhodný.
• Opětovné ověření pro destruktivní a administrativní akce – pro operace jako smazání účtu, změnu role posledního správce, hromadnou deaktivaci, archivaci stáje a všechny zápisy superadministrátora je vyžadována krátkodobá, samostatně podepsaná cookie pro zvýšené ověření; pokud chybí nebo vypršela, operace se bezpečně odmítne.
• Administrátorské rozhraní platformy vrátí 404, když není nakonfigurován žádný superadmin, takže se jeho existence neprozradí.

Tajemství a zpracování pověření

• PINy plánu jsou uloženy jako bcrypt hash; tokeny pozvánky jsou uloženy jako SHA-256 hash – jednorázové, časově omezené (vypršení 7 dní) a vázané na e-mail; surové tokeny nejsou nikdy zachovány.
• Klíč databázové služby je pouze pro server — nikdy není součástí JavaScriptu klienta; validátor při sestavení build zastaví, pokud má citlivá proměnná nesprávnou předponu.

Manipulace se vstupy a výstupy

• Ověření schématu na každé hranici vstupu serveru — ověření na straně klienta je považováno pouze za UX; server je hranicí důvěry.
• Přísné zásady zabezpečení obsahu s nonce pro každý požadavek a uzamčenou sadou bezpečnostních hlaviček (`X-Content-Type-Options`, `X-Frame-Options` / `frame-ancestors`, `Referrer-Policy`, hlavičky izolace napříč původy a omezující `Permissions-Policy`).
• Automatické escapování výstupu; obsah vytvořený uživateli je v této fázi prostý text.

Ochrana proti zneužití a botům

• Omezování počtu požadavků u přihlášení, registrace, magického odkazu, přijetí pozvánky, exportu/vymazání a dalších citlivých koncových bodů (na e-mail, na IP, na uživatele nebo na stáj podle dané akce; každá zásada je podle návrhu otevřena při selhání nebo uzavřena při selhání).
• Ochrana proti botům Cloudflare Turnstile na přihlašovacím formuláři, registračním formuláři, žádosti o magický odkaz, stránce přijetí pozvánky a zadání PIN veřejného plánu.

Data v klidu a auditní stopa

• Šifrování v klidu přes Supabase (AES-256).
• Pouze doplňovaný auditní protokol zaznamenává události související se zabezpečením (ověření, změny rolí a členství, finanční události, exporty, smazání). Zapisuje se vždy a je oddělený od provozní telemetrie.
• Sledování chyb s čištěním osobních údajů – před odesláním jakékoli chyby do Sentry zahodí vlastní scrubber e-mailové adresy, telefonní čísla, těla zpráv, poznámky a všechna pole, která vypadají jako token. Zůstává technický kontext plus UUID pseudonymního uživatele, identifikátor stáje, národní prostředí a název neúspěšné operace.

Zálohování a obnova

• Supabase poskytuje automatizované denní zálohování (7denní uchovávání na aktuální úrovni; delší uchovávání je plánováno, jak bude Služba zralá). Vercel uchovává předchozí nasazení pro téměř okamžité vrácení chybného vydání.

5. Organizační opatření

• Sólový operátor. Nose provozuje jedna osoba (Daniel Fojcik). V tuto chvíli nejsou žádní zaměstnanci s přístupem k produkci. Pokud se to změní – například je zapsán dodavatel s produkčním přístupem – tato stránka bude aktualizována a aktivní stáje upozorněny.
• Produkční data zůstávají ve spravované infrastruktuře. Výpisy produkční databáze se neukládají na místních počítačích; lokální vývoj využívá samostatnou databázi se syntetickými daty.
• Nejmenší oprávnění pro servisní účty. Klíč databázové služby je určen pouze pro použití na straně serveru; přístup k databázi prohlížeče používá omezený klíč za zabezpečením na úrovni řádků.
• Správa tajných údajů. Tajné údaje jsou uloženy v konfiguraci prostředí poskytovatele hostingu a v lokálním souboru vyloučeném přes gitignore – nikdy se nevkládají do repozitáře. Produkční tajné údaje se nekopírují na lokální počítače.
• Protokolování přístupu na straně poskytovatele. Administrativní akce u našich poskytovatelů jsou protokolovány těmito poskytovateli; kontrolujeme je ad-hoc.
• Důvěrnost. Zaměstnanci (v současnosti vlastník) jsou vázáni mlčenlivostí ohledně osobních údajů zpracovávaných prostřednictvím Služby, jak je uvedeno v DPA.
• Disciplína při změnách. Změny kódu procházejí před nasazením přísnou kontrolou typů, lintem a automatizovanými testy a migrace databází jsou aplikovány na testovací (staging) prostředí před nasazením do produkce.

6. Reakce na incident (72hodinové oznámení o narušení)

Monitorování. Chyby směřují do Sentry (s odstraněním osobních údajů popsaným výše v části „Technická opatření“); diagnostika na úrovni požadavků je k dispozici v hostovacích protokolech; monitor dostupnosti a upozornění na chybovost jsou součástí bezpečnostního základu. Pouze doplňovaný auditní protokol poskytuje trvalý záznam událostí souvisejících se zabezpečením pro vyšetřování.

Náš závazek oznamovat porušení ochrany osobních údajů. Pokud dojde k porušení ochrany osobních údajů, které pravděpodobně povede k ohrožení práv a svobod dotčených osob, budeme:

• Informovat příslušný dozorový úřad – polský Úřad pro ochranu osobních údajů (UODO) – bez zbytečného odkladu a je-li to možné do 72 hodin od okamžiku, kdy se o porušení dozvíme (článek 33 GDPR).
• *Pokud porušení pravděpodobně povede k vysokému* riziku pro dotčené osoby, informovat je bez zbytečného odkladu a popsat povahu porušení, dotčené kategorie údajů, pravděpodobné důsledky a přijatá opatření (článek 34 GDPR**).
• Pokud jednáme jako zpracovatel pro stáj, bez zbytečného odkladu vyrozumět tuto stáj (správce), aby mohla splnit své povinnosti podle článků 33 a 34 vůči svým jezdcům.

To odráží zásady ochrany osobních údajů a DPA. Uvádí, jak hodláme implementovat povinnost, kterou již GDPR ukládá – nejedná se o další smluvní příslib nad rámec GDPR. Na cestovní mapě je formálně zdokumentovaná runbook reakce na incidenty; do té doby jednočlenný tým odpovídá ad hoc ve výše uvedených časových osách.

Kontakt. Není to naléhavé: support@nose.horse. Zabezpečení (naléhavé): pošlete e-mail na support@nose.horse s `Security` v předmětu.

7. Právní rámec

GDPR (nařízení 2016/679). Nose působí ve dvojí roli: jako správce údajů, jejichž účely a prostředky určuje (návštěvníci marketingového webu, údaje o účtu a kontaktu správců stájí a instruktorů, produktová analytika se souhlasem a údaje pro bezpečnost a prevenci zneužití), a jako zpracovatel provozních údajů jezdců a zákazníků, které zadává stáj. V tomto druhém případě je stáj správcem a Nose zpracovává údaje podle jejích dokumentovaných pokynů v souladu s DPA (článek 28 GDPR). Dílčí zpracovatelé jednají na základě smluv podle článku 28 (DPA + SCC/DPF, dodatku pro Spojené království nebo obdobného mechanismu při přeshraničním přenosu) – viz stránka Dílčí zpracovatelé.

Dětská data. Jezdecké školy pravidelně vyučují děti, takže Nose vědomě zpracovává údaje nezletilých jménem stáje (například dítě zadané jako účastník lekce, často rodičem, který je zákazníkem stáje). Stáj je odpovědná za zákonný základ a jakýkoli požadovaný souhlas rodičů nebo oprávnění podle práva, které se na ni vztahuje (článek 8 GDPR v EU a Spojeném království; COPPA a právo jednotlivých států ve Spojených státech); Nose minimalizuje to, co o dítěti uchovává, a na děti přímo necílí marketingem ani reklamou. Viz Zásady ochrany osobních údajů → „Soukromí dětí“.

Práva subjektů údajů podporujeme, včetně samoobslužného přístupu a přenositelnosti prostřednictvím exportu JSON na /account/export a výmazu přes /account/delete (platí 30denní vratná lhůta a zvýšené opětovné ověření; při výmazu odstraníme přímé identifikátory, nikoli všechny záznamy – jde o pseudonymizaci podle čl. 4 odst. 5 GDPR, nikoli úplnou anonymizaci podle bodu odůvodnění 26). Podrobnosti na úrovni polí jsou v tabulce uchovávání v Zásadách ochrany osobních údajů → „Jak dlouho údaje uchováváme“. U údajů jezdce je správcem stáj, proto jezdec uplatňuje svá práva vůči stáji a Nose jí pomáhá jako zpracovatel.

PCI DSS – na Nose se nevztahuje. Nezpracováváme, neukládáme ani nepřenášíme údaje o kartách. Při fakturaci předplatného stáje zpracovává údaje o kartě výhradně poskytovatel plateb na své hostované pokladně – Stripe (zpracovatel plateb) pro polské stáje, kde je Nose obchodníkem, a Dodo Payments jako Merchant of Record pro nepolské stáje. Při online platbách jezdců, pokud je stáj povolí, zpracovává údaje o kartě, peněžence nebo (v Polsku) BLIK výhradně Stripe přes Stripe Connect a peníze jsou vypořádány na vlastní účet Stripe stáje. Stáj je obchodníkem a Stripe je zpracovatelem v souladu s PCI; Nose pouze předává pokyny a údaje o kartě nikdy nepřijímá. Ve všech případech tedy Nose zůstává mimo rozsah PCI.

Zákon EU o umělé inteligenci — nevztahuje se. Nose je operační nástroj pro jezdecké školy; neškolí, nevyvíjí ani nenasazuje modely umělé inteligence a žádná součást nepoužívá strojové učení ani generativní umělou inteligenci ke zpracování osobních údajů. Rozšíření `pgvector` Postgres je povoleno pro možné budoucí případy použití v rámci interního vyhledávání, ale dnes není naplněno vložením odvozeným z osobních údajů; pokud se to změní, zveřejníme stanovisko k zákonu EU o umělé inteligenci a závazek „žádné trénování na osobních údajích“ ještě před vydáním této funkce.

ePrivacy / cookies. Volitelná analytika (PostHog) se načítá pouze se souhlasem; přísně nezbytné soubory cookie jsou vyňaty podle čl. 5 odst. 3 směrnice o soukromí a elektronických komunikacích. Viz Zásady používání souborů cookie.

8. Odpovědné zveřejnění

Pokud se domníváte, že jste v Nose našli bezpečnostní chybu:

• E-mail [support@nose.horse](mailto:support@nose.horse) s předmětem `Security`. (Plánuje se vyhrazená adresa `security@` a klíč PGP.)
• Uveďte dostatek podrobností, aby bylo možné problém reprodukovat.
• Dejte nám přiměřenou lhůtu na prošetření a nápravu před jakýmkoli zveřejněním.

Co od nás můžete očekávat:

• Potvrzení přijetí a počáteční posouzení, jakmile to bude rozumně možné. Nose je služba provozovaná samostatně a nemůže zaručit odpověď ve stejný den; nenecháme důvěryhodnou zprávu bez dozoru.
• Stav se aktualizuje v rozumných intervalech, zatímco se problém třídí nebo opravuje.
• Kredit v jakémkoli zveřejnění po opravě, pokud si to přejete (volitelné).

Co zatím nemůžeme nabídnout: v této fázi nevyplácíme peněžní odměny za nalezené chyby. Jasně řekneme, zda a kdy bude bounty program dostupný.

Rozsah a bezpečný přístav. Průzkum zabezpečení v dobré víře, který se řídí těmito zásadami, zůstává ve vašich vlastních účtech, zamezuje znehodnocování Služby pro ostatní a nemá přístup k jiným než vašim vlastním údajům, nebude považován za porušení našich zásad přijatelného užívání nebo smluvních podmínek. Nepokoušejte se získat přístup k datům jiné stáje nebo jiného jezdce a neprovádějte vůči Službě automatizovaný scraping ani testování odmítnutí služby (DoS).

9. Historie změn