Bezpečnosť a dôvera

1. Zhrnutie na jednu stranu

Nose for Horse (ďalej len „Nose“) je produkt v ranej fáze. Dnes nemáme certifikáciu SOC 2 ani ISO 27001 a zatiaľ sme si nedali urobiť externý penetračný test. Táto stránka opisuje, aké údaje uchovávame, kde to beží a aké triedy opatrení ich chránia, aby sa stajňa, ktorej záleží na bezpečnosti, mohla rozhodnúť so znalosťou veci.

• Kto sme. Nose je softvér na prevádzku jazdeckej školy — plánovanie lekcií, sledovanie účasti a spôsobu, akým jazdci zaplatili, správa permanentiek a darčekových poukazov, výpočet zárobkov inštruktorov a sprístupnenie vlastných rezervácií klientom stajne. Prevádzkuje ho DF Daniel Fojcik, poľský živnostník (NIP 6472592229 / REGON 387798601, Marklowice), podnikajúci pod obchodným označením Nose for Horse.
• Naše dve úlohy. Sme prevádzkovateľom pri údajoch o našich vlastných účtoch, pri analytike a pri bezpečnostných údajoch a sprostredkovateľom, ktorý koná podľa pokynov každej stajne, pri údajoch o jazdcoch a klientoch, ktoré daná stajňa zadá. Vzťah sprostredkovateľa sa riadi našou Zmluvou o spracúvaní osobných údajov (DPA). Pozrite nižšie časť „Rámec súladu s predpismi“.
• Aké údaje uchovávame. E-mail účtu a voliteľné meno/telefón v profile; e-mailové adresy pozvánok; prevádzkové záznamy, ktoré stajňa zadá o svojich jazdcoch (mená, kontakty, účasť na lekciách, permanentky a poukazy, štítky evidencie platieb, poznámky vo voľnom texte); PIN kódy rozvrhu a tokeny pozvánok uložené výlučne ako jednosmerné haše. Neuchovávame údaje o platobných kartách ani bankové údaje a neuchovávame ani údaje o zdraví. Úplný prehľad nájdete nižšie v časti „Údaje, ktoré uchovávame“.
• Čo ich chráni. Šifrovanie prenášaných aj uložených údajov; izolácia tenantov vynútená priamo v databáze; overovanie relácie na strane servera; zvýšené opätovné overenie pri deštruktívnych a administratívnych úkonoch; prísne pravidlá Content Security Policy; obmedzovanie počtu požiadaviek a ochrana proti botom; a auditný záznam, do ktorého sa dá iba pridávať. Pozrite nižšie časť „Technické opatrenia“.
• Kde to beží. Vo viac než jednom dátovom regióne a s rastom pridávame ďalšie. Údaje zákazníkov stajní v regióne USA sa uchovávajú v Spojených štátoch. Služba je prevádzkovaná, spravovaná a podporovaná z Európskej únie. Stajne v našom regióne EÚ sú obsluhované z EHP. Niekoľko služieb je spoločných pre oba regióny a beží v EHP — transakčné e-maily, monitorovanie chýb, produktová analytika — a niekoľko komponentov beží globálne. Regióny a mechanizmy prenosu jednotlivých poskytovateľov nájdete na stránke Ďalší sprostredkovatelia.
• Čo zatiaľ nemáme. Žiadne SOC 2, ISO 27001 ani externý penetračný test. Ak Váš obstarávací proces dnes vyžaduje niektorú z týchto vecí, zatiaľ pre Vás nie sme vhodným dodávateľom.
• Ako nás kontaktovať vo veciach bezpečnosti. Napíšte na support@nose.horse a v predmete uveďte `Security`. Pozrite nižšie časti „Reakcia na incident (oznámenie porušenia ochrany údajov do 72 hodín)“ a „Zodpovedné zverejňovanie“.

2. Údaje, ktoré uchovávame

Zhromažďujeme minimum potrebné na prevádzku Služby. Nižšie uvedené kategórie sú osobné údaje, ktoré sa dostávajú do kontaktu s Nose.

Tam, kde riadok uvádza región Vašej stajne, ide o región EÚ alebo región USA — určený v okamihu vytvorenia stajne a opísaný nižšie v časti „Infraštruktúra — kto čo prevádzkuje a kde“.

Aké údaje neuchovávame

• Žiadne údaje o platobných kartách ani bankové údaje. Nose nikdy nie je stranou platby a nikdy nenarába s údajmi o karte. Offline spôsoby („hotovosť“, „permanentka“, „poukaz“, „prevod“) sú evidenčné štítky, ktoré si zaznamenáva stajňa — nie transakcie, ktoré by vykonávalo Nose. Pri fakturácii predplatného stajne (Stripe pre poľské stajne, Dodo Payments ako Merchant of Record pre stajne mimo Poľska) aj pri online platbách jazdcov tam, kde ich stajňa umožní (Stripe, so zúčtovaním na vlastný účet stajne), spracúva údaje o karte výlučne poskytovateľ platieb na svojej vlastnej pokladnici a k nám sa nikdy nedostanú — preto zostávame mimo rozsahu PCI DSS (pozrite nižšie časť „Rámec súladu s predpismi“).
• Žiadne doklady totožnosti ani adresy. Nezhromažďujeme adresy bydliska, čísla dokladov totožnosti ani identifikátory pridelené štátom.
• Žiadne osobitné kategórie údajov (údaje o zdraví). Nemáme v úmysle zhromažďovať údaje podľa článku 9 GDPR a produkt nie je navrhnutý na ich ukladanie. Stajne majú (v DPA) pokyn nezadávať osobitné kategórie údajov do polí s voľným textom. Poznámky o koni sa týkajú zvieraťa, nie osoby, a nespadajú pod GDPR.
• Žiadne reklamné profily, identifikátory na retargeting ani sledovanie naprieč webmi. Žiadne pixely Meta/LinkedIn/X/TikTok; žiadne vytváranie odtlačku prehliadača.
• Žiadne údaje nepredávame, neprenajímame ani nepožičiavame tretím stranám.
• Žiadne trénovanie modelov AI/ML na Vašich údajoch. Na osobných údajoch pochádzajúcich z Nose netrénujeme, nedolaďujeme ani nevyhodnocujeme žiadny model umelej inteligencie ani strojového učenia.

3. Infraštruktúra — kto čo prevádzkuje a kde

Nose je hosťovaný na spravovanej cloudovej infraštruktúre, s malou skupinou špecializovaných poskytovateľov („ďalší sprostredkovatelia“), z ktorých každý pokrýva len úzky výsek. Žiadny z nich nemá úplný prístup ku všetkému. Nose prevádzkuje dva dátové regióny: región EÚ a región USA. Údaje zákazníkov stajní v regióne USA sa uchovávajú v Spojených štátoch. Služba je prevádzkovaná, spravovaná a podporovaná z Európskej únie. Prevádzkové údaje stajne sa nachádzajú výlučne v databáze jej vlastného regiónu — medzi regiónmi neexistuje replikácia ani žiadna cesta v aplikácii, ktorá by čítala naprieč nimi. Tri služby sú spoločné pre oba regióny a zostávajú v EHP — transakčné e-maily, monitorovanie chýb a analytika produktu.

Kanonickým, vždy aktuálnym zoznamom poskytovateľov — s účelom, kategóriami osobných údajov, regiónom spracúvania osobitne pre každý dátový región a mechanizmom prenosu pri každom z nich — je stránka Ďalší sprostredkovatelia. Zásady ochrany osobných údajov a DPA odkazujú na ten istý zdroj namiesto toho, aby si viedli odlišné kópie, a rovnako to robí aj táto stránka.

4. Technické opatrenia

Ide o triedy kontrolných mechanizmov, ktoré sú dnes skutočne zavedené. Je to zároveň obsah, ktorý stojí za časťou DPA → „Dôvernosť, bezpečnosť a ďalší sprostredkovatelia“, ktorá v otázke našich technických a organizačných opatrení odkazuje sem.

Sieť a prenos

• TLS pre všetku prevádzku, s HSTS v režime preload.
• Žiadny zmiešaný obsah — Content Security Policy odmieta nezabezpečené zdroje.

Izolácia tenantov a autorizácia

• Zabezpečenie na úrovni riadkov vymedzené pre každú stajňu v každej prevádzkovej tabuľke, vynútené priamo v databáze — údaje jednej stajne nedokáže prečítať iná, ani keby bola v kóde aplikácie chyba. Toto je hlavná obrana medzi tenantmi.
• Kontroly rolí na úrovni aplikácie ako hĺbková obrana nad izoláciou v databáze, nikdy nie ako jediná línia.

Autentifikácia

• Prihlásenie bez hesla — magický odkaz v e-maile alebo voliteľné prihlásenie cez Google či Apple. Neuchovávajú sa žiadne heslá.
• Overovanie relácie na strane servera pri každej chránenej požiadavke — samotnému prihlasovaciemu súboru cookie sa nikdy nedôveruje.
• Zvýšené opätovné overenie pri deštruktívnych a administratívnych úkonoch; ak zvýšené overenie chýba alebo mu uplynula platnosť, operácia sa bezpečne odmietne.

Tajné údaje a narábanie s prístupovými údajmi

• PIN kódy rozvrhu a tokeny pozvánok sa ukladajú výlučne ako jednosmerné haše; tokeny pozvánok sú jednorazové a časovo obmedzené a surové tokeny sa nikdy neukladajú.
• Privilegované servisné prístupové údaje sú určené výlučne pre server — nikdy sa neposielajú do prehliadača; vynucuje to kontrola pri zostavovaní.

Spracovanie vstupov a výstupov

• Každý vstup na server je validovaný voči schéme — validácia na strane klienta sa považuje iba za prvok používateľského zážitku; hranicou dôvery je server.
• Pri každej odpovedi sa uplatňujú prísne pravidlá Content Security Policy a spevnená sada bezpečnostných hlavičiek.
• Automatické escapovanie výstupu; obsah vytvorený používateľmi je v tejto fáze čistý text.

Ochrana proti zneužitiu a botom

• Obmedzovanie počtu požiadaviek a ochrana proti botom sa uplatňujú na koncových bodoch autentifikácie a na ďalších citlivých koncových bodoch.

Uložené údaje a auditná stopa

• Šifrovanie uložených údajov v databáze a v úložisku súborov.
• Auditný záznam, do ktorého sa dá iba pridávať, zaznamenáva udalosti významné z hľadiska bezpečnosti (overenie totožnosti, zmeny rolí a členstva, finančné udalosti, exporty, vymazania). Zapisuje sa vždy a je oddelený od prevádzkovej telemetrie.
• Monitorovanie chýb s odstraňovaním osobných údajov — osobné údaje sa z hlásení o chybách odstraňujú ešte predtým, než opustia naše systémy; zostáva technický kontext plus pseudonymné identifikátory.

Zálohovanie a obnova

• Automatické denné zálohy databázy s priebežným retenčným oknom. Predchádzajúce nasadenia sa uchovávajú, aby sa chybné vydanie dalo rýchlo vrátiť späť.

5. Organizačné opatrenia

• Produkčné údaje zostávajú na spravovanej infraštruktúre. Výpisy produkčnej databázy sa neukladajú na lokálnych počítačoch; lokálny vývoj používa samostatnú databázu so syntetickými údajmi.
• Najnižšie potrebné oprávnenia pre servisné účty. Privilegované prístupové údaje sú vymedzené výlučne na použitie na strane servera; prístup do databázy z prehliadača ide cez obmedzený kľúč za zabezpečením na úrovni riadkov.
• Protokolovanie prístupov na strane poskytovateľov. Administratívne úkony u našich poskytovateľov protokolujú títo poskytovatelia a my ich kontrolujeme.
• Dôvernosť. Každý, kto má prístup do produkčného prostredia, je viazaný mlčanlivosťou o osobných údajoch spracúvaných prostredníctvom Služby, ako to zachytáva aj DPA.

6. Reakcia na incident (oznámenie porušenia ochrany údajov do 72 hodín)

Monitorovanie. Chyby aj bezpečnostne významné udalosti monitorujeme a auditný záznam, do ktorého sa dá iba pridávať, poskytuje trvalý záznam pre potreby vyšetrovania.

Náš záväzok oznamovať porušenie ochrany osobných údajov. Ak dôjde k porušeniu ochrany osobných údajov, ktoré pravdepodobne povedie k riziku pre práva a slobody dotknutých osôb:

• Oznámime to príslušnému dozornému orgánu — predsedovi Úradu pre ochranu osobných údajov (UODO) v Poľsku — bez zbytočného odkladu a podľa možnosti do 72 hodín od chvíle, keď sa o porušení dozvieme (článok 33 GDPR).
• *Ak porušenie pravdepodobne povedie k vysokému* riziku pre dotknuté osoby, oznámime im to bez zbytočného odkladu a opíšeme povahu porušenia, dotknuté kategórie údajov, pravdepodobné následky a prijaté opatrenia (článok 34 GDPR**).
• Ak vystupujeme ako sprostredkovateľ pre stajňu, oznámime to bez zbytočného odkladu tejto stajni (prevádzkovateľovi), aby si mohla voči svojim jazdcom splniť vlastné povinnosti podľa článkov 33 a 34.

To zodpovedá Zásadám ochrany osobných údajov a DPA. Uvádza sa tu, ako plníme povinnosť, ktorú GDPR už ukladá — nejde o dodatočný zmluvný prísľub nad rámec GDPR.

Kontakt. Nesúrne: support@nose.horse. Bezpečnosť (súrne): napíšte na support@nose.horse a v predmete uveďte `Security`.

7. Čo zatiaľ nemáme

Zatiaľ nemáme SOC 2 ani ISO 27001 a zatiaľ sme si nedali urobiť externý penetračný test. Certifikáciu zverejňujeme až vtedy, keď ju máme, nie skôr. Ak obstarávací proces stajne, ktorá o nás uvažuje, dnes vyžaduje niektorú z týchto vecí, zatiaľ pre ňu nie sme vhodným dodávateľom — a povieme to radšej rovno, než by sme rokovanie zdržiavali.

8. Rámec súladu s predpismi

GDPR (nariadenie (EÚ) 2016/679). Nose pôsobí v dvojakej úlohe: ako prevádzkovateľ pri údajoch, ktorých účely a prostriedky spracúvania určuje (návštevníci marketingového webu, údaje o účte a kontaktné údaje správcov stajní a inštruktorov, prihlasovacia identita každého držiteľa účtu bez ohľadu na rolu, produktová analytika a údaje na zaistenie bezpečnosti a prevenciu zneužitia), a ako sprostredkovateľ pri prevádzkových údajoch o jazdcoch a klientoch, ktoré zadá stajňa — tam je prevádzkovateľom stajňa a Nose spracúva údaje podľa jej zdokumentovaných pokynov na základe DPA (článok 28 GDPR). Ďalší sprostredkovatelia pôsobia na základe zmlúv podľa článku 28 (DPA + štandardné zmluvné doložky/DPF, dodatok pre Spojené kráľovstvo alebo rovnocenný mechanizmus tam, kde prenos prekračuje hranice regiónov) — pozrite stránku Ďalší sprostredkovatelia.

Údaje detí. Jazdecké školy pravidelne učia deti, preto Nose vedome spracúva údaje maloletých v mene stajne (napríklad dieťa zadané ako účastník lekcie, často rodičom, ktorý je klientom stajne). Za právny základ a za akýkoľvek súhlas rodiča alebo iné oprávnenie vyžadované právom, ktoré sa na ňu vzťahuje, zodpovedá stajňa (článok 8 GDPR v EÚ a Spojenom kráľovstve; COPPA a právo jednotlivých štátov v USA); Nose minimalizuje rozsah údajov uchovávaných o dieťati a na deti sa nezameriava ani im priamo neadresuje marketing. Pozrite Zásady ochrany osobných údajov → „Súkromie detí“.

Práva dotknutých osôb podporujeme vrátane samoobslužného prístupu a prenosnosti prostredníctvom exportu JSON na /account/export a vymazania cez /account/delete (uplatňuje sa 30-dňová zvratná ochranná lehota a zvýšené opätovné overenie; pri vymazaní odstránime priame identifikátory namiesto tvrdého zmazania — ide o pseudonymizáciu podľa čl. 4 ods. 5 GDPR, nie o úplnú anonymizáciu podľa odôvodnenia 26; podrobnosti na úrovni jednotlivých polí nájdete v tabuľke uchovávania v Zásadách ochrany osobných údajov → „Ako dlho údaje uchovávame“). Pri údajoch jazdcov je prevádzkovateľom stajňa, takže jazdec si uplatňuje práva voči svojej stajni a Nose jej pomáha ako sprostredkovateľ; výnimkou je prihlasovacia identita jazdca, ktorej prevádzkovateľom je Nose, a práva k nej sa preto uplatňujú priamo voči Nose.

PCI DSS — na Nose sa nevzťahuje. S údajmi o kartách nenarábame, neukladáme ich ani ich neprenášame. Pri fakturácii predplatného stajne prechádzajú údaje o karte výlučne cez poskytovateľa platieb na jeho hosťovanej pokladnici — Stripe (poskytovateľ platobných služieb) pri poľských stajniach, kde je obchodníkom Nose, a Dodo Payments ako Merchant of Record pri stajniach mimo Poľska. Pri online platbách jazdcov tam, kde ich stajňa umožní, prechádzajú údaje o karte, peňaženke alebo (v Poľsku) o platbe BLIK výlučne cez Stripe (prostredníctvom Stripe Connect) a zúčtujú sa na vlastný účet stajne v Stripe — obchodníkom je stajňa a Stripe je poskytovateľ platobných služieb spĺňajúci PCI, kým Nose iba sprostredkúva pokyny a údaje o karte nikdy nedostáva. V každom prípade Nose údaje o karte nikdy nedostáva a zostáva mimo rozsahu PCI.

Akt EÚ o umelej inteligencii — nevzťahuje sa. Nose je prevádzkový nástroj pre jazdecké školy; netrénuje, nevyvíja ani nenasadzuje modely umelej inteligencie a žiadny jeho komponent nepoužíva strojové učenie ani generatívnu umelú inteligenciu na spracúvanie osobných údajov. Ak sa to zmení, ešte pred uvedením takejto funkcie zverejníme stanovisko k Aktu EÚ o umelej inteligencii a záväzok „netrénujeme na osobných údajoch“.

ePrivacy / súbory cookie. Voliteľná analytika sa načíta iba so súhlasom (v Spojených štátoch: kým ju nevypnete); nevyhnutne potrebné súbory cookie sú vyňaté podľa čl. 5 ods. 3 smernice o súkromí a elektronických komunikáciách (ePrivacy). Pozrite Zásady používania súborov cookie.

9. Zodpovedné zverejňovanie

Ak sa domnievate, že ste v Nose našli bezpečnostnú zraniteľnosť:

• Napíšte na [support@nose.horse](mailto:support@nose.horse) a v predmete uveďte `Security`. (Samostatná adresa `security@` a kľúč PGP sú v pláne.)
• Uveďte dostatok podrobností, aby sa problém dal zreprodukovať.
• Poskytnite nám primeranú lehotu na prešetrenie a nápravu ešte pred akýmkoľvek verejným zverejnením.

Čo môžete očakávať od nás:

• Potvrdenie prijatia a prvotné posúdenie hneď, ako to bude rozumne možné; dôveryhodné hlásenie nenecháme bez povšimnutia.
• Priebežné informácie o stave v primeraných intervaloch, kým sa problém triedi alebo opravuje.
• Uvedenie Vášho mena pri akomkoľvek zverejnení po oprave, ak o to stojíte (voliteľné). Za nahlásenia nevyplácame finančné odmeny.

Rozsah a bezpečný prístav. Bezpečnostný výskum vedený v dobrej viere, ktorý sa riadi týmito pravidlami, zostáva v rámci Vašich vlastných účtov, nezhoršuje fungovanie Služby pre ostatných a nepristupuje k iným údajom než k Vašim vlastným, nebudeme považovať za porušenie našich Zásad prijateľného používania ani Podmienok služby. Nepokúšajte sa získať prístup k údajom inej stajne ani iného jazdca a nespúšťajte proti Službe automatizované sťahovanie údajov ani testovanie odopretia služby.

10. Zoznam zmien