Vaše data jsou v bezpečí

• Při přenosu: TLS 1.3 mezi prohlížečem a servery, žádné zastaralé protokoly.
• V databázi (PostgreSQL): AES-256 přes Supabase Transparent Data Encryption.
• Soubory: AES-256 v Supabase Storage.
• Hesla: bcrypt s adekvátním cost factorem.
• Záložní kopie: automatické denní zálohy Supabase Pro, point-in-time recovery 7 dní zpětně, šifrované AES-256.

• Databáze a autentizace: Supabase Pro, region EU (Frankfurt, Německo).
• Aplikace: Vercel Pro, EU edge regiony.
• Uloženo v EU — vaše dokumenty, kauzy a chaty jsou uložené v Evropě. AI zpracování (Claude, embeddings) probíhá u subdodavatelů se standardními smluvními doložkami (SCC).

• Poskytovatel LLM: Anthropic (Claude Sonnet a další modely).
• Žádné trénování na vašich datech: Anthropic má v Commercial Terms of Service explicitně zakázáno používat data komerčních zákazníků (včetně AktAI) k trénování AI modelů.
• Krátká retence: Anthropic uchovává API požadavky maximálně 30 dní pro detekci zneužití, poté je automaticky maže.
• Embedding modely: Voyage AI (voyage-3.5-lite) — máme aktivní opt-out z používání dat k trénování modelů.
• AI Act compliance: AktAI je klasifikováno jako AI systém s omezeným rizikem (limited risk). Veškerý AI obsah je v aplikaci viditelně označen.

• Row-level security (RLS): Každý uživatel vidí pouze vlastní data — vynuceno na úrovni databáze, ne pouze v aplikační vrstvě.
• Audit log: Všechny přístupy a změny jsou zaznamenávány. Retence: 90 dní (technické) / 1 rok (security) / 5 let (billing).
• Žádný přístup pro zaměstnance AktAI k obsahu vašich dokumentů a chatů — výjimkou jsou pouze nezbytně nutné agregované metriky pro provoz.

• Export dat: Kdykoli si můžete v Nastavení → Účet stáhnout svá data — kauzy, dokumenty i jejich originální soubory, smlouvy, podání, všechny konverzace, lhůty, úkony a záznamy o účtu. Strukturovaně ve formátu JSON, plus čitelný přehled. Archiv neobsahuje data, která z vašich dokumentů vyrobil systém pro vyhledávání (rozsekaný text a vektory) — nenesou nic, co by nebylo v dokumentech, které v archivu máte v původní podobě. Přesný výčet je v souboru README v archivu.
• Smazání účtu: Soft delete s 30denní možností obnovení, poté hard delete celé databáze.
• Pověřenec pro ochranu osobních údajů: privacy@aktai.cz.

Vaše osobní údaje chráníme komplexní sadou technických a organizačních opatření, která pravidelně revidujeme a aktualizujeme.

Technická opatření

• Šifrování v přenosu — TLS 1.3 pro veškerou komunikaci mezi vaším zařízením a našimi servery.
• Šifrování v klidu — data v databázi Supabase (Frankfurt) šifrována transparentně (TDE — Transparent Data Encryption).
• Oddělení dat mezi účty — princip nejmenších oprávnění. Pravidlo „tento záznam patří tomuto účtu" je zapsané přímo v databázi (row-level security), ne v aplikačním kódu, kde by se na něj dalo zapomenout; vyhodnocuje se při každém dotazu a týká se i souborů v úložišti. Ověřujeme to proti databázi: přihlásíme se jako jeden účet a pokusíme se přečíst data druhého — i se znalostí jeho interních identifikátorů. Poslední kontrola 1. srpna 2026.
• Autentizace — Supabase Auth s podporou silných hesel, hashování bcrypt a správou relací.
• Monitoring — Sentry pro monitoring chyb a bezpečnostních incidentů s aktivním scrubbingem citlivých dat.
• Zálohy — automatické denní zálohy databáze na úrovni Supabase Pro.
• Rate limiting — Upstash Redis pro ochranu proti zneužití API.

Organizační opatření

• Mlčenlivost — všichni zaměstnanci a spolupracovníci jsou vázáni písemnou dohodou o mlčenlivosti, jejíž trvání přesahuje ukončení právního vztahu.
• Profesní mlčenlivost — dodržujeme mlčenlivost o údajích, které se při své činnosti dozvíme, ve stejném rozsahu, jakým je zavázán správce podle svých profesních předpisů, a zavazujeme k tomu i své subdodavatele.
• Pravidelné školení — školení v oblasti ochrany osobních údajů a bezpečnostních standardů.
• Incident response — dokumentovaný postup pro řešení bezpečnostních incidentů včetně notifikace zákazníků do 48 hodin od zjištění.

Sub-procesoři a jejich certifikace

Detailní přehled subdodavatelů, jejich certifikací (SOC 2 Type II, ISO 27001, EU-US Data Privacy Framework) a použitých záruk pro předávání dat najdete na seznamu sub-dodavatelů.

AktAI využívá 10 specializovaných poskytovatelů pro hostování, AI modely, platby a komunikaci. Se všemi sub-dodavateli máme uzavřenou Smlouvu o zpracování osobních údajů (DPA) podle čl. 28 GDPR. Aktuální stav každé DPA naleznete v seznamu sub-dodavatelů.

• GDPR (Nařízení EU 2016/679) — plný soulad, sub-procesory s DPA.
• Profesní předpisy správce — mlčenlivost o skutečnostech, o nichž se správce dozvěděl při výkonu své profese, v rozsahu, jakým jej vážou.
• § 180 odst. 2 trestního zákoníku — neoprávněné nakládání s osobními údaji.
• AI Act (Nařízení EU 2024/1689) — limited risk AI systém, transparentnost AI obsahu.