Bezpečnost a důvěra

1. Jednostránkové shrnutí

Náš poctivý současný stav k 8. 7. 2026: horsenose je produkt v rané fázi provozovaný samostatným operátorem. Dnes NEJSME držiteli SOC 2 ani ISO 27001 a ještě jsme neměli externí penetrační test. Tato stránka popisuje, co děláme, co držíme a co ještě nemáme. Raději vám jasně řekneme, kde si stojíme, než abychom to přeháněli.

• Kdo jsme. horsenose je software pro provoz jezdecké školy – plánování lekcí, sledování docházky a způsobu plateb jezdců, správu permanentek a dárkových poukazů, výpočet odměn instruktorů a zpřístupnění vlastních rezervací zákazníkům stáje. Provozuje ho DF Daniel Fojcik, polský živnostník (NIP 6472592229 / REGON 387798601, Marklowice), obchodující pod názvem Nose / horsenose.
• Naše dvě role. Jsme správcem osobních údajů pro údaje o vlastním účtu, analytiku a bezpečnost a zpracovatelem osobních údajů jednajícím podle pokynů každé stáje ohledně údajů o jezdcích a zákaznících, které stáj zadá. Vztah zpracovatele se řídí naší smlouvou o zpracování osobních údajů (DPA). Viz níže „Právní rámec“.
• Jaké údaje uchováváme. E-mail účtu a volitelné jméno/telefon v profilu; e-mailové adresy pro pozvánky; provozní záznamy, které stáj zadá o jezdcích (jména, kontakty, účast na lekcích, permanentky a poukazy, štítky plateb a volné poznámky); PINy rozvrhu hašované pomocí bcryptu; tokeny pozvánek hašované pomocí SHA-256. Neuchováváme údaje o platebních kartách, bankovní údaje ani zdravotní údaje. Úplný přehled je níže v části „Údaje, které uchováváme“.
• Co je chrání. TLS všude s přednačtením HSTS; šifrování v klidu (AES-256); databází vynucené zabezpečení na úrovni řádků izolující každou stáj; ověřování relace na straně serveru; zvýšené opětovné ověření pro destruktivní a administrativní akce; přísné zásady zabezpečení obsahu; omezování rychlosti a ochrana proti botům; a pouze doplňovaný auditní protokol. Úplný seznam je níže v části „Technická opatření“.
• Kde to běží. Ve více než jednom regionu a regiony přidáváme, jak rosteme – aktuální primární region pro každého poskytovatele je uveden níže v části „Infrastruktura – kdo co provozuje a kde“ a může se měnit, jak se rozšiřujeme. Většina základního zpracování se dnes odehrává v EHP (databáze, e-mail, analytika, sledování chyb a úložiště limitů sazeb), několik komponent již mimo něj (globální výhoda Cloudflare; přihlášení přes Google a části Stripe v USA; Dodo Payments globálně). Každá meziregionální trasa je pokryta vhodným převodním mechanismem — EU-U.S. Rámec ochrany osobních údajů, standardní smluvní doložky EU, dodatek pro Spojené království nebo ekvivalent, který vyžaduje přidaná oblast.
• Co ještě nemáme. Žádné SOC 2, ISO 27001, externí penetrační test nebo bug-bounty program. Pokud váš proces zadávání zakázek dnes vyžaduje SOC 2, ještě nejsme tím pravým fitkem.
• Jak nás kontaktovat ohledně zabezpečení. Zašlete e-mail na adresu support@horsenose.eu a v předmětu uveďte `Security`. Viz „Reakce na incident (72hodinové oznámení o narušení bezpečnosti)“ a „Odpovědné zveřejnění“ níže.

2. Data, která držíme

Shromažďujeme minimum potřebné k provozování Služby. Níže uvedené kategorie jsou osobní údaje, které se dotýkají horsenose.

Co nedržíme

• Žádné údaje o platebních kartách ani bankovní údaje. horsenose nikdy není účastníkem platby ani nenakládá s údaji o kartě. Offline metody (hotovost / permanentka / dárkový poukaz / převod) jsou jen štítky zaznamenané stájí, nikoli transakce prováděné horsenose. Údaje o kartě pro fakturaci předplatného stáje (Stripe pro polské stáje, Dodo Payments jako Merchant of Record pro nepolské stáje) i pro online platby jezdců tam, kde je stáj povolí (Stripe s vypořádáním na vlastní účet stáje), zpracovává výhradně poskytovatel plateb na své pokladně a nikdy se k nám nedostanou. Proto jsme mimo rozsah PCI DSS (viz níže „Právní rámec“).
• Žádné doklady totožnosti ani adresy. Neshromažďujeme domácí adresy, čísla dokladů totožnosti ani vládní identifikátory.
• Žádné údaje zvláštní kategorie (zdravotní). Nemáme v úmyslu shromažďovat údaje podle článku 9 GDPR a produkt není určen k jejich ukládání. Stáje mají (v DPA) pokyn ne zadávat data zvláštní kategorie do polí s volným textem. Poznámky o koni se týkají zvířete, nikoli osoby, a nespadají pod GDPR.
• Žádné reklamní profily, identifikátory retargetingu nebo sledování napříč weby. Žádné pixely Meta/LinkedIn/X/TikTok; žádné otisky prstů prohlížeče.
• Žádná data neprodaná, pronajatá nebo zapůjčená třetím stranám.
• Žádné školení modelů AI/ML na vašich datech. Na osobních datech čerpaných ze horsenose netrénujeme, nevylaďujeme ani nevyhodnocujeme žádné modely umělé inteligence ani strojového učení. Rozšíření `pgvector` je v našem Postgresu povoleno pro budoucí případy použití v rámci interního vyhledávání, ale dnes není obsazeno žádnými vloženími odvozenými z osobních údajů.

3. Infrastruktura – kdo co provozuje a kde

horsenose je aplikace Next.js hostovaná na Vercelu, podporovaná databází Supabase Postgres, s malou sadou specializovaných poskytovatelů („sub-zpracovatelů“), z nichž každý zpracovává úzký úsek. Žádný nemá úplný přístup ke všemu. Působíme ve více než jednom regionu a přidáváme regiony, jak rosteme, takže spíše popisujeme, kde se věci nacházejí, než abychom slibovali jediné trvalé místo: většina zpracování jádra – databáze, e-mail, analýza produktů a monitorování chyb – probíhá v EHP, zatímco několik komponent již běží mimo něj (globální výhoda Cloudflare; volitelné přihlášení přes Google a části Stripe v USA; Dodo- Payments-Record na globálním obchodníkovi). Aktuální primární region pro každého poskytovatele je v tabulce níže a je udržován aktuální, jak se mění; každá meziregionální trasa je pokryta vhodným mechanismem přenosu (rámec ochrany osobních údajů mezi EU a USA, standardní smluvní doložky, dodatek pro Spojené království nebo ekvivalent, který vyžaduje další region).

Kanonická, vždy aktuální verze této tabulky – s kategoriemi osobních údajů a mechanismy přenosu podle jednotlivých poskytovatelů – je udržována na stránce Dílčí zpracovatelé; Zásady ochrany osobních údajů a DPA odkazují na stejný zdroj, místo aby uchovávaly odlišné kopie.

4. Technická opatření

Toto jsou ovládací prvky ve skutečnosti na místě dnes. To je také podstata DPA → „Důvěrnost, bezpečnost a subdodavatelé“, která zde poukazuje na naše technická a organizační opatření.

Síť a doprava

• TLS pro veškerý provoz, vynucené společnostmi Vercel a Supabase. HSTS je nastaveno pomocí `max-age=63072000; includeSubDomains; preload`.
• Žádný smíšený obsah — Zásady zabezpečení obsahu odmítají zdroje `http://`.

Izolace a autorizace nájemníků

• Row-Level Security (RLS) v rozsahu pro každou stáj na každé operační tabulce, vynucené v samotné databázi — data jedné stáje nemůže jiná číst, i když kód aplikace měl chybu. Toto je primární cross-tenant obrana.
• Kontroly rolí v aplikační vrstvě (ověřený uživatel / rozsah konkrétní stáje / instruktor nebo správce / superadministrátor) jako další vrstva ochrany nad RLS, nikdy jako jediná obrana.
• Kontroly vrstvy trasy vyžadují aktivní relaci pro chráněné cesty a stav superadministrátora pro povrch správce.

Autentizace

• Přihlášení bez hesla – e-mailový magický odkaz (spravovaný Supabase Auth) nebo volitelné přihlášení Google (OAuth). Nejsou uložena žádná hesla.
• Ověření relace na straně serveru u každého chráněného požadavku – samotný soubor cookie pro přihlášení není nikdy důvěryhodný.
• Opětovné ověření pro destruktivní a administrativní akce – pro operace jako smazání účtu, změnu role posledního správce, hromadnou deaktivaci, archivaci stáje a všechny zápisy superadministrátora je vyžadována krátkodobá, samostatně podepsaná cookie pro zvýšené ověření; pokud chybí nebo vypršela, operace se bezpečně odmítne.
• Povrch správce platformy vrátí 404, když není nakonfigurován žádný superadmin, takže jeho existence neprozradí.

Tajemství a zpracování pověření

• PINy plánu jsou uloženy jako bcrypt hash; tokeny pozvánky jsou uloženy jako SHA-256 hash – jednorázové, časově omezené (vypršení 7 dní) a vázané na e-mail; surové tokeny nejsou nikdy zachovány.
• klíč databázové služby je pouze pro server — nikdy není součástí JavaScriptu klienta; validátor doby sestavení se nezdaří, pokud má citlivá proměnná nesprávnou předponu.

Manipulace se vstupy a výstupy

• Ověření schématu na každé hranici vstupu serveru — ověření na straně klienta je považováno pouze za UX; server je hranicí důvěry.
• Přísné zásady zabezpečení obsahu s nonce pro každý požadavek a uzamčenou sadou bezpečnostních hlaviček (`X-Content-Type-Options`, `X-Frame-Options` / `frame-ancestors`, `Referrer-Policy`, hlavičky izolace napříč původy a omezující `Permissions-Policy`).
• Automatické escapování výstupu; obsah vytvořený uživateli je v této fázi prostý text.

Ochrana proti zneužití a botům

• Omezení sazby u přihlášení, registrace, magického odkazu, přijetí pozvánky, exportu/vymazání a dalších citlivých koncových bodů (na e-mail, na IP, na uživatele nebo na stáj podle dané akce; každá zásada je podle návrhu otevřena při selhání nebo uzavřena při selhání).
• Ochrana robota Cloudflare Turnstile na přihlašovacím formuláři, registračním formuláři, žádosti o magický odkaz, stránce přijetí pozvánky a zadání PIN veřejného plánu.

Data v klidu a auditní stopa

• Šifrování v klidu přes Supabase (AES-256).
• Pouze doplňovaný auditní protokol zaznamenává události související se zabezpečením (ověření, změny rolí a členství, finanční události, exporty, smazání). Zapisuje se vždy a je oddělený od provozní telemetrie.
• Sledování chyb s čištěním osobních údajů – před odesláním jakékoli chyby do Sentry zahodí vlastní scrubber e-mailové adresy, telefonní čísla, těla zpráv, poznámky a všechna pole, která vypadají jako token. Zůstává technický kontext plus UUID pseudonymního uživatele, identifikátor stáje, národní prostředí a název neúspěšné operace.

Zálohování a obnova

• Supabase poskytuje automatizované denní zálohování (7denní uchovávání na aktuální úrovni; delší uchovávání je plánováno, jak bude služba zralá). Vercel uchovává předchozí nasazení pro téměř okamžité vrácení chybného vydání.

5. Organizační opatření

• Sólový operátor. horsenose provozuje jedna osoba (Daniel Fojcik). V tuto chvíli nejsou žádní zaměstnanci s přístupem k produkci. Pokud se to změní – například je zapsán dodavatel s produkčním přístupem – tato stránka bude aktualizována a aktivní stáje upozorněny.
• Produkční data zůstávají ve spravované infrastruktuře. Výpisy produkční databáze se neukládají na místních počítačích; místní rozvoj využívá samostatnou databázi se syntetickými daty.
• Nejmenší oprávnění pro servisní účty. Klíč databázové služby je určen pouze pro použití na straně serveru; přístup k databázi prohlížeče používá omezený klíč za zabezpečením na úrovni řádků.
• Správa tajných informací. Tajemství jsou uložena v konfiguraci prostředí poskytovatele hostingu a v místním souboru s gitignorem – nikdy se nevkládají do úložiště. Výrobní tajemství se nekopírují do místních strojů.
• Protokolování přístupu na straně poskytovatele. Administrativní akce u našich poskytovatelů jsou protokolovány těmito poskytovateli; kontrolujeme je ad-hoc.
• Důvěrnost. Zaměstnanci (v současnosti vlastník) jsou vázáni mlčenlivostí ohledně osobních údajů zpracovávaných prostřednictvím služby, jak je uvedeno v DPA.
• Změňte disciplínu. Změny kódu procházejí před nasazením přísným typem, lint a automatickým testem a migrace databází jsou aplikovány na pracovní prostředí před zahájením výroby.

6. Reakce na incident (72hodinové oznámení o narušení)

Monitorování. Chyby směřují do Sentry (s odstraněním osobních údajů popsaným výše v části „Technická opatření“); diagnostika na úrovni požadavků je k dispozici v hostovacích protokolech; monitor dostupnosti a upozornění na chybovost jsou součástí bezpečnostního základu. Pouze doplňovaný auditní protokol poskytuje trvalý záznam událostí souvisejících se zabezpečením pro vyšetřování.

Náš závazek oznamovat porušení ochrany osobních údajů. Pokud dojde k porušení ochrany osobních údajů, které pravděpodobně povede k ohrožení práv a svobod dotčených osob, budeme:

• Informovat příslušný dozorový úřad – polský Úřad pro ochranu osobních údajů (UODO) – bez zbytečného odkladu a je-li to možné do 72 hodin od okamžiku, kdy se o porušení dozvíme (článek 33 GDPR).
• *Pokud porušení pravděpodobně povede k vysokému* riziku pro dotčené osoby, informovat je bez zbytečného odkladu a popsat povahu porušení, dotčené kategorie údajů, pravděpodobné důsledky a přijatá opatření (článek 34 GDPR**).
• Pokud jednáme jako zpracovatel pro stáj, bez zbytečného odkladu vyrozumět tuto stáj (správce), aby mohla splnit své povinnosti podle článků 33 a 34 vůči svým jezdcům.

To odráží zásady ochrany osobních údajů a DPA. Uvádí, jak hodláme implementovat povinnost, kterou již GDPR ukládá – nejedná se o další smluvní příslib nad rámec GDPR. Na cestovní mapě je formálně zdokumentovaná runbook reakce na incidenty; do té doby jednočlenný tým odpovídá ad hoc ve výše uvedených časových osách.

Kontakt. Není to naléhavé: support@horsenose.eu. Zabezpečení (naléhavé): pošlete e-mail na support@horsenose.eu s `Security` v předmětu.

7. Rámování shody

GDPR (nařízení 2016/679). horsenose působí ve dvojí roli: jako správce údajů, jejichž účely a prostředky určuje (návštěvníci marketingového webu, údaje o účtu a kontaktu správců stájí a instruktorů, produktová analytika se souhlasem a údaje pro bezpečnost a prevenci zneužití), a jako zpracovatel provozních údajů jezdců a zákazníků, které zadává stáj. V tomto druhém případě je stáj správcem a horsenose zpracovává údaje podle jejích dokumentovaných pokynů v souladu s DPA (článek 28 GDPR). Dílčí zpracovatelé jednají na základě smluv podle článku 28 (DPA + SCC/DPF, dodatku pro Spojené království nebo obdobného mechanismu při přeshraničním přenosu) – viz stránka Dílčí zpracovatelé.

Dětská data. Jezdecké školy pravidelně vyučují děti, takže horsenose vědomě zpracovává údaje nezletilých jménem stáje (například dítě zadané jako účastník lekce, často rodičem, který je zákazníkem stáje). Stáj je odpovědná za zákonný základ a jakýkoli požadovaný souhlas rodičů nebo oprávnění (článek 8 GDPR); horsenose minimalizuje to, co se o dítěti říká, a nezaměřuje se přímo na děti ani je neprodává. Viz Zásady ochrany osobních údajů → „Soukromí dětí“.

Práva subjektů údajů podporujeme, včetně samoobslužného přístupu a přenositelnosti prostřednictvím exportu JSON na /account/export a výmazu přes /account/delete (platí 30denní vratná lhůta a zvýšené opětovné ověření; při výmazu odstraníme přímé identifikátory, nikoli všechny záznamy – jde o pseudonymizaci podle čl. 4 odst. 5 GDPR, nikoli úplnou anonymizaci podle bodu odůvodnění 26). Podrobnosti na úrovni polí jsou v tabulce uchovávání v Zásadách ochrany osobních údajů → „Jak dlouho údaje uchováváme“. U údajů jezdce je správcem stáj, proto jezdec uplatňuje svá práva vůči stáji a horsenose jí pomáhá jako zpracovatel.

PCI DSS – na horsenose se nevztahuje. Nezpracováváme, neukládáme ani nepřenášíme údaje o kartách. Při fakturaci předplatného stáje zpracovává údaje o kartě výhradně poskytovatel plateb na své hostované pokladně – Stripe (zpracovatel plateb) pro polské stáje, kde je horsenose obchodníkem, a Dodo Payments jako Merchant of Record pro nepolské stáje. Při online platbách jezdců, pokud je stáj povolí, zpracovává údaje o kartě, peněžence nebo BLIK výhradně Stripe přes Stripe Connect a peníze jsou vypořádány na vlastní účet Stripe stáje. Stáj je obchodníkem a Stripe je zpracovatelem v souladu s PCI; horsenose pouze předává pokyny a údaje o kartě nikdy nepřijímá. Ve všech případech tedy horsenose zůstává mimo rozsah PCI.

Zákon EU o umělé inteligenci — nevztahuje se. horsenose je operační nástroj pro jezdecké školy; neškolí, nevyvíjí ani nenasazuje modely umělé inteligence a žádná součást nepoužívá strojové učení ani generativní umělou inteligenci ke zpracování osobních údajů. Rozšíření `pgvector` Postgres je povoleno pro možné budoucí případy použití v rámci interního vyhledávání, ale dnes není naplněno vložením odvozeným z osobních údajů; pokud se to změní, zveřejníme stanovisko EU k zákonu o umělé inteligenci a závazek „žádné školení o osobních údajích“ před odesláním funkce.

ePrivacy / cookies. Volitelné analytické načítání (PostHog) pouze se souhlasem; přísně nezbytné soubory cookie jsou vyňaty podle čl. 5 odst. 3 směrnice o soukromí a elektronických komunikacích. Viz Zásady používání souborů cookie.

8. Odpovědné zveřejnění

Pokud se domníváte, že jste v horsenose našli bezpečnostní chybu:

• E-mail [support@horsenose.eu](mailto:support@horsenose.eu) s předmětem `Security`. (Plánuje se vyhrazená adresa `security@` a klíč PGP.)
• Uveďte dostatek podrobností, aby bylo možné problém reprodukovat.
• Dejte nám přiměřenou lhůtu na prošetření a nápravu před jakýmkoli zveřejněním.

Co od nás můžete očekávat:

• Poděkování a počáteční hodnocení, jakmile to bude rozumně možné. horsenose je služba provozovaná samostatně a nemůže zaručit odpověď ve stejný den; nenecháme důvěryhodnou zprávu bez dozoru.
• Stav se aktualizuje v rozumných intervalech, zatímco se problém třídí nebo opravuje.
• Kredit v jakémkoli zveřejnění po opravě, pokud si to přejete (volitelné).

Co zatím nemůžeme nabídnout: v této fázi ne vyplácíme peněžní odměny za chyby. Jasně řekneme, zda a kdy bude bounty program dostupný.

Rozsah a bezpečný přístav. Průzkum zabezpečení v dobré víře, který se řídí těmito zásadami, zůstává ve vašich vlastních účtech, zamezuje znehodnocování služby pro ostatní a nemá přístup k jiným než vašim vlastním údajům, nebude považován za porušení našich zásad přijatelného užívání nebo smluvních podmínek. Nepokoušejte se získat přístup k datům jiné stáje nebo jiného jezdce a neprovádějte automatizované škrabání nebo testování odmítnutí služby ve službě.

9. Změnit protokol