Bezpečnost a ochrana dat
Data autoservisu jsou citlivá – jsou v nich zákazníci, auta i peníze. Proto stavíme MechanikPilot tak, aby ochrana nestála jen na aplikaci, ale i na databázi a infrastruktuře.
Kde jsou data
Databáze běží v Evropské unii, v datovém centru ve Frankfurtu nad Mohanem (Supabase na infrastruktuře AWS). Web a aplikace se doručují přes síť Cloudflare.
Jak data chráníme
- Oddělení firem v databázi. Každý záznam patří jedné firmě a databáze sama ověřuje, že ho čte nebo mění jen její oprávněný uživatel (row-level security). Chyba v aplikaci proto neotevře data jiné firmy.
- Role a oprávnění. Majitel, vedoucí, recepce, mechanik, skladník a účetní vidí jen to, co potřebují. Mechanik nevidí ceny ani kontakty, zákazník v portálu jen svá auta.
- Přihlášení. Hesla ukládáme jen jako kryptografický otisk. Počet pokusů o přihlášení je omezený a registraci a přihlášení chrání ověření proti robotům.
- Šifrované spojení. Vše běží přes HTTPS s HSTS; databáze a zálohy jsou šifrované u poskytovatele.
- Ochrana prohlížeče. Přísná pravidla Content Security Policy dovolí spustit jen náš kód, takže podvržený skript v datech se nespustí. Aplikaci nejde vložit do cizí stránky.
- Ochrana před útoky. Cloudflare filtruje škodlivý a automatizovaný provoz dřív, než dorazí k aplikaci.
- Záznamy změn a zálohy. U zakázek a dokladů je vidět, kdo a kdy je změnil. Majitel si může kdykoli stáhnout úplnou zálohu dat.
Nahlášení zranitelnosti
Našli jste bezpečnostní chybu? Napište na [email protected] s popisem, jak chybu zopakovat. Prosíme, netestujte na datech jiných uživatelů, nepřetěžujte službu a chybu nezveřejňujte, dokud ji neopravíme. Na hlášení odpovíme do 5 pracovních dnů. Kontakt je i v souboru security.txt.
Bezpečnostní incident
Pokud by došlo k porušení zabezpečení osobních údajů, informujeme dotčené autoservisy do 48 hodin od zjištění a postupujeme podle GDPR včetně ohlášení Úřadu pro ochranu osobních údajů.