Bezpečnost a EU

Jak chráníme vaše data

• Data se při přenosu šifrují (HTTPS/TLS), i mezi GoalCube a databází.
• Zákaznická data jsou uložena v EU u Clever Cloud (PostgreSQL a týdenní šifrovaná kopie ve FS Bucket, Paříž). V produkci se systém bez databáze a šifrovacího klíče nespustí.
• Data každé firmy jsou ve vlastní oblasti. Automatické testy při každé změně ukazují, že jedna firma nemůže vidět, měnit ani mazat data jiné.
• Zákaznická data se v GoalCube před uložením šifrují (AES-256-GCM) klíčem pro každou firmu. Klíče firem jsou samy šifrovány hlavním klíčem, ke kterému mají přístup jen provozní pracovníci GoalCube. Při smazání se smaže i klíč.
• Omezení počtu požadavků na IP adresu na všech stránkách a přísnější omezení při vytváření účtu, přihlášení a pozvánkách. IP adresa se používá jen v paměti nejvýše hodinu a neukládá se.
• GoalCube vede bezpečnostní protokol například o neúspěšných přihlášeních, vytváření a mazání účtů a uživatelů, zobrazení skutečných hodnot, velkých exportech a e-mailech, které se nepodařilo odeslat. Obsahuje jen čas, událost, náhodné ID firmy a pevné kódy, počty nebo technické údaje, například platební referenci, číslo faktury či příčinu – nikdy jména, e-maily, IP adresy ani obsah. Uchovává se 12 měsíců a poté se maže po celých měsících (nejpozději do 13 měsíců). Kopie v zálohách (záloha poskytovatele hostingu a vlastní týdenní záloha GoalCube) mohou zůstat až o 30 dnů déle.
• Pokud dojde k chybě, uživatel uvidí kód chyby (např. GC-7K3Q9MXA), který může sdělit GoalCube. Protokol chyb GoalCube ukládá jen čas, kód chyby, typ chyby, první část adresy (bez klíčů), stav a náhodné ID firmy – nikdy text chybové zprávy, obsah, jména, e-maily ani IP adresy – a maže se po 90 dnech. Kopie v zálohách (záloha poskytovatele hostingu a vlastní týdenní záloha GoalCube) mohou zůstat až o 30 dnů déle.
• Auditní protokol obsahuje od 18. října 2026 jen náhodné ID uživatele a datové sady, pevné kódy, počty a částky – žádná jména. Starší záznamy (před 18. říjnem 2026) mohou obsahovat jména uživatelů (u plateb), datových sad, sloupců a připojení AI a texty chyb; neupravují se (řetězec hashů) a mažou se spolu s ostatními daty firmy.
• Zákazník může kdykoli sám smlouvu vypovědět nebo smazat všechna data v GoalCube. Po výpovědi se všechna data automaticky smažou po 30 dnech a do té doby lze výpověď vzít zpět. Při „Smazat vše hned“ se data, uživatelé, auditní protokol a šifrovací klíč firmy smažou okamžitě. Kopie v zálohách – záloha poskytovatele hostingu a vlastní týdenní šifrovaná kopie GoalCube u stejného poskytovatele v Paříži – se smažou, když vyprší, nejpozději 30 dnů po smazání. GoalCube smazání potvrdí e-mailem. Výjimkou jsou faktury, dobropisy a účetnictví GoalCube (název firmy, adresa, DIČ, částky, platební reference, při 0 % DPH datum VIES, konzultační číslo a čas prohlášení o nákupu jako firma a jazyk faktury), které musí být podle dánského zákona o účetnictví (bogføringsloven) uchovány 5 let po skončení účetního roku, a kontrolní součet země a DIČ, pokud firma dostala peníze zpět, aby se nabídka využila jen jednou (5 let).
• Platba: server vypočítá částku a DPH; poskytovatel plateb (Mollie) dostane pouze náhodné číslo zákazníka, balíček, období, typ DPH, částku a pevnou platební referenci – nikdy název firmy, adresu, DIČ ani e-mail. Karta zůstává u poskytovatele plateb do konce zaplaceného období po výpovědi (aby šla výpověď vzít zpět) a okamžitě se smaže, pokud firma smaže všechna data. Každá platba dostane jednu fakturu s průběžným číslem. DIČ z jiných zemí EU se ověřují v registru DPH Evropské komise (VIES); GoalCube ukládá jen výsledek, čas a konzultační číslo.
• Jednou týdně GoalCube vytvoří další kopii všech dat, šifrovanou stejně jako databáze. Je uložena u stejného poskytovatele hostingu v Paříži, ale mimo databázi. Uchovávají se čtyři poslední kopie (nejvýše 28 dnů) a u každé kopie se automaticky zkouší obnova.
• Všechny stránky mají bezpečnostní pravidla (mj. CSP), takže prohlížeč spouští jen vlastní skripty GoalCube a stránky nelze zobrazit uvnitř cizích webů.
• Služby AI se připojují přihlášením u GoalCube (OAuth 2.1 s PKCE) – v adrese není žádný klíč. Uživatel dává souhlas svým passkey, vidí, kam se odpověď posílá, a připojení může kdykoli zobrazit i ukončit. GoalCube ukládá jen kontrolní součty klíčů; připojení vyprší nejpozději po 180 dnech a okamžitě se zastaví, když je uživatel odebrán nebo je smlouva vypovězena.
• Služby AI, které zákazník připojí, dostávají pseudonymy místo hodnot ve sloupcích, které zákazník chrání, a místo zákazníkových tajných slov. Ve volném textu GoalCube navíc na základě seznamů, vzorů a vlastní služby pro rozpoznávání jmen u Clever Cloud v Paříži najde jména, e-maily, čísla ID, telefonní a bankovní čísla a adresy a nahradí je pseudonymy. Výjimečně může údaj proklouznout, například jméno, které není na seznamech, nebo adresa či číslo zapsané neobvyklým způsobem. Zákazník vidí, co AI uvidí, ještě než datovou sadu uloží.
• U datových sad, které zákazník nahraje, GoalCube také činí nepřímé údaje ve volném textu méně přesnými, než je dostane služba AI: názvy měst se nahradí regionem a slova o například zdraví, odborech, náboženství či trestech se ve výchozím nastavení nahradí zástupným textem „[personligt forhold]“. U každého označeného slova může zákazník zvolit, zda se ponechá, zobecní, nebo skryje. U tabulek o osobách GoalCube ukazuje, které záznamy se mohou podle sloupců vymykat, a služba AI dostane jen úroveň rizika (nízká, střední, vysoká). Označování vychází ze seznamů a vzorů pro text v dánštině, angličtině, němčině, francouzštině, nizozemštině, italštině, španělštině, švédštině, finštině, polštině, portugalštině a češtině a zástupný text je v jazyce datové sady (např. „[personligt forhold]“ v dánštině). Může něco přehlédnout.
• Nahrané soubory se neukládají; jen přečtený text, který se zákazník sám rozhodl uložit jako datovou sadu.
• Rozhodnutí, potvrzení a změny se zapisují do auditního protokolu s kontrolními součty (řetězec hashů) a nezávislými časovými razítky. Každá firma má svůj vlastní řetězec a každý den dostane souhrnný otisk všech řetězců nezávislé časové razítko.
• Tajná slova se nikdy neukládají do auditního protokolu.
• Stránky nenačítají žádné soubory od jiných (např. písma z Googlu). Karta se zadává na vlastní stránce Mollie, takže údaje o kartě se k GoalCube nikdy nedostanou, a stránky GoalCube od Mollie nenačítají nic. Systém nenastavuje žádné sledovací cookies.
• E-maily na contact@goalcube.eu čte a zodpovídá schránka u Simply, dokud je e-mailový agent GoalCube vypnutý. Když je e-mailový agent zapnutý, e-maily, na které musí odpovědět člověk, se čtou a zodpovídají v GoalCube a zaměstnanec dostane do své schránky jen zprávu bez obsahu.
• Přístupové klíče se nezapisují do serverového protokolu.
• K provozu a datům mají přístup jen zaměstnanci GoalCube, kteří to potřebují, a ti jsou vázáni mlčenlivostí.

Kde jsou data uložena

Všechna zákaznická data jsou uložena u Clever Cloud SAS, Pařížský region (zóna „par“ u Clever Cloud), Francie. Všechny další zpracovatele najdete ve zpracovatelské smlouvě.

Naše sliby

• Oznámení o porušení zabezpečení osobních údajů nejpozději 48 hodin poté, co jsme je zjistili.
• Upozornění 14 dní předtím, než začneme používat nového dalšího zpracovatele.
• Všechna data můžete kdykoli sami okamžitě smazat. Po výpovědi se vše smaže nejpozději za 30 dní.
• Kopie v zálohách se smažou nejpozději 30 dní po smazání.

Stav opatření

ISO/IEC 27001:2022 má 93 opatření. Čísla pocházejí přímo z našeho systému řízení bezpečnosti informací (ISMS) a aktualizují se automaticky.

Nahlaste zranitelnost

Pokud jste našli bezpečnostní chybu, napište na contact@goalcube.eu a do předmětu uveďte „bezpečnost“. Všechna hlášení o bezpečnosti čte člověk. security.txt

Nezávislý test

Nezávislý bezpečnostní test (pentest) je plánován jednou ročně.