# Trust

Last updated: 2 November 2026

Jak je Ablit provozován, co chrání vaše údaje a co zatím nemáme. Vše na této stránce je při aktualizaci ověřeno proti živému systému; tam, kde je kontrola plánována, a nikoli zavedena, je to uvedeno. Dotazy: [security@ablit.app](mailto:security@ablit.app).

## V kostce

| Oblast | Stav |
| --- | --- |
| Šifrování při přenosu | TLS 1.2+ na každém veřejném koncovém bodu, HSTS s preload na ablit.app |
| Umístění dat | Aplikace ve Frankfurtu (Vercel, region fra1); databáze, workeři, sandboxy nástrojů a monitorování ve Falkensteinu v Německu (Hetzner) |
| Trénování modelů na vašich datech | Nikdy; viz [Zpracování údajů](/data-handling) |
| Zálohy | Noční dumpy databáze plus denní snímky poskytovatele, 7denní rotace |
| Přihlašovací údaje | Hesla: solené scrypt hashe. Klíče API: ukládány jako hashe, zobrazeny jednou. Údaje o kartě: pouze Stripe |
| Izolace nástrojů | Kontejnery pro jednotlivé konverzace s firewallem na výstupu, který blokuje soukromé sítě a cloudová metadata |
| Zabezpečení závislostí | `npm audit` na produkčních závislostech: 0 kritických, 0 runtime high k tomuto datu; Next.js ve verzi bez otevřených upozornění |
| Zveřejňování zranitelností | [security.txt](/.well-known/security.txt), security@ablit.app, viz níže |
| GDPR | Zásady ochrany osobních údajů, stránka Zpracování údajů a podepsatelný [Dodatek o zpracování údajů](/legal/dpa) se SCC EU |
| SOC 2 / ISO 27001 | Není certifikováno. Žádný audit neprobíhá. Nezobrazujeme odznaky, které jsme si nezasloužili |
| Penetrační test třetí stranou | Zatím neproveden. Pouze interní revize a automatizované audity závislostí |
| Stavová stránka | Zatím ne; incidenty jsou oznamovány v banneru údržby v produktu |

## Infrastruktura

- **Webová aplikace a edge API:** Vercel, serverless funkce nasazené v `fra1` (Frankfurt), statická aktiva na globální síti Vercel. API také odpovídá na `ide.ablit.app` prostřednictvím brány na našem vlastním serveru.
- **Databáze:** PostgreSQL 18 s pgvector na serveru Hetzner Cloud ve Falkensteinu, dostupná přes PgBouncer přes TLS. Redis na stejném hostiteli pro fronty a krátkodobý stav. Hostitel databáze přijímá připojení pouze z našich vlastních serverů a aplikace.
- **Workeři:** chatový worker (cloudové běhy, dlouhé úlohy, naplánované úlohy) a stream gateway běží na serveru Hetzner ve stejné soukromé síti.
- **Sandboxy nástrojů:** bezpečnostní (Kali) pracovní prostředí a prohlížeče agenta běží jako kontejnery na vyhrazeném serveru Hetzner, jedno pracovní prostředí na konverzaci, s firewallem na výstupu.
- **Monitorování:** Prometheus, Grafana, Loki a vlastně hostovaný tracker chyb Bugsink na samostatném provozním serveru. Kontroly stavu běží každých pět minut a upozorňují administrátory e-mailem.
- **E-mail:** Resend. **Platby:** Stripe. **Analytika:** PostHog EU, podmíněno souhlasem.

## Zavedené bezpečnostní kontroly

- **Přístup.** Servery přijímají SSH pouze s klíči, z administrátorských adres na seznamu povolených vynucovaného firewallem poskytovatele; správní panely jsou pouze přes HTTPS. Aplikační role oddělují uživatele, personál a administrátory; akce administrátorů na účtech jsou logovány.
- **Autentizace.** E-mail a heslo (hashováno scrypt) nebo přihlášení přes Google; pokusy o přihlášení mají omezenou rychlost; klíče API nesou explicitní oprávnění, platnost a možnost odvolání.
- **Tajemství.** Klíče poskytovatelů žijí v konfiguraci prostředí na Vercel a hostiteli workera, nikdy ne v repozitáři; známé vzory tajemství jsou odstraněny z uložených trasování vykonávání; klíče API existují v otevřené podobě pouze v okamžiku, kdy jsou vám zobrazeny.
- **Síť.** Veřejné koncové body jsou pouze přes TLS s HSTS; `X-Content-Type-Options`, `X-Frame-Options`, `Referrer-Policy`, `Permissions-Policy` a rámcová CSP jsou odesílány na každou odpověď. Interní služby (databáze, Redis, exportéry metrik) naslouchají pouze na soukromé síti.
- **Izolace.** Kontejnery nástrojů nemohou dosáhnout na soukromý adresní prostor, službu metadat ani naše interní služby; každá konverzace dostává vlastní pracovní prostředí.
- **Zálohy.** Noční `pg_dump` na hostiteli databáze plus denní snímek serveru Hetzner, obojí rotované po 7 dnech.
- **Řízení změn.** Všechny změny procházejí pull requesty, jsou sestaveny a nasazeny Vercelem z hlavní větve a před sloučením přezkoumány. Produkční závislosti jsou auditovány na známé zranitelnosti a promptně opravovány (naposledy: upozornění Next.js 16.4.4, tentýž den).
- **Zneužití a bezpečnost.** Zásada ochrany dětí je vynucována na každém požadavku bez ohledu na nastavení, s incidenty zaznamenanými a oznámenými člověku; signály zneužití mohou pozastavit účet k lidskému přezkumu.
- **Reakce na incidenty.** Třídění, zadržení, oznámení a přezkum; zákazníci jsou informováni o porušení zabezpečení osobních údajů do 72 hodin od okamžiku, kdy se o něm dozvíme (viz DPA).

## Zatím nezavedeno

Raději vám to řekneme, než abyste se domnívali:

- Žádná certifikace SOC 2 nebo ISO 27001 a žádná neprobíhá. Pokud je to důležité pro vaše zadávání zakázek, dejte nám vědět na security@ablit.app; ovlivní to, kdy začneme.
- Zatím žádný penetrační test třetí stranou. První je plánován, jakmile se ustálí současné budování platformy; zpráva bude k dispozici na základě NDA z této stránky.
- Žádné zveřejněné sebehodnocení CSA STAR. Na vyžádání dokážeme vyplnit bezpečnostní dotazník (CAIQ, SIG Lite nebo váš vlastní).
- Žádná záruka šifrování v klidu nad rámec toho, co na své úložiště uplatňují poskytovatelé hostingu. Databázové svazky jsou na blokovém úložišti Hetzner Cloud; šifrování uloženého obsahu na úrovni aplikace není implementováno.
- Žádná veřejná stavová stránka. Banner údržby v produktu a tato stránka jsou dnes jedinými kanály.
- Žádné formální úlohy pro uchovávání trasování vykonávání; mažou se spolu s účtem nebo na žádost, jak uvádějí Zásady ochrany osobních údajů.

## Subdodavatelé (další zpracovatelé)

Třetí strany, které pro nás zpracovávají zákaznická data. Poskytovatelé modelů a médií dostávají pouze to, co požadavek potřebuje; který to je, závisí na modelu, který zvolíte. Nezveřejňujeme poskytovatele za jednotlivými modely; firemní zákazníci si mohou seznam vyžádat na základě NDA pro svůj DPA.

| Poskytovatel | Účel | Umístění |
| --- | --- | --- |
| Vercel Inc. | Hosting webové aplikace a API, úložiště souborů | EU (Frankfurt) pro funkce; globální CDN pro statická aktiva; americká společnost |
| Hetzner Online GmbH | Databáze, workeři, sandboxy nástrojů, monitorovací servery | Německo (Falkenstein) |
| Stripe Payments Europe / Stripe Inc. | Platby, předplatná, faktury | EU a USA |
| Resend | Doručování transakčních a marketingových e-mailů | USA |
| Google LLC | Volitelné přihlášení přes Google; měření konverzí Google Ads (podmíněno souhlasem) | USA |
| Meta Platforms | Měření reklamních konverzí (podmíněno souhlasem) | USA |
| PostHog (EU cloud) | Produktová analytika (podmíněno souhlasem) | EU |
| Brave Software | Vyhledávání na webu pro agenta | USA |
| Serper | Vyhledávání na webu pro agenta | USA |
| Poskytovatelé AI modelů a médií | Inference pro modely v katalogu; každý požadavek jde pouze poskytovateli za modelem, který jste zvolili, s promptem a kontextem, který potřebuje, a s ničím o vašem účtu | USA a EU; seznam poskytovatelů pro každý model je k dispozici firemním zákazníkům na základě NDA |

Změny se zde zveřejňují nejméně 14 dní předtím, než nový subdodavatel začne nakládat se zákaznickými daty; napište na security@ablit.app pro přímé upozornění. Bugsink, Grafana, Prometheus a Loki jsou vlastně hostovány na našich vlastních serverech Hetzner a nejsou třetími stranami.

## Zveřejňování

Pokud v Ablit najdete zranitelnost, napište na [security@ablit.app](mailto:security@ablit.app) s podrobnostmi a kroky k reprodukci. Potvrdíme příjem do 2 pracovních dnů, budeme vás informovat a uvedeme vás jako autora, pokud si to přejete. Prosíme, nepřistupujte k údajům jiných lidí, nezhoršujte službu ani nezveřejňujte, dokud problém neopravíme; výzkum v dobré víře, který dodržuje tato pravidla, nepovede z naší strany k právním krokům. Strojově čitelný kontakt: [/.well-known/security.txt](/.well-known/security.txt).

## Dokumenty

- [Zásady ochrany osobních údajů](/privacy)
- [Podmínky služby](/terms)
- [Zpracování údajů](/data-handling)
- [Dodatek o zpracování údajů](/legal/dpa) (protipodepsaná kopie na vyžádání)
- Odpovědi na bezpečnostní dotazník, přehled architektury a, jakmile budou k dispozici, zprávy z penetračních testů: na vyžádání na základě NDA na security@ablit.app

## Protokol změn

- **2 November 2026.** První verze této stránky. Tentýž den: Next.js opraven pro GHSA-2464-fhr4-w9xw a GHSA-673q-mjm6-r5xr, aktualizovány undici a zod, přidány bezpečnostní hlavičky a security.txt.