# Trust

Last updated: 2 November 2026

Ako je Ablit prevádzkovaný, čo chráni vaše údaje a čo zatiaľ nemáme. Všetko na tejto stránke sa pri aktualizácii overuje voči živému systému; tam, kde je kontrolný mechanizmus plánovaný, a nie zavedený, je to uvedené. Otázky: [security@ablit.app](mailto:security@ablit.app).

## V skratke

| Oblasť | Stav |
| --- | --- |
| Šifrovanie pri prenose | TLS 1.2+ na každom verejnom endpointe, HSTS s preload na ablit.app |
| Umiestnenie údajov | Aplikácia vo Frankfurte (Vercel, región fra1); databáza, workery, sandboxy nástrojov a monitoring vo Falkensteine v Nemecku (Hetzner) |
| Trénovanie modelov na vašich údajoch | Nikdy; pozri [Spracúvanie údajov](/data-handling) |
| Zálohy | Nočné výpisy databázy plus denné snímky poskytovateľa, 7-dňová rotácia |
| Prihlasovacie údaje | Heslá: solené scrypt hashe. API kľúče: ukladané ako hashe, zobrazené raz. Údaje o kartách: iba Stripe |
| Izolácia nástrojov | Kontajnery pre jednotlivé konverzácie s egress firewallom, ktorý blokuje súkromné siete a cloudové metadáta |
| Bezpečnosť závislostí | `npm audit` na produkčných závislostiach: 0 kritických, 0 runtime high k tomuto dátumu; Next.js vo verzii bez otvorených upozornení |
| Zverejňovanie zraniteľností | [security.txt](/.well-known/security.txt), security@ablit.app, pozri nižšie |
| GDPR | Zásady ochrany súkromia, stránka Spracúvanie údajov a podpísateľný [Dodatok o spracúvaní údajov](/legal/dpa) s EU SCC |
| SOC 2 / ISO 27001 | Nie je certifikované. Žiaden audit neprebieha. Nezobrazujeme odznaky, ktoré sme si nezaslúžili |
| Penetračný test tretej strany | Zatiaľ nevykonaný. Iba interné preskúmania a automatizované audity závislostí |
| Stavová stránka | Zatiaľ nie; incidenty sa oznamujú v bannery údržby v produkte |

## Infraštruktúra

- **Edge webovej aplikácie a API:** Vercel, serverless funkcie nasadené v `fra1` (Frankfurt), statické aktíva na globálnej sieti Vercel. API tiež odpovedá na `ide.ablit.app` cez gateway na našom vlastnom serveri.
- **Databáza:** PostgreSQL 18 s pgvector na serveri Hetzner Cloud vo Falkensteine, dostupná cez PgBouncer over TLS. Redis na tom istom hoste pre fronty a krátkodobý stav. Databázový host prijíma pripojenia iba z našich vlastných serverov a aplikácie.
- **Workery:** chatový worker (cloudové behy, dlhé úlohy, naplánované úlohy) a stream gateway bežia na serveri Hetzner v tej istej súkromnej sieti.
- **Sandboxy nástrojov:** pracovný priestor bezpečnosti (Kali) a prehliadače agenta bežia ako kontajnery na vyhradenom serveri Hetzner, jeden pracovný priestor na konverzáciu, s egress firewallom.
- **Monitoring:** Prometheus, Grafana, Loki a vlastne hostovaný error tracker Bugsink na samostatnom prevádzkovom serveri. Kontroly stavu bežia každých päť minút a upozorňujú administrátorov e-mailom.
- **E-mail:** Resend. **Platby:** Stripe. **Analytika:** PostHog EU, podmienené súhlasom.

## Zavedené bezpečnostné kontroly

- **Prístup.** Servery prijímajú SSH iba s kľúčmi, z povolených administrátorských adries vynútených firewallom poskytovateľa; manažérske panely sú iba cez HTTPS. Aplikačné role oddeľujú používateľov, personál a administrátorov; administrátorské akcie na účtoch sú logované.
- **Autentifikácia.** E-mail a heslo (scrypt hash) alebo prihlásenie cez Google; pokusy o prihlásenie sú obmedzené rýchlosťou; API kľúče nesú explicitné oprávnenia, platnosť a zrušenie.
- **Tajomstvá.** Kľúče poskytovateľov sú v konfigurácii prostredia na Vercel a na hostiteľovi workera, nikdy v repozitári; známe vzory tajomstiev sa z uložených záznamov vykonávania odstraňujú; API kľúče existujú v otvorenej podobe iba v okamihu, keď sa vám zobrazia.
- **Sieť.** Verejné endpointy sú iba cez TLS s HSTS; `X-Content-Type-Options`, `X-Frame-Options`, `Referrer-Policy`, `Permissions-Policy` a framing CSP sa posielajú v každej odpovedi. Interné služby (databáza, Redis, exportéry metrík) počúvajú iba na súkromnej sieti.
- **Izolácia.** Kontajnery nástrojov nemôžu dosiahnuť súkromný adresný priestor, metadátovú službu ani naše interné služby; každá konverzácia dostane vlastný pracovný priestor.
- **Zálohy.** Nočný `pg_dump` na databázovom hostiteľovi plus denná snímka servera od Hetzner, obe rotované po 7 dňoch.
- **Správa zmien.** Všetky zmeny prechádzajú cez pull requesty, Vercel ich zostavuje a nasadzuje z hlavnej vetvy a sú preskúmané pred zlúčením. Produkčné závislosti sú auditované na známe zraniteľnosti a promptne opravované (naposledy: upozornenia pre Next.js 16.4.4, v ten istý deň).
- **Zneužitie a bezpečnosť.** Politika ochrany detí sa vynucuje pri každej požiadavke bez ohľadu na nastavenia, pričom incidenty sa zaznamenávajú a upozorňuje sa na ne osoba; signály zneužitia môžu pozastaviť účet na preskúmanie človekom.
- **Reakcia na incidenty.** Triáž, zadržanie, oznámenie a preskúmanie; zákazníci sú upovedomení o porušeniach ochrany osobných údajov do 72 hodín od toho, čo sa o nich dozvieme (pozri DPA).

## Zatiaľ nezavedené

Radšej vám to povieme, než aby ste predpokladali:

- Žiadna certifikácia SOC 2 ani ISO 27001 a žiadna neprebieha. Ak to pre vaše obstarávanie záleží, povedzte to na security@ablit.app; ovplyvní to, kedy začneme.
- Zatiaľ žiaden penetračný test tretej strany. Prvý je plánovaný, keď sa súčasná výstavba platformy ustáli; správa bude dostupná na základe NDA z tejto stránky.
- Žiadne zverejnené CSA STAR sebahodnotenie. Na požiadanie dokážeme vyplniť bezpečnostný dotazník (CAIQ, SIG Lite alebo váš vlastný).
- Žiadna záruka šifrovania v pokoji nad rámec toho, čo hostingoví poskytovatelia uplatňujú na svoje úložisko. Databázové zväzky sú na blokovom úložisku Hetzner Cloud; šifrovanie uloženého obsahu na úrovni aplikácie nie je implementované.
- Žiadna verejná stavová stránka. Banner údržby v produkte a táto stránka sú dnešné kanály.
- Žiadne formálne úlohy uchovávania pre záznamy vykonávania; vymažú sa spolu s účtom alebo na žiadosť, ako uvádzajú Zásady ochrany súkromia.

## Subdodávatelia

Tretie strany, ktoré spracúvajú zákaznícke údaje pre nás. Poskytovatelia modelov a médií dostávajú iba to, čo požiadavka potrebuje; ktorý z nich to je, závisí od modelu, ktorý si vyberiete. Nezverejňujeme poskytovateľa za každým modelom; firemní zákazníci si môžu zoznam vyžiadať na základe NDA pre svoj DPA.

| Poskytovateľ | Účel | Lokalita |
| --- | --- | --- |
| Vercel Inc. | Hosting webovej aplikácie a API, úložisko súborov | EÚ (Frankfurt) pre funkcie; globálna CDN pre statické aktíva; spoločnosť z USA |
| Hetzner Online GmbH | Databáza, workery, sandboxy nástrojov, monitorovacie servery | Nemecko (Falkenstein) |
| Stripe Payments Europe / Stripe Inc. | Platby, predplatné, faktúry | EÚ a USA |
| Resend | Doručovanie transakčných a marketingových e-mailov | USA |
| Google LLC | Voliteľné prihlásenie cez Google; meranie konverzií Google Ads (podmienené súhlasom) | USA |
| Meta Platforms | Meranie konverzií reklamy (podmienené súhlasom) | USA |
| PostHog (EU cloud) | Produktová analytika (podmienená súhlasom) | EÚ |
| Brave Software | Vyhľadávanie na webe pre agenta | USA |
| Serper | Vyhľadávanie na webe pre agenta | USA |
| Poskytovatelia AI modelov a médií | Inferencia pre modely v katalógu; každá požiadavka ide iba poskytovateľovi za modelom, ktorý ste vybrali, s promptom a kontextom, ktorý potrebuje, a ničím o vašom účte | USA a EÚ; zoznam poskytovateľov pre každý model je dostupný firemným zákazníkom na základe NDA |

Zmeny sa tu zverejňujú aspoň 14 dní pred tým, ako nový subdodávateľ spracuje zákaznícke údaje; napíšte na security@ablit.app, aby ste boli upovedomení priamo. Bugsink, Grafana, Prometheus a Loki sú vlastne hostované na našich serveroch Hetzner a nie sú tretími stranami.

## Zverejnenie

Ak nájdete zraniteľnosť v Ablit, napíšte na [security@ablit.app](mailto:security@ablit.app) s podrobnosťami a krokmi na reprodukciu. Potvrdíme do 2 pracovných dní, budeme vás informovať a uvedieme vás, ak budete chcieť. Prosím, nepristupujte k údajom iných ľudí, nedegradujte službu ani nezverejňujte skôr, ako problém opravíme; výskum v dobrej viere, ktorý dodržiava tieto pravidlá, nepovedie z našej strany k právnym krokom. Strojovo čitateľný kontakt: [/.well-known/security.txt](/.well-known/security.txt).

## Dokumenty

- [Zásady ochrany súkromia](/privacy)
- [Podmienky služby](/terms)
- [Spracúvanie údajov](/data-handling)
- [Dodatok o spracúvaní údajov](/legal/dpa) (spolupodpísaná kópia na požiadanie)
- Odpovede na bezpečnostný dotazník, prehľad architektúry a, keď budú dostupné, správy z penetračných testov: na požiadanie na základe NDA na security@ablit.app

## Záznam zmien

- **2 November 2026.** Prvá verzia tejto stránky. V ten istý deň: Next.js opravený pre GHSA-2464-fhr4-w9xw a GHSA-673q-mjm6-r5xr, aktualizované undici a zod, pridané bezpečnostné hlavičky a security.txt.