Nacrt, stanje: 19. listopada 2026. Ovaj prijevod služi samo za informaciju; obvezujuća je njemačka verzija. Prije objave dopunite i dajte pravno provjeriti.
1. Rad i infrastruktura
KI.ordo radi na jednom poslužitelju kojim upravljamo mi [lokacija ili pružatelj smještaja i država]. U paketu Enterprise KI.ordo radi na poslužitelju klijenta; klijent je odgovoran za njegovu fizičku sigurnost i operacijski sustav, osim ako je drukčije ugovoreno.
Sav se sadržaj pohranjuje u bazu podataka na tom poslužitelju. Vanjske usluge koristimo samo za UI odgovore i u svrhe navedene na stranici Podizvršitelji obrade.
2. Šifrirani prijenos
Pod našom domenom KI.ordo je dostupan samo putem HTTPS-a (TLS). Kolačići za prijavu tada se šalju isključivo putem šifriranih veza. Veza s pružateljem UI usluge uvijek je šifrirana.
3. Prijava i pristup
- Lozinke pohranjujemo samo kao hash metodom scrypt s nasumičnom soli.
- Sesije koriste HttpOnly kolačić sa zaštitom SameSite. Na poslužitelju pohranjujemo samo hash ključa sesije. Sesija završava nakon 14 dana ili pri odjavi.
- API ključeve također pohranjujemo samo kao hash. Mogu se opozvati u bilo kojem trenutku; njihova je posljednja upotreba vidljiva.
- Uloge po radnom prostoru: vlasnik, administrator, urednik i promatrač. Svaka osoba vidi samo radne prostore čiji je član.
- Važne promjene bilježe se u dnevnik promjena radnog prostora.
4. Zaštita od zlouporabe
- Javne krajnje točke kao što su prijava, obrazac za kontakt, chat na web-stranici i webhookovi ograničavaju broj zahtjeva po adresi i minuti.
- Chat na web-stranici možete ograničiti na odobrene web-stranice.
- Web-zahtjevi iz tijekova rada ne mogu doseći interne ni privatne mrežne adrese.
- Mjesečno ograničenje tokena po radnom prostoru sprječava neočekivane troškove.
5. Sigurnosne kopije
Baza podataka sigurnosno se kopira svake noći. Čuvamo sigurnosne kopije posljednjih sedam dana. [Lokacija sigurnosnih kopija, npr. dodatno šifrirano na drugoj lokaciji]
6. Organizacija
Prije objave prilagodite odjeljke 6. i 7. stvarnoj praksi.
- Pristup poslužitelju ima samo [broj / uloge] osoba koje su obvezane na povjerljivost.
- Sadržaju klijenata pristupamo samo ako je to potrebno za podršku ili rad ili ako to klijent zatraži.
- Uređaji s pristupom poslužitelju šifrirani su i zaštićeni zaključavanjem zaslona.
- Nosače podataka koji više nisu potrebni sigurno brišemo ili uništavamo.
7. Ažuriranja i testiranje
Operacijski sustav i softverske pakete održavamo ažurnima i nove verzije KI.ordo prije objave testiramo automatiziranim testovima. [Dodajte vanjske sigurnosne revizije ili certifikate kada budu dostupni]
8. Incidenti
Ako otkrijemo povredu osobnih podataka, bez nepotrebnog odgađanja obavještavamo pogođene klijente i podržavamo ih u ispunjavanju njihovih obveza izvješćivanja. Ako smo sami voditelj obrade, incident prijavljujemo nadzornom tijelu u roku od 72 sata (čl. 33. GDPR-a).
9. Prijava ranjivosti
Pronašli ste ranjivost? Pišite na [email protected]. Molimo dajte nam vremena da otklonimo problem prije nego što ga objavite i ne pristupajte tuđim podacima.