Bezpečnost dat

Stav k 1. 11. 2026

Faktury, adresář a platby jsou citlivá data vaší firmy. Na této stránce popisujeme, jak je v Faktuře chráníme, bez obecných frází: jen to, co aplikace opravdu dělá. Podrobnosti o zpracování osobních údajů najdete v zásadách ochrany osobních údajů.

Co s vašimi daty nikdy neděláme

Data neprodáváme a nepoužíváme je k reklamě ani k cílení reklam.
Obsah vašeho účtu (doklady, partneři, částky) nikomu nepředáváme, pokud to sami nepožadujete, například odesláním faktury odběrateli nebo exportem pro účetní.
Vaše doklady neslouží k trénování umělé inteligence, ani naší, ani cizí.

Kde data leží

Co	Kde
Aplikace a databáze	Vlastní server u FORPSI (INTERNET CZ, a.s.) v České republice
Přílohy a soubory dokladů	Microsoft Azure ve Švédsku (EU), na disku šifrované, bez veřejného přístupu
Zálohy databáze	Na serveru 7 dní a mimo server v Azure ve Švédsku 30 dní, zašifrované (viz níže)

Další služby, které při provozu používáme (odesílání e-mailů, platební brána, čtení dokladů pomocí AI), jsou vyjmenované v zásadách ochrany osobních údajů.

Každá firma vidí jen svá data

Data každé firmy jsou přísně oddělená. K datům firmy se dostanou jen její uživatelé a automatické testy při každé změně aplikace ověřují, že se k nim nikdo jiný nedostane.

Šifrování

Spojení: aplikace, web i API běží jen přes HTTPS a prohlížeč si pamatuje, že jinak to nejde (HSTS).
Hesla: neukládáme je. Ukládáme jen otisk (PBKDF2-SHA256 s náhodnou solí), ze kterého heslo zpět nezjistíme ani my.
Tajné údaje: certifikáty pro EET a bankovní API včetně hesel, tokeny Fio, klíče pro import z jiných programů, tajemství webhooků a dvoufázového ověření jsou v databázi zašifrované (AES-256-GCM). Klíč k nim není v databázi ani v zálohách.
Klíče API: uchováváme jen jejich otisk (SHA-256). Celý klíč uvidíte jednou při vytvoření.
Zálohy: kopie záloh mimo server jsou zašifrované veřejným klíčem (age). Soukromý klíč k jejich rozšifrování na serveru ani v cloudu není, takže samotné úložiště záloh nic neprozradí.

Přihlášení a účet

Dvoufázové ověření: kód z aplikace (Google Authenticator, Microsoft Authenticator a podobné) nebo kód poslaný e-mailem.
Po pěti chybných kódech se přihlášení na 15 minut zastaví. Registraci chrání reCAPTCHA před roboty.
Změna hesla nebo zapnutí dvoufázového ověření zneplatní dosavadní přihlášení. Kdo z firmy odejde nebo komu firmu smažete, ztratí přístup okamžitě.
Uživatelé ve firmě mají role, takže třeba účetní nemusí mít práva správce.
Odkaz pro obnovu hesla platí 30 minut a jen jednou.

Kdo má k datům přístup

K serveru a databázi má přístup jen provozovatel. Data otevírá jen tehdy, když je to nutné k provozu aplikace nebo když o to v podpoře sami požádáte. Správa aplikace vyžaduje ověřený e-mail a dvoufázové ověření. Server chrání firewall, ochrana proti zkoušení hesel (fail2ban) a automatické bezpečnostní aktualizace.

Zálohy a obnova

Databázi zálohujeme každý den. Zálohy na serveru držíme 7 dní, zašifrované kopie mimo server 30 dní. Pravidelně zkoušíme zálohu obnovit do zkušební databáze a porovnat s živou, abychom věděli, že obnova opravdu funguje a jak dlouho trvá. Když se denní záloha nepovede, dostane provozovatel okamžitě e-mail.

Umělá inteligence

AI (Claude od společnosti Anthropic) používáme jen tehdy, když ji sami spustíte: při čtení nahrané přijaté faktury nebo účtenky a při nadiktování faktury. Dostane jen ten jeden soubor nebo text, ne váš adresář, ceník ani ostatní doklady. Anthropic data podle smlouvy nepoužívá k trénování modelů. Kdo AI nechce, nemusí ji používat. Vše ostatní jde zadat ručně.

Vaše data jsou vaše

Doklady a údaje firmy si kdykoli vyexportujete v nastavení, i ve formátech pro jiné programy (ISDOC, Pohoda, Excel, CSV).
Účet i firmu smažete v nastavení. Data firmy se nevratně smažou do 30 dnů, nestanoví-li zákon jinak.
Záznamy o změnách a technické logy s osobními údaji mažeme automaticky po několika týdnech.

Našli jste problém?

Pokud narazíte na bezpečnostní chybu, napište prosím na podpora@abfaktura.cz. Ozveme se co nejdřív, chybu opravíme a o případném úniku dat dotčené uživatele bez odkladu informujeme.