Zabezpečení dat a obnova po havárii
Poslední aktualizace: 22. 10. 2026
Tato stránka popisuje, jak web, klientský portál a mobilní aplikace ProfiSprávceSVJ a aplikace SVJ Monitor ukládají, chrání a zálohují data. Píšeme jen to, co opravdu děláme. Právní podrobnosti o zpracování osobních údajů najdete v Zásadách zpracování osobních údajů a v zásadách SVJ Monitoru.
1. Kde data ukládáme a jak je chráníme
Kde
Data portálu a aplikací jsou v databázích poskytovatelů Neon a Supabase v datových centrech v EU, ve Frankfurtu (Německo) a v Irsku. Nahrané fotografie a dokumenty jsou v úložišti Supabase v EU. Elektronické podpisy dokumentů zpracováváme ve vlastní instanci aplikace OpenSign, kterou provozujeme v Česku.
Web a serverovou část portálu provozuje Vercel. Serverové funkce portálu běží v jeho datovém centru ve Frankfurtu (Německo), blízko databází, takže se data při vyřízení požadavku zpracují také v EU.
Šifrování
Komunikace s webem, portálem a aplikacemi probíhá jen šifrovaně přes HTTPS (TLS) a prohlížeč má šifrované spojení vynucené (HSTS). Databáze a úložiště souborů šifrují data v klidu na straně poskytovatele. Zálohy navíc šifrujeme sami, viz bod 2.
Kdo má k datům přístup
V portálu vidí každý uživatel jen data svého SVJ, a to podle své role (vlastník, výbor, správce). Oprávnění kontroluje server a v databázi také pravidla pro jednotlivé řádky (row level security). V SVJ Monitoru jsou nahraná vyúčtování a stanovy v soukromém úložišti vašeho účtu.
Do administrace a produkčních databází má přístup jen provozovatel, Bc. Martin Pohl, a automatizované nástroje, které spravuje. Klíče k e-mailové službě, AI a dalším službám jsou jen na serveru, nikdy v aplikaci ani v prohlížeči.
Přihlášení
Přihlásit se jde jednorázovým kódem z e-mailu, heslem nebo účtem třetí strany (Apple, Seznam). Hesla neukládáme v čitelné podobě, jen jako hash. Jednorázové kódy a odkazy platí omezenou dobu. Formuláře na webu chrání Cloudflare Turnstile proti robotům. Face ID a otisk prstu vyhodnocuje jen váš telefon, biometrické údaje k nám nechodí.
2. Zálohy a obnova po havárii
Co zálohujeme
Databáze portálu ProfiSprávceSVJ a aplikace SVJ Monitor včetně uživatelských účtů a zdrojový kód aplikací. Nahrané soubory (fotografie, dokumenty) jsou uložené u poskytovatele úložiště. Samostatnou zálohu souborů připravujeme.
Jak často a kde
Záloha se vytváří automaticky každou noc a ukládá se u jiného poskytovatele, než u kterého běží databáze, v úložišti v EU. Noční zálohy držíme 8 dní, starší se mažou automaticky. Databáze portálu navíc umožňuje vrátit stav k libovolnému okamžiku za posledních několik hodin.
Šifrování a přístup k zálohám
Zálohu šifrujeme dřív, než ji odešleme do úložiště. Klíč k rozšifrování není uložený u žádného z poskytovatelů. Zálohovací úloha se k databázím připojuje samostatným účtem, který smí data jen číst.
Test obnovy
Obnovu ze zálohy jsme naposledy vyzkoušeli v říjnu 2026. Test chceme pravidelně opakovat.
Interní cíle
Naším interním cílem je při havárii přijít nejvýš o data za posledních 24 hodin a mít služby znovu v provozu do 4 hodin. Jsou to cíle, podle kterých máme nastavené zálohy a postup obnovy, ne smluvní záruka.
Co se stane při výpadku
Postupujeme podle sepsaného postupu obnovy. Nejdřív zajistíme, co ještě funguje, a nic nemažeme. Obnovujeme do nového prostředí a na ně přepneme až po kontrole dat. Výborům dotčených SVJ a uživatelům SVJ Monitoru dáme vědět e-mailem, co se stalo, co to znamená pro jejich data a kdy čekat obnovu. Při delším výpadku informujeme i na webu.
3. Zpracovatelé
Data za nás zpracovávají tito poskytovatelé. Uvádíme, k čemu je používáme a kde jsou data nebo kde sídlí společnost. Předávání dat do USA se řídí smluvními podmínkami zpracování dat jednotlivých poskytovatelů.
ProfiSprávceSVJ (web, portál, aplikace)
| Poskytovatel | K čemu | Kde |
|---|---|---|
| Vercel Inc. | Hosting webu a serverové části portálu | Serverové funkce ve Frankfurtu (Německo), společnost v USA |
| Neon | Databáze portálu | EU (Frankfurt, Německo) |
| Supabase Inc. | Přihlášení, databáze, nahrané fotografie a dokumenty | EU (Irsko) |
| Brevo (Sendinblue SAS) | Odesílání e-mailů: přihlašovací kódy, pozvánky, oznámení | Francie (EU) |
| Cloudflare Inc. | DNS, ochrana formulářů proti robotům (Turnstile), úložiště záloh | Zálohy v EU, společnost v USA |
| GitHub (Microsoft) | Zdrojový kód a automatická úloha, která vytváří noční zálohu | USA |
| Google (Gemini API) | Chatbot na webu, dostává jen zprávy, které do něj napíšete | USA |
| Umami | Statistika návštěvnosti webu bez cookies | USA |
| Cal.com | Rezervace konzultací, pokud si termín zarezervujete | USA |
| Expo, Apple, Google | Doručení oznámení v mobilní aplikaci, pokud je zapnete | USA |
| Apple, Seznam.cz | Přihlášení účtem třetí strany, pokud ho zvolíte | USA, Česko |
SVJ Monitor
| Poskytovatel | K čemu | Kde |
|---|---|---|
| Supabase Inc. | Přihlášení, databáze, soukromé úložiště souborů | EU (Irsko) |
| Supabase Edge Functions | Serverová logika: dotazy na AI, čtení dokumentů, oznámení a e-maily | EU (Irsko, záložně Frankfurt) |
| Vercel Inc. | Hosting webu a brána k poskytovateli AI (Vercel AI Gateway) | Statický web bez serverových funkcí, region Frankfurt (Německo), společnost v USA |
| Poskytovatel AI přes Vercel AI Gateway | Čtení nahraných vyúčtování a stanov, odpovědi na otázky ke stanovám | Podle zvoleného modelu, i mimo EU |
| Google Cloud Vision | Čtení textu vyúčtování, jen pokud je tato volba na serveru zapnutá | USA |
| Brevo (Sendinblue SAS) | Odesílání e-mailů | Francie (EU) |
| Cloudflare Inc., GitHub | Úložiště záloh a úloha, která zálohu vytváří | Zálohy v EU, společnosti v USA |
| Apple | Přihlášení přes Apple, pokud ho zvolíte | USA |
| Expo, Apple, Google | Doručení oznámení, pokud je zapnete | USA |
Veřejné údaje o SVJ a firmách načítáme z veřejných rejstříků (ARES a obchodní rejstřík). Odchází do nich jen IČO.
4. Jak dlouho data držíme, smazání a export
U ProfiSprávceSVJ platí doby uchování podle Zásad zpracování osobních údajů, například údaje z poptávkového formuláře 6 měsíců a účetní doklady SVJ 10 let po skončení smlouvy, jak ukládá zákon. V SVJ Monitoru držíme data po dobu existence účtu. Účet v obou aplikacích smažete přímo v Nastavení. Smazaná data zmizí i ze záloh nejpozději za 8 dní, kdy vyprší nejstarší záloha.
Na žádost vám pošleme kopii vašich údajů ve strojově čitelné podobě. Při ukončení smlouvy o správě předáme SVJ nebo novému správci údaje a dokumenty potřebné pro pokračování správy.
Máte právo na přístup k údajům, opravu, výmaz, omezení zpracování, přenositelnost a námitku. Žádost pošlete na svj@martinpohl.cz (ProfiSprávceSVJ) nebo hello@martinpohl.cz (SVJ Monitor). Stížnost můžete podat u Úřadu pro ochranu osobních údajů (uoou.gov.cz).
5. Bezpečnostní incidenty a kontakt
Když najdete bezpečnostní chybu, napište na svj@martinpohl.cz s předmětem „Bezpečnost“. Popište, co jste našli a jak to zopakovat. Prosíme, nezkoušejte přistupovat k cizím datům a dejte nám čas chybu opravit, než ji zveřejníte. Pravidla, rozsah a ochranu pro výzkumníky popisuje stránka Hlášení zranitelností. Kontakt je uvedený i v souboru /.well-known/security.txt.
Při incidentu nejdřív zastavíme jeho šíření, vyměníme dotčené klíče a hesla a zjistíme, kterých dat se týká. Pokud incident ohrozí osobní údaje, oznámíme ho Úřadu pro ochranu osobních údajů do 72 hodin, jak ukládá GDPR, a dotčeným lidem a výborům SVJ dáme vědět bez zbytečného odkladu.