Zabezpečení
Bezpečné, protože toho uchováváme méně
Nejbezpečnější data jsou ta, která nikdy nesbíráme. Co Nvivio přece jen uchovává, zůstává v EU, putuje šifrovaně a přístup k tomu mají jen ti, kdo ho potřebují. Tato stránka říká jak a co ještě nemáme.
- 0uložených IP adres
- 0hesel k odcizení: přihlašujete se odkazem z e-mailu
- EUvaše data zůstávají ve Frankfurtu nad Mohanem
Ve zkratce
- IP adresy a celé user agenty se nikdy neukládají a ve výchozím stavu se do zařízení návštěvníka nic neukládá.
- Databáze a přihlašování běží ve Frankfurtu nad Mohanem; fronta událostí a nastavení jsou uloženy u Cloudflaru pod jurisdikcí EU.
- Vše běží přes HTTPS: běžné HTTP se přesměruje a nvivio.com prohlížečům říká, ať nic jiného nepoužívají.
- Žádná hesla: přihlašujete se jednorázovým odkazem z e-mailu.
- Klíče API se zobrazí jen jednou a ukládají se jen jako hash; AI asistenti se připojují přes OAuth.
- Veřejná rozhraní databáze nedosáhnou na žádná data a každá tabulka má row-level security.
- Naše administrace je za Cloudflare Access a každou změnu i s důvodem zapisuje do auditního logu.
- Když smažete web nebo svou organizaci, data se smažou do 24 hodin.
- Našli jste zranitelnost? Napište na security@nvivio.com; odpovíme do pěti pracovních dnů.
Vaše data
Sbíráme méně
IP adresa se používá jen v paměti, ve chvíli, kdy návštěva dorazí, a nikdy se nedostane do fronty ani do databáze. V režimu soukromí se návštěvník rozpozná podle kódu, který se každý den mění; denní klíč za ním se po 26 hodinách smaže. Z user agenta zůstává jen prohlížeč, systém a typ zařízení a adresy se vyčistí dřív, než se cokoli uloží.
V EU, bez logů
Databáze a přihlašování běží u Supabase ve Frankfurtu nad Mohanem (AWS eu-central-1). Fronta událostí, nastavení webů a připojení AI asistentů jsou uloženy u Cloudflaru pod jurisdikcí EU. Nástěnka, API a MCP server běží vedle databáze ve Frankfurtu. Výsledky dotazů se necachují a náš kód nevede žádné logy požadavků. Návštěva nejprve dorazí do datového centra Cloudflaru nejblíže návštěvníkovi; pro návštěvníky v EU je to v EU.
Šifrovaně na cestě
Skript, sběr událostí, web, nástěnka, API i MCP server běží přes HTTPS; požadavek přes běžné HTTP se přesměruje na HTTPS. Každá odpověď nvivio.com říká prohlížečům, ať rok používají jen HTTPS, i na subdoménách (HSTS). Spojení našeho kódu s databází je šifrované a naši poskytovatelé šifrují uložená data i jejich zálohy.
Vaše data, vaše rozhodnutí
Data se uchovávají tak dlouho, jak určuje váš tarif, a starší data se každou noc mažou. Návštěvy a denní součty exportujete do CSV, od tarifu Starter. Když smažete web nebo celou organizaci, data se smažou do 24 hodin a e-mail vám to potvrdí.
Kdo má přístup
Přihlášení bez hesla
Přihlašujete se jednorázovým odkazem, který pošleme na vaši e-mailovou adresu, takže neexistuje heslo, které by se dalo uhodnout, znovu použít nebo které by mohlo uniknout. Nvivio ten e-mail píše a odesílá samo, a to jen tehdy, když o to přihlašovací služba požádá s platným podpisem.
Přístup pro váš tým
Každý ve vaší organizaci má roli: vlastník, správce, editor nebo čtenář, pro všechny weby, nebo jen pro jeden. Pozvánka funguje jen pro přesně tu e-mailovou adresu, na kterou byla poslána, a po 30 dnech vyprší.
Klíče API a AI asistenti
Klíč API se zobrazí jen jednou a ukládá se jen jako hash. Může být jen pro čtení a kdykoli ho můžete zrušit. Bez platného klíče API odmítne každý požadavek, kromě veřejného dema s vymyšlenými daty. AI asistenti se k MCP serveru připojují přes OAuth a jejich tokeny se ukládají jen jako hashe. MCP server nemá přístup k databázi: volá API vaším jménem.
Uzavřená databáze
K vašim datům se lze dostat jen přes vlastní kód Nvivio, který u každého požadavku ověří, kdo jste a co smíte vidět. Veřejná rozhraní databáze (REST a GraphQL) nedosáhnou na žádnou tabulku: veřejné role nemají žádná práva, GraphQL je vypnuté a každá tabulka má row-level security.
Náš vlastní přístup
Naše administrace (admin.nvivio.com) je za Cloudflare Access a náš vlastní kód u každého požadavku znovu ověří token Access a krátký seznam jmenovitě určených lidí. Neukazuje nic z vašich statistik, jen počet návštěv na web, a vaši nástěnku otevřít nemůže. Každá změna tam vyžaduje důvod a zapíše se do auditního logu, který nelze změnit ani smazat.
Jak Nvivio provozujeme
Ochrana v prohlížeči
Každá odpověď nvivio.com nese bezpečnostní hlavičky. Žádnou stránku nelze zobrazit uvnitř jiného webu, takže vás nikdo nemůže nachytat ke kliknutí na vaší nástěnce. Soubory se nikdy nečtou jako jiný typ, adresa s cestou nikdy neputuje na jiný web a kamera, mikrofon, poloha a reklamní témata jsou vypnuté. Ikony jiných webů si Nvivio stahuje samo a servíruje je s přísnými pravidly, takže ikona nikdy nemůže spustit kód.
Nic se neztratí, nic se nezapočítá dvakrát
Každá událost dostane při příchodu jedinečný identifikátor, takže opakované doručení se nikdy nezapočítá dvakrát. Události čekají ve frontě s automatickými opakovanými pokusy a dead-letter frontou, takže krátký výpadek databáze nic neztratí. Skript se načítá asynchronně, takže vaše stránka na Nvivio nikdy nečeká. Náš poskytovatel databáze navíc každý den zálohuje databázi; co smažete, zůstává v těchto zálohách, dokud nevyprší.
Jak vyvíjíme
Každá změna projde kontrolou typů a automatickými testy a do produkce se nasazuje jen z hlavní větve (main). Tajné údaje zůstávají mimo kód a dostane je jen služba, která je potřebuje.
Platby
Platby zpracovává Mollie v Amsterdamu. Údaje o kartě nebo bankovním účtu zadáváte na vlastní stránce Mollie, takže se k Nvivio nikdy nedostanou.
Naši poskytovatelé a jejich audity
Nvivio samo nemá žádnou bezpečnostní certifikaci, jako je ISO 27001 nebo SOC 2. Stavíme na poskytovatelích, kteří procházejí nezávislými audity a své certifikace zveřejňují: Cloudflare pro síť a náš kód a Supabase, běžící na Amazon Web Services, pro databázi. Fyzické zabezpečení datových center je jejich věcí. Každého z nich zavazuje smlouva o zpracování osobních údajů s povinnostmi minimálně tak přísnými jako ty naše.
Když se něco pokazí
Pokud se porušení zabezpečení osobních údajů týká vašich dat, dáme vám vědět do 48 hodin od chvíle, kdy se o něm dozvíme, jak slibuje naše smlouva o zpracování osobních údajů, a o každém incidentu vedeme záznam.
Co zatím nemáme
Raději to uslyšte od nás:
- Druhý krok přihlášení v Nvivio. Kdo může číst vaši e-mailovou schránku, může se přihlásit, proto si schránku chraňte dvoufázovým ověřením.
- Přihlášení přes poskytovatele identit vaší firmy (single sign-on).
- Vlastní certifikace, jako je ISO 27001 nebo SOC 2.
- Bug bounty: poděkujeme vám veřejně a jmenovitě, ne penězi.
- Veřejná stavová stránka.
Našli jste zranitelnost?
Napište na security@nvivio.com, anglicky nebo nizozemsky. Vaše hlášení potvrdíme do pěti pracovních dnů, budeme vás průběžně informovat o opravě a proti výzkumu, který se řídí našimi pravidly, nepodnikneme žádné právní kroky.
Podrobnosti černé na bílém
Naše bezpečnostní opatření tvoří přílohu 2 smlouvy o zpracování osobních údajů; spolu s dokumenty níže jsou tím, k čemu se zavazujeme.
Podívejte se na svůj web v Nvivio ještě dnes
Zadejte e-mailovou adresu, klikněte na odkaz, přidejte web a vložte jeden řádek. To je vše.
30 dní Pro zdarma · bez platební karty · přihlášení odkazem z e-mailu