Bezpečnost a compliance

Platforma běží na cloudové infrastruktuře v EU a data jsou primárně uložena ve Frankfurtu v Německu. Databáze jsou v privátních sítích, přístup využívá krátkodobé tokeny a veškerý externí provoz je šifrován pomocí TLS 1.2+ a HSTS.

Udržujeme redundantní úložiště s automatickými zálohami každých šest hodin a denními snímky pro obnovu k určitému okamžiku (point-in-time recovery), které uchováváme 30 dní.

• Uložená data: AES-256 v databázi, hashovaná hesla (bcrypt/argon2id) a šifrování citlivých údajů na úrovni polí.
• Přenášená data: TLS 1.2 nebo vyšší se silnými šiframi, HSTS preload, automatická obnova certifikátů.
• Klíče: spravované v KMS, rotované čtvrtletně a auditované při každém přístupu.

Uplatňujeme princip nejnižších oprávnění a řízení přístupu na základě rolí (RBAC), implementované pomocí samostatné tabulky `user_roles` ověřované zabezpečením na úrovni řádků na straně serveru. Administrátorské účty vyžadují dvoufázové ověření a každý přístup je nezměnitelně zaznamenán.

Odcházejícím zaměstnancům rušíme přístupy do 4 hodin. Externí dodavatelé přistupují do systémů pouze přes vyhrazené, auditovatelné účty.

Veškerý kód prochází před nasazením revizí. Provádíme automatickou kontrolu závislostí (SCA), statickou analýzu (SAST), vyhledávání tajných klíčů a dynamické testování. Žádná změna v produkci nejde do provozu bez automatické sady testů, ruční revize a možnosti okamžitého vrácení.

Jako výchozí základ používáme OWASP Top 10 a OWASP API Security Top 10 a každoročně si objednáváme penetrační testy u nezávislých třetích stran.

Veškerá citlivá činnost se centrálně loguje po dobu 12 měsíců. Anomálie spouštějí upozornění v reálném čase. Máme zdokumentovaný plán reakce na incidenty s RTO 4 hodiny a RPO 30 minut pro kritické služby.

Porušení zabezpečení osobních údajů ohlašujeme dozorovému úřadu do 72 hodin podle článku 33 GDPR a dotčené subjekty údajů informujeme bez zbytečného odkladu.

Workers Stay neukládá úplné údaje o platebních kartách. Veškeré nakládání s kartami probíhá u našeho poskytovatele Stripe s certifikací PCI DSS. Spadáme do rozsahu SAQ-A (nejnižší použitelná úroveň) a s údaji držitelů karet (CHD) ani citlivými autentizačními údaji (SAD) v otevřené podobě nepracujeme.

Využíváme pouze subdodavatele zpracování, kteří splňují rovnocenné bezpečnostní standardy. Úplný a aktuální seznam je uveden v naší smlouvě o zpracování (DPA). Změny oznamujeme firemním klientům nejméně 30 dní předem.

Bezpečnostní výzkumníky zveme, aby potenciální zranitelnosti hlásili na security@workersstay.com. Přijetí potvrdíme do 48 hodin, nápravu provedeme podle priority CVSS a proti hlášením učiněným v rámci výzkumu v dobré víře nepodnikneme právní kroky.

Firemním klientům, u nichž spolupráce zahrnuje zpracování osobních údajů – rezervační formuláře, integrace CRM, seznamy zaměstnanců, kteří u nás bydlí –, nabízíme před aktivací písemnou DPA. Naše standardní DPA odpovídá článku 28 GDPR a obsahuje standardní smluvní doložky EU (modul 2 a 3, kde je to relevantní) pro všechny subdodavatele zpracování mimo EHP. Kopii aktuální DPA si můžete vyžádat na privacy@workersstay.com.

Využíváme omezený počet pečlivě prověřených subdodavatelů zpracování. Každý z nich je vázán písemnou smlouvou, která mu ukládá rovnocenné povinnosti v oblasti ochrany údajů. Aktuální seznam:

• Google LLC / Google Ireland Ltd – Google Workspace, Analytics, Ads, Maps (EU a USA, SCC).
• Meta Platforms Ireland Ltd – Meta Pixel a CAPI (EU).
• Supabase Inc. – aplikační databáze a ověřování (region EU, Frankfurt).
• Stripe Payments Europe Ltd – platby kartou (EU, PCI DSS Level 1).
• Resend, Inc. – transakční e-maily (region EU).
• Cloudflare, Inc. – DNS, WAF a doručování na okraji sítě (globálně, SCC).
• PostHog Inc. – produktová analytika (region EU).

Firemní klienty písemně informujeme nejméně 30 dní před přidáním nebo výměnou subdodavatele zpracování.

V případě potvrzeného incidentu, který se týká dat firemního klienta, informujeme dotčeného klienta bez zbytečného odkladu, nejpozději do 48 hodin od potvrzení. Oznámení obsahuje dotčené kategorie údajů, pravděpodobné důsledky a přijatá opatření ke zmírnění. Porušení zabezpečení osobních údajů souběžně ohlašujeme dozorovému úřadu do 72 hodin podle článku 33 GDPR.

Všichni členové týmu i externí spolupracovníci jsou vázáni písemnou povinností mlčenlivosti, která trvá i po skončení spolupráce. Vzájemné dohody o mlčenlivosti (NDA) jsou na vyžádání k dispozici před obchodním jednáním.

Bezpečnostní oddělení: security@workersstay.com. Ochrana osobních údajů: privacy@workersstay.com. Obecný kontakt: contact@workersstay.com. Poštovní adresa: Real Estate Ollopa11 Ltd, 128 City Road, London EC1V 2NX, Spojené království.