Bezpečnost a data

Kde vaše data leží, kdo se k nim dostane a kdo ne. Včetně nás jako provozovatele — to je totiž otázka, kterou by si měl klást každý, kdo dává firemní data do cloudu.

Proč to řešíme

Pracovní data montážní firmy jsou citlivější, než se zdá. Jsou v nich adresy klientů, telefony, ceny odvozené z hodin a fotky cizích domů. Firma, která to všechno dá do aplikace, má právo vědět, komu tím dává přístup.

Většina odpovědí zní „máme to zabezpečené". To není odpověď. Odpověď je, kdo konkrétně se na ta data může podívat a co ho v tom brání.

Jak to funguje v Rifut Flow

Firma je hranice, ne filtr

Firma není kategorie, podle které se data filtrují — je to hranice. Montáže, štítky, časy, fotky a všechno ostatní patří právě jedné firmě a uživatel pracuje vždy v kontextu jedné aktivní firmy.

Prakticky: cizí data se nechovají jako zakázaná, ale jako neexistující. Pokus dostat se k záznamu jiné firmy skončí hláškou „nenalezeno", ne „nemáte oprávnění". Rozdíl není kosmetický — i sama informace o tom, že něco existuje, je informace.

Hranice se vynucuje v aplikaci, ne jen v tom, co je vidět na obrazovce. Neobejde ji ani mobilní aplikace, ani přímé volání.

Uvnitř firmy: dvě role

Kancelář vidí všechny montáže firmy. Montér jen ty, na které je přiřazený — a i tady platí, že nepřiřazená montáž pro něj neexistuje. Podrobně 02 — Firma, role a tým.

Role jsou dvě a nedají se donastavit. Je to méně flexibilní než matice oprávnění a záměrně: o dvou rolích víte i po roce, co znamenají.

Provozovatel do vašich dat nevidí

Aplikace je SaaS, takže provozovatel má konzoli nad firmami. Zakládá firmy, připisuje kredit a vidí spotřebu a počty.

Co v ní nevidí: montáže, časy, fotky, dokumenty ani poznámky. Je to tvrdá hranice v konstrukci aplikace, ne položka v nastavení, kterou lze přepnout. Platformový admin navíc není členem žádné firmy — kdyby byl, měl by do jejích dat přístup, a přesně to je zakázané.

Provozovatel také nemění role členů a nikoho nedeaktivuje. To zůstává Kanceláři vaší firmy. Členy vidí jen jako seznam.

Každý zásah provozovatele se zapisuje do auditu ve stejném okamžiku, kdy se děje.

Přihlášení a zařízení

Změna hesla vás nikde neodhlásí — je to samostatné rozhodnutí.
Odhlásit všude ukončí všechna přihlášení naráz, na webech i v telefonech. Tohle je nástroj pro ztracené zařízení.
QR přihlášení montéra nenese žádné přihlašovací údaje — jen náhodný token s platností dvě minuty a jedním použitím. A platí u něj jeden montér, jeden telefon.
Po deaktivaci člena ztrácí přístup na webu okamžitě; mobilní aplikace ho může pustit ještě zhruba patnáct minut, než jí vyprší přihlašovací lístek.

Jedno omezení, které je potřeba znát

Odkaz na soubor je zároveň přístup k němu. Kdo dostane přímou adresu nahrané fotky nebo dokumentu, otevře ji i bez přihlášení. Uvnitř aplikace to nevadí — problém by nastal, kdyby taková adresa odešla ven.

Praktické pravidlo: neposílejte adresy souborů mimo firmu. Když chcete něco sdílet, sdílejte přístup do aplikace, ne odkaz na soubor. Víme o tom a je to vedené jako otevřený bod k dořešení, ne jako vlastnost, kterou bychom zamlčovali.

Kde data leží

Aplikace i databáze běží v Evropské unii. Je to česká aplikace provozovaná pro české firmy.

Co se nedá přepsat

Historie montáže je přírůstková — záznamy se nemažou ani neupravují, ani administrátorem firmy. Historie kreditu se stejně tak nepřepisuje; omyl se opravuje opačným pohybem, aby v ní zůstaly oba řádky.

Autorství přežívá odchod člověka z firmy. Členství se nikdy nemažou, jen deaktivují, právě proto, aby z historie nemizela jména.

Co z toho firma má

Konkrétní odpověď na „kdo to vidí": dvě role uvnitř firmy, nic mezi firmami, provozovatel do dat klientů nevidí. Dá se to říct jednou větou i klientovi, který se ptá.
Ztracený telefon není únik databáze: montér má v aplikaci jen své montáže a odhlásit ho jde ze všech zařízení naráz.
Data v EU: česká aplikace, evropská infrastruktura. Žádné dohledávání, kde vlastně leží fotky vašich klientů.
Auditní stopa, kterou nikdo nepřepíše: ani vy, ani my. Historie montáže obstojí jako podklad.
Otevřeně přiznané slabé místo: o přístupnosti odkazů na soubory se dozvíte od nás, ne od někoho jiného. Víme o tom a řešíme to.

Souvislosti

Role a jejich hranice: 02 — Firma, role a tým.
Nepřepisovatelná historie montáže: 16 — Aktivity a historie montáže.
Odkazy na soubory: 09 — Dokumenty.