Bezpečnost a soulad
Postaveno pro citlivé právní dokumenty
CODEXIS AI zpracovává citlivé právní dokumenty pro advokátní kanceláře, korporace a veřejnou správu. Bezpečnost není funkce — je základ celé platformy. Tato stránka shrnuje, jak chráníme vaše data, jakými standardy se řídíme a — s příchodem CODEXIS AI 2.0 — z jakých modelů nasazení můžete vybírat podle své politiky řízení rizik.
Záruky
Co garantujeme bez ohledu na model nasazení
Tyto záruky platí pro každého zákazníka CODEXIS AI a pro každou variantu nasazení.
Vaše data netrénují modely
Prompty ani analyzované dokumenty se nepoužívají k tréninku — ani u ATLAS GROUP, ani u OpenAI. Smluvně zakotveno v DPA dle čl. 28 GDPR.
Žádný přístup jiným zákazníkům
Logická izolace per tenant v SaaS. V on-prem nasazení jste tenant sami.
Vlastnictví zůstává vám
Vstupy, výstupy i analyzované dokumenty patří zákazníkovi. Bez výjimky.
Volitelné E2E šifrování (ve vývoji)
Připravujeme režim, ve kterém šifrovací klíč zná pouze uživatel. Po definované době neaktivity se uživatelská data zašifrují a bez klíče k nim nemá přístup nikdo, ani ATLAS GROUP.
Šifrování v klidu i přenosu
AES-256 pro data v klidu, TLS 1.2+ pro veškerou komunikaci.
GDPR a DPA
Vzorová Data Processing Agreement dle čl. 28 GDPR k dispozici, kdykoli ji potřebujete.
Modely nasazení
Tři modely podle vaší politiky řízení rizik
CODEXIS AI 2.0 lze provozovat ve třech základních modelech. Pro každý platí stejné základní záruky, liší se v tom, kde leží infrastruktura a kdo za co zodpovídá.
Cloud (SaaS)
Pro většinu kanceláří a firem
Provozováno v EHP (Ostrava + AWS Frankfurt). ATLAS GROUP spravuje vše — od patchů po DR. Rychlý start bez vlastní infrastruktury.
Privátní cloud
Pro regulované subjekty a datovou lokalitu
Dedikovaná instance v zákazníkem určené lokalitě, stále spravovaná ATLAS GROUP. Vhodné pro regulované subjekty a klienty, kteří potřebují definovat datovou lokalitu.
On-premise
Pro regulované subjekty a datovou lokalitu
Aplikační vrstvu i primární data lze nasadit ve vašem datovém centru nebo ve vašem cloudu, kdekoli dle vaší volby. Vhodné pro regulované subjekty a klienty, kteří potřebují definovat datovou lokalitu. Potřebujeme Kubernetes a několik dalších standardních komponent; detailní deployment popis dodáváme pod NDA. AI inference (LLM) jde přes OpenAI API za stejných podmínek jako v SaaS.
Srovnání modelů
| Aspekt | Cloud (SaaS) | Privátní cloud | On-premise |
|---|---|---|---|
| Provozovatel infrastruktury | ATLAS GROUP | ATLAS GROUP (dedikovaná instance) | Zákazník nebo jeho cloudový provider |
| Lokalita aplikačních dat | EHP — Ostrava (CZ) + AWS Frankfurt (DE) | EHP — dle volby | Datové centrum zákazníka nebo zákazníkem zvolený cloud, kdekoli dle volby |
| Tenant izolace | Logická per tenant / license ID | Dedikovaná instance | Jediný tenant |
| LLM (AI) provider | OpenAI API spravovaná ATLAS GROUP | OpenAI API spravovaná ATLAS GROUP | OpenAI API spravovaná ATLAS GROUP |
| OpenAI data residency | Volitelná (opt-in) pro zvolené umístění | Volitelná (opt-in) pro zvolené umístění | Volitelná (opt-in) pro zvolené umístění |
| Zero Data Retention | Volitelné (opt-in) | Volitelné (opt-in) | Volitelné (opt-in) |
| OpenAI BYOK | Možné na základě individuální obchodní nabídky | Možné na základě individuální obchodní nabídky | Možné na základě individuální obchodní nabídky |
| Technické předpoklady | Bez vlastní infrastruktury | Dle dohody o dedikované instanci | Kubernetes + další standardní komponenty; detailní deployment pod NDA |
| Aktualizace | ATLAS GROUP spravuje | ATLAS GROUP spravuje | ATLAS GROUP dodává, zákazník aplikuje |
| Role dle GDPR | Zpracovatel (čl. 28) | Zpracovatel (čl. 28) | Zpracovatel pro AI cestu |
| Vhodné pro | Většina kanceláří a firem | Regulované subjekty a klienti s požadavkem na definovanou datovou lokalitu | Regulované subjekty a klienti s požadavkem na definovanou datovou lokalitu ve vlastním DC nebo cloudu |
I v on-prem nasazení je AI inference (LLM) realizována přes OpenAI API. Aplikační vrstva a primární úložiště dat běží ve vámi určeném prostředí: ve vašem datovém centru nebo ve vašem cloudu, kdekoli podle vaší architektury a bezpečnostních pravidel. Z technického pohledu potřebujeme Kubernetes a několik běžných infrastrukturních komponent; konkrétní deployment popis předáváme pod NDA. Jednotlivé AI dotazy (prompt + relevantní kontext) jsou stále odesílány na OpenAI v rámci stejných smluvních záruk jako v SaaS (DPA dle čl. 28 GDPR, standardně max. 30 dní retence, žádný trénink). Ve všech plánech lze volitelně aktivovat Zero Data Retention a ve všech modelech nasazení lze na základě individuální obchodní nabídky řešit také režim OpenAI Bring Your Own Key (BYOK). On-prem v CODEXIS AI 2.0 tedy neznamená „air-gapped“; znamená rezidenci aplikace a uložených dat u zákazníka.
Shared responsibility
Kdo za co zodpovídá
Rozdělení odpovědností mezi ATLAS GROUP a zákazníkem podle zvoleného modelu nasazení.
| Oblast | Cloud SaaS | On-premise |
|---|---|---|
| Fyzická bezpečnost DC | ATLAS GROUP / AWS | Zákazník |
| Šifrování v klidu / přenosu | ATLAS GROUP (in-built) | ATLAS GROUP dodává, zákazník provozuje |
| Patch management infrastruktury | ATLAS GROUP | Zákazník |
| Patch management aplikace | ATLAS GROUP | ATLAS GROUP dodává, zákazník aplikuje |
| Správa identit a SSO | Zákazník (přes IdP) | Zákazník |
| Klasifikace a retence dat | Zákazník | Zákazník |
| Zálohy a DR | ATLAS GROUP | Zákazník |
| Bezpečnostní monitoring | ATLAS GROUP | Zákazník (s podporou ATLAS GROUP) |
| Incident response u softwaru | ATLAS GROUP | ATLAS GROUP (pro SW vady) + zákazník (provoz) |
Certifikace
Mezinárodní standardy a regulační soulad
CODEXIS AI vyvíjí a provozuje ATLAS consulting spol. s r.o., společnost ze skupiny ATLAS GROUP — navenek vystupujeme pod značkou ATLAS GROUP, zatímco smluvní dokumenty (DPA, NDA) uzavírá ATLAS consulting spol. s r.o. Tato společnost provozuje certifikovaný systém řízení informační bezpečnosti (ISMS). Certifikáty a auditní reporty poskytujeme pod NDA na vyžádání.
| Certifikace | Co pokrývá | Platí pro |
|---|---|---|
| ISO/IEC 27001 | ISMS — řízení bezpečnosti informací | Vývoj CODEXIS AI a všechny modely nasazení |
| ISO/IEC 27017 | Bezpečnostní kontroly pro cloudové služby | Cloud SaaS a privátní cloud provozovaný ATLAS GROUP |
| ISO/IEC 27018 | Ochrana osobních údajů (PII) v cloudu | Cloud SaaS a privátní cloud provozovaný ATLAS GROUP |
| GDPR | Nařízení EU 2016/679 | Všechny modely (s upraveným rozdělením rolí pro on-prem) |
| DORA | Digital Operational Resilience Act | Relevantní pro klienty z finančního sektoru |
Devět pilířů
Devět pilířů bezpečnosti
Kontroly platí napříč modely nasazení — jsou vlastností softwaru a procesů, ne hostingu. Strukturováno podle ISO 27001 Annex A.
- 01
Správa přístupů a identity
- SSO přes SAML 2.0 a OAuth 2.0
- Integrace s Microsoft Entra ID / Azure AD
- MFA vynucené na úrovni IdP zákazníka
- Princip least privilege a separation of duties
- Auditní log všech přístupů a změn rolí
- Pravidelný entitlement review
- 02
Šifrování
- TLS 1.2+ pro veškerý přenos dat
- AES-256 pro data v klidu
- Šifrované zálohy
- Centralizovaná správa kryptografických klíčů
- Hashování hesel (bcrypt / PBKDF2)
- HSTS a secure cookies
- 03
Bezpečný vývoj (SDLC)
- OWASP Top 10 v code review
- SAST analýza zdrojového kódu
- Software Bill of Materials (SBOM)
- Oddělená dev / test / prod prostředí
- Version control (git) a code signing
- Žádné hard-coded secrets
- 04
Zranitelnosti a patching
- Weekly vulnerability scan (interní i externí)
- Roční penetrační test a po každé významné změně
- Critical / High patche dle CVSS a expozice
- Risk score: CVSS + KEV + expozice + kritičnost
- Centralizované sledování remediace
- V on-prem: ATLAS GROUP dodává patche, zákazník aplikuje dle SLA
- 05
Logování a monitoring
- Logování přístupů, autentizace, AI operací
- V SaaS: centralizovaný log host spravovaný ATLAS GROUP
- V on-prem: logy zůstávají u zákazníka, export do SIEM
- Tamper-proof logy s integritou
- Retence min. 6 měsíců (osobní data 3 roky)
- NTP synchronizace UTC
- 06
Incident management
- Definovaný proces detekce, reakce a notifikace
- Bezpečnostní rada ATLAS GROUP jako eskalační orgán
- Smluvní notifikace zákazníka dle DPA
- Post-mortem a root cause analysis
- Soulad s GDPR čl. 33 (72h notifikace v SaaS)
- 07
Kontinuita a Disaster Recovery
- V SaaS: geograficky oddělené DR (Ostrava + Frankfurt)
- Pravidelně testované, ATLAS GROUP spravuje zálohy
- V on-prem: ATLAS GROUP poskytuje doporučenou BC / DR architekturu
- Business Impact Analysis pro každé kritické aktivum
- BC plány s definovanými rolemi
- SLA s definovanou dostupností
- 08
Data governance
- Tenant izolace per license ID (v SaaS)
- Šifrované zálohy
- Bezpečné smazání po ukončení smlouvy
- Export uživatelských dat na vyžádání
- Subjekt údajů dle GDPR plně podporován
- Granulární přístupová práva na úrovni dokumentu, modulu i agendy
- 09
AI governance
- Žádný trénink na vašich datech (smluvně)
- Granulární deaktivace AI per agenda
- AI respektuje aplikační oprávnění uživatele
- Logování všech AI operací
- DPA s OpenAI dle čl. 28 GDPR — platí ve všech modelech nasazení
- Vlastnictví vstupů i výstupů zůstává klientovi
AI a vaše data
Čtyři principy práce AI s vašimi daty
Tyto principy platí napříč všemi modely nasazení.
- 01
Vaše data netrénují žádný model
Prompty ani obsah analyzovaných dokumentů nejsou používány k tréninku ani vylepšování AI modelů — ani u ATLAS GROUP, ani u OpenAI. Smluvně zakotveno v DPA dle čl. 28 GDPR a platí napříč všemi modely nasazení.
- 02
Retence u OpenAI je minimální a účelová
OpenAI může dočasně uchovat API požadavky a odpovědi výhradně pro detekci zneužití a bezpečnostní monitoring. Maximální doba uchování: 30 dní. Po této době jsou data odstraněna.
- 03
Vy rozhodujete, co AI vidí
AI funkce jsou samostatné moduly. Lze je zcela deaktivovat, povolit pouze pro definované agendy, nebo granulárně řídit přístup ke konkrétním zdrojům. AI operace vždy respektují přístupová práva uživatele.
- 04
Vlastnictví zůstává vám
Vstupy jsou vlastnictvím zákazníka, výstupy lze volně použít pro interní účely. AI modely zůstávají vlastnictvím poskytovatele (OpenAI). Poskytovatel CODEXIS AI neprodává uživatelská data třetím stranám.
Subprocesoři
Transparentní seznam subprocesorů
Subprocesoři, kteří se podílejí na běhu CODEXIS AI. Seznam se mění podle modelu nasazení — v on-prem variantě AWS z hlavní datové cesty odpadá.
V Cloud (SaaS) a privátním cloudu
| Subprocesor | Účel | Lokalita | Smluvní záruky |
|---|---|---|---|
| ATLAS consulting spol. s r.o. | Hlavní provozovatel · aplikační vrstva · databáze | Ostrava, ČR · EHP | ISO 27001 / 27017 / 27018 · DPA · NDA |
| Amazon Web Services (AWS) | Cloud / objektové úložiště · zálohy | Frankfurt, DE · EHP (eu-central-1) | DPA · SCC · ISO 27001 · šifrování at-rest |
| OpenAI, L.L.C. | AI inference (LLM) — pouze požadavek / odpověď | USA · transfer dle SCC | DPA čl. 28 GDPR · 30d retence max · žádný trénink · SOC 2 Type II |
V on-premise nasazení (CODEXIS AI 2.0)
V on-prem variantě odpadá AWS z hlavní datové cesty — aplikační vrstva a primární úložiště běží ve vaší infrastruktuře. OpenAI však v cestě zůstává, protože AI inference je realizována stejně jako v SaaS.
| Subprocesor | Účel v on-prem | Lokalita | Smluvní záruky |
|---|---|---|---|
| ATLAS consulting spol. s r.o. | Dodavatel softwaru · update kanál · vzdálená podpora · mediace OpenAI integrace | Ostrava, ČR · EHP | ISO 27001 · zúžená DPA · NDA |
| OpenAI, L.L.C. | AI inference (LLM) — pouze požadavek / odpověď | USA · transfer dle SCC | DPA čl. 28 GDPR · 30d retence max · žádný trénink · SOC 2 Type II |
Časté dotazy
Otázky bezpečnostních auditorů a CIO
Co se nás ptají při vendor security review — od ochrany dat po notifikaci incidentů a deinstalaci.
Používáte naše prompty nebo dokumenty k tréninku AI modelů?
Ne. Data vložená uživateli (prompty) ani obsah analyzovaných dokumentů nejsou využívána k tréninku ani vylepšování AI modelů — ani u ATLAS GROUP, ani u poskytovatelů LLM. V SaaS variantě je toto smluvně zakotveno v DPA s OpenAI dle čl. 28 GDPR. V on-prem variantě platí stejný princip.
Kde fyzicky leží naše data?
Záleží na zvoleném modelu nasazení, ale AI dotazy vždy procházejí OpenAI: Cloud SaaS — aplikační data v EHP (Ostrava + AWS Frankfurt), AI dotaz přes OpenAI API (USA, transfer dle SCC). Privátní cloud — aplikační data dle dohody, typicky v EHP. On-premise — aplikační data ve vaší infrastruktuře, AI dotaz stále přes OpenAI.
V čem je on-prem nasazení (CODEXIS AI 2.0) jiné než cloud?
On-prem řeší rezidenci aplikační vrstvy a uložených dat ve vaší infrastruktuře — databáze, objektové úložiště, dokumenty a zálohy běží na vašich serverech. Provoz, dostupnost, kapacity, fyzickou bezpečnost a patch management infrastruktury zajišťujete vy. Co on-prem neřeší: AI inference jde stále přes OpenAI API (USA), za stejných smluvních podmínek jako v SaaS. Pokud potřebujete absolutní air-gapped režim bez jakéhokoli odchozího provozu, CODEXIS AI 2.0 to dnes nenabízí.
Jak je zajištěna izolace mezi zákazníky (multi-tenancy)?
V SaaS: logická segregace podle tenant / license ID. Aplikační logika ověřuje oprávnění na každém dotazu — žádný uživatel jednoho tenanta nemůže přistoupit k datům jiného. PostgreSQL i objektové úložiště jsou strukturovány tenant-aware. V privátním cloudu / on-prem jste tenant sami, izolace je inherentní povaze nasazení.
Podporujete SSO a MFA?
Ano ve všech modelech. CODEXIS AI podporuje SAML 2.0 pro federovanou autentizaci, OAuth 2.0 / OpenID Connect, Microsoft Entra ID (dříve Azure AD), MFA vynucené na úrovni vašeho identity provideru. Hesla uživatelů nikdy neopouštějí identity provider zákazníka.
Jak často provádíte penetrační testy a vulnerability scany?
Vulnerability scan: týdně, interní i externí. Penetrační test: minimálně ročně a po každé významné změně architektury. Před go-live: plný vulnerability scan bez otevřené Critical / High zranitelnosti. Critical patche: v SaaS deploy do 7 dnů (internet-facing) / 30 dnů (interní); v on-prem dle dohodnutého SLA. Souhrn pen-testů poskytujeme pod NDA.
Co se stane s našimi daty po ukončení smlouvy?
V SaaS: před ukončením vám umožníme export všech zákaznických dat. Po ukončení jsou data odstraněna z produkce; zálohy jsou rotovány a smazány dle retenční politiky. Na vyžádání poskytneme potvrzení o destrukci dat. V on-prem: data zůstávají u vás. Při ukončení licence dohodneme migraci nebo deinstalaci.
Jaká je vaše notifikační lhůta při bezpečnostním incidentu?
V SaaS modelech v souladu s GDPR čl. 33 a DPA notifikujeme zákazníka bez zbytečného odkladu, nejpozději do 72 hodin od potvrzení incidentu ohrožujícího osobní data. V on-prem modelech ATLAS GROUP notifikuje zákazníky o bezpečnostních zranitelnostech objevených v dodávaném softwaru — incident response za provoz je v rukou zákazníka.
Jak dlouho uchováváte logy a kdo k nim má přístup?
Standardní logy: minimálně 6 měsíců nebo dle požadavku zákazníka. Logy se zpracováním osobních dat: 3 roky (nebo dle dohody). Přístup: pouze pověření pracovníci na základě need-to-know. V on-prem: logy zůstávají u vás, exportovatelné do vašeho SIEM (Splunk, Elastic, Sentinel apod.).
Kdy si vybrat který model nasazení?
Cloud (SaaS) — většina advokátních kanceláří a firem. Rychlý start, žádná interní infrastruktura, ATLAS GROUP spravuje vše. Privátní cloud — regulované subjekty (banky, pojišťovny, zdravotnictví). Dedikovaná instance, ale stále spravovaná ATLAS GROUP. On-premise — zákazníci s interní politikou nebo regulačním požadavkem na rezidenci aplikace a uložených dat ve vlastní infrastruktuře. AI cesta i tak prochází přes OpenAI.
Dokumenty na vyžádání
Pod NDA, do dvou pracovních dnů
Pro vendor security review připravíme níže uvedené dokumenty. Žádost pošlete na klientske.centrum@atlasgroup.cz.
- ISO / IEC 27001 certifikát
- ISO / IEC 27017 certifikát
- ISO / IEC 27018 certifikát
- DPA — Data Processing Agreement (vzor, čl. 28 GDPR)
- NDA — vzor pro vendor review
- Penetrační test — souhrn (poslední rok)
- BC / DR plán — souhrn (BIA, RTO / RPO)
- Seznam subprocesorů — aktualizováno čtvrtletně
- Shared responsibility matrix — pro jednotlivé modely nasazení