Vaše dokumenty zůstávají v EU
Obsah běží v databázi v EU, odděleně pro každou organizaci. Ven jde jen dotaz a nalezené pasáže — do modelů, se kterými máme smlouvu. Přesný rozpis najdete v sekci Datová rezidence; nezakrýváme ho.
Obsah v databázi v EU
Dokumenty, indexy i zálohy jsou v MongoDB Atlas ve Frankfurtu, oddělené pro každou organizaci podmínkou v každém dotazu. Nejsou veřejné a neindexuje je internet.
Žádná veřejná AI
Nepoužíváme veřejnou spotřebitelskou AI. Neuchovávání a žádné trénování na vašich datech potvrzujeme smluvně u obou poskytovatelů — Anthropic (generování) i Voyage přes Atlas (embedding a přeřazení).
AI je jen pomocník
Jazykový model odpovídá výhradně z nalezených pasáží vašeho obsahu (RAG) a připojuje citaci zdroje.
Dnes cloud, on-prem připravujeme
Dnes běží cloud s databází v EU. Plně on-prem režim, kde data neopustí váš perimetr, máme navržený a adaptéry v kódu — nasazený zatím nebyl. Podrobný rozpis datových toků je v sekci Datová rezidence.
Kam se dostane váš text
Ne kde leží data, ale kde se zpracovávají. Ten rozdíl rozhoduje o tom, zda projdete tendrem — a většina dodavatelů ho zamlčí.
1 · Data v klidu v EU
Databáze, indexy a zálohy jsou v EU. Volání AI modelů ven je přípustné při zpracovatelské smlouvě a standardních smluvních doložkách.
běžné komerční nasazení
2 · Nic neopustí EU
I modely běží v EU — včetně otázek, které píší vaši lidé. Není to požadavek GDPR, ale bývá v zadávacích podmínkách.
veřejná správa, větší firmy
3 · Nic neopustí perimetr
Celý systém běží na vaší infrastruktuře. Bez konektivity ven, pokud je to potřeba.
utajované skutečnosti, uzavřené sítě
Úroveň 1 je právně v pořádku — GDPR přenos mimo EU nezakazuje, jen ho podmiňuje. Ale pokud je v zadání napsáno „údaje nesmí opustit EU“, je to organizační požadavek, který smlouvou nevyřešíte. Kdo umí nabídnout jen úroveň 1, bývá vyřazen formálně, ne věcně.
Režimy, které umíme nasadit
Režim je vlastnost vaší organizace, ne naší verze. Stejná aplikace, jiná konfigurace — a nepovolenou kombinaci systém odmítne spustit. Dnes běží režim eu-data; ostatní tři jsou připravené v kódu a první nasazení přijde s hardwarem.
| Režim | Co znamená | Embedding | Rerank | Generování |
|---|---|---|---|---|
| eu-data | Data v EU, zpracování může být mimo | MongoDB Atlas | MongoDB Atlas | Claude API |
| eu-full | Žádný text neopustí EU | vlastní služba | vlastní služba | vlastní model |
| on-prem | Vše na vaší infrastruktuře | vlastní služba | vlastní služba | vlastní model |
| air-gap | Uzavřená síť bez konektivity ven | vlastní služba | vlastní služba | vlastní model |
Druhá otázka: běží to jen pro nás?
Režim výše říká, ve které zemi se text zpracovává. Neříká ale, jestli ho zpracovává stroj vyhrazený vám, nebo služba, která ve stejnou chvíli obsluhuje i jiné zákazníky. Jsou to dvě nezávislé otázky a systém kontroluje obě.
| Úroveň | Co znamená | Kdy to dává smysl |
|---|---|---|
| T1Sdílená | Společná infrastruktura. Vaše dokumenty jsou oddělené přístupovými pravidly, ale model, který je zpracovává, obsluhuje i jiné. | běžné komerční nasazení, malé a střední firmy |
| T2Vyhrazená | Embedding, rerank i generování běží na instancích, které neobsluhují nikoho jiného. Váš text neprojde společným procesem. | banky, velké společnosti, citlivé interní směrnice |
| T3Odpojená | Jako vyhrazená a navíc bez konektivity ven. Vyžaduje režim air-gap — jinak by odpojení bylo jen na papíře. | utajované skutečnosti, uzavřené sítě |
Úrovně se s režimy kombinují, nejsou to stupně jedné škály: sdílená služba může běžet celá v EU (T1 + eu-full) a vyhrazená instance může stát kdekoli (T2 + global). A jedna věc, kterou většina dodavatelů nahlas neřekne: vyhrazený účet u poskytovatele cloudu není vyhrazený hardware. Proto na úrovni T2 neprojde ani Claude přes AWS Bedrock, přestože běží ve Frankfurtu — model tam obsluhuje i ostatní.
Kde zpracování probíhá — včetně toho, co ověřujeme
Každý řádek je doložen veřejným dokumentem dodavatele, ne odhadem. Komponenty zpracovávající mimo EU se v režimech eu-full, on-prem a air-gap nepoužijí — profil s takovou kombinací se odmítne spustit.
| Komponenta | Poskytovatel | Lokalita zpracování | Podklad |
|---|---|---|---|
| Databáze, indexy, zálohy | MongoDB Atlas | EU (Frankfurt) | volba regionu při založení clusteru |
| Hybridní vyhledávání | mongot v clusteru | EU (Frankfurt) | počítá se přímo v clusteru |
| Reranking | $rerank (Voyage) | mimo EU (USA) | uvedeno v nastavení projektu Atlas |
| Embedding | Atlas Automated Embedding | mimo EU (USA) | seznam subprocesorů MongoDB: Google LLC, United States |
| Generování odpovědi | Anthropic Claude (přímé API) | mimo EU (USA) | zpracování v americké infrastruktuře |
| Generování odpovědi | Claude přes AWS Bedrock (EU regiony) | EU (Frankfurt, Irsko, Paříž) | volba regionu při nasazení |
| Katalog legislativy (Slov-Lex) | MongoDB Atlas — jedna kopie pro všechny organizace | EU (Frankfurt) | úřední dílo bez companyCode; co si organizace odebrala, je její záznam |
| Živý zdroj (MCP konektor) | server, který organizace připojí (např. Sportnet) | podle provozovatele serveru | volitelné; odchází otázka, ne dokumenty; v eu-full, on-prem a air-gap jen server na vaší infrastruktuře |
| Embedding, rerank, generování | vlastní služby (on-prem) | vaše infrastruktura | běží u vás |
Proč to vypisujeme takto podrobně. Protože se na to při zadávacím řízení někdo zeptá. Většina dodavatelů uvede „data v EU“ a mlčí o tom, kde běží model — přitom právě tam jde text otázky i nalezených pasáží. Každý řádek výše umíme doložit dokumentem dodavatele a pokud se stav změní, změníme i tuto tabulku.
Tato stránka je technický popis datových toků, ne právní posouzení. U konkrétního nasazení doporučujeme posouzení odborníkem na ochranu osobních údajů.
Správa uživatelů a přihlášení
Uživatelé se přihlašují přes vaše existující SSO a vidí přesně to, na co mají právo — bez ručního zakládání účtů.
SSO a jednotné přihlášení
Přihlášení e-mailovým odkazem nebo přes SSO — Microsoft Entra ID a Google Workspace. Jedna kanonická session napříč celým systémem; další poskytovatele OIDC umíme doplnit.
Automatické zakládání účtů
Osoba se založí sama při prvním přihlášení přes SSO, pokud patří do domény, kterou organizace povolila. Osoby lze také hromadně naimportovat ze seznamu a pozvat e-mailem. Role se přidělují v aplikaci; synchronizaci rolí a skupin z CRM připravujeme.
Multi-tenant přístup
Každá organizace je samostatný prostor na vlastní doméně. Veřejný obsah vidí všichni přihlášení; interní jen lidé dané organizace. Víceúrovňovou hierarchii a jmenovité sdílení dokumentu jiné organizaci připravujeme.
Bezpečnost na úrovni dotazu
Přístupové právo je povinný filtr odvozený ze session na straně serveru (default-deny). Aplikuje se před jazykovým modelem — nedá se obejít promptem. Audit při každé změně.
Podporovaní poskytovatelé identity
Co má v rukou pověřenec a co jsme si ověřili
Datová rezidence říká, kde se text zpracovává. Toto říká, co se ukládá o lidech, kdo o tom rozhoduje a jak jsme zkontrolovali, že to drží.
Ochrana osobních údajů v produktu
- U každého předpisu je odpovědná osoba a právní základ z číselníku. Předpis může mít více základů; zákonná povinnost má přednost.
- Pověřenec pro ochranu údajů (DPO) má vlastní stránku: výkaz právních základů s hledáním a exportem, lhůty uchovávání a kontakt organizace.
- Námitku podá přihlášený člověk přímo na stránce Ochrana osobních údajů. DPO dostane upozornění a rozhodne; rozhodnutí zůstává v evidenci.
- Stránka Ochrana osobních údajů se skládá podle organizace: země sídla určuje úřad a zákony, seznam zpracovatelů odpovídá tomu, co organizace skutečně používá.
- Přehled spotřeby AI neukládá znění otázky — může obsahovat osobní údaje. Ke kontrole nákladů stačí účel, osoba a čas.
- Zavřený ticket helpdesku se smaže 24 měsíců po zavření a osoba z okna pomoci po 24 měsících bez otázky; lhůtu si organizace změní u ostatních lhůt. Stránka Ochrana osobních údajů popisuje helpdesk, jen když ho organizace používá.
- Každé volání MCP konektoru má stopu — konektor, nástroj, kdo ho vyvolal, trvání a výsledek — bez znění otázky. Na server konektoru odchází otázka, ne dokumenty knihovny.
- Kurýr (interní zprávy) má lhůtu mazání vláken, kterou si organizace nastaví u ostatních lhůt; správce cizí zprávy nevidí, asistent je neprohledává a do auditu jde kdo, komu, kdy a předmět — ne text.
- Analýza historie helpdesku běží bez zápisu textu zpráv: ukládá se měsíční souhrn, čas do odpovědi a témata; původ návrhu se při rozhodnutí smaže.
- Souhlas s připojením AI asistenta přes MCP je důkazní záznam s doslovným zněním v jazyce, ve kterém ho člověk viděl; odvolává se v plachtě účtu a správce osob vidí připojené aplikace všech.
Bezpečnostní kontrola kódu (září 2026)
Před první ostrou verzí jsme prošli kód aplikace, závislosti a konfiguraci. Každý bod níže byl ověřen přímo v kódu.
Organizace v každém dotazu
Kód organizace je v podmínce každého čtení i zápisu, ne v kontrole nad ním. Vyhledávání bez organizace se odmítne.
Chráněno je vše kromě výjimek
Seznam cest je „vše kromě veřejných“, takže nová stránka je chráněná automaticky. Neznámá doména dostane 404.
Důkaz určuje server
Znění, formulku i jazyk potvrzení určuje server, ne prohlížeč. Potvrzení se nemažou; odvolání je nový údaj.
Tajemství šifrovaná
Přihlašovací tajemství organizací a klíč k AI jsou uloženy šifrované (AES-256-GCM). V repozitáři nejsou žádná.
Bezpečnostní hlavičky
Portál nelze vložit do cizího rámu — podvržené kliknutí na „Potvrzuji“ by bylo u předpisu obzvlášť špatné.
Typ souboru z obsahu
Typ nahraného souboru se určuje z jeho obsahu, ne z toho, co tvrdí prohlížeč. Exporty jsou chráněné před vložením vzorců.
Kontrola je vlastní, ne nezávislý audit ani certifikace. Nezávislý penetrační test je krok, který přijde s dalšími zákazníky.
Připraveni dostat svůj obsah na dosah ruky?
Ukážeme vám Contineo na vašich vlastních zdrojích.
Kontaktujte násoffice@contineo.app