Vaše dokumenty zostávajú v EÚ
Obsah beží v databáze v EÚ, oddelene pre každú organizáciu. Von ide len otázka a nájdené pasáže — do modelov, s ktorými máme zmluvu. Presný rozpis nájdete v sekcii Dátová rezidencia; nezakrývame ho.
Obsah v databáze v EÚ
Dokumenty, indexy aj zálohy sú v MongoDB Atlas vo Frankfurte, oddelené pre každú organizáciu podmienkou v každom dotaze. Nie sú verejné a neindexuje ich internet.
Žiadna verejná AI
Nepoužívame verejnú spotrebiteľskú AI. Neuchovávanie a žiadne trénovanie na vašich dátach potvrdzujeme zmluvne u oboch poskytovateľov — Anthropic (generovanie) aj Voyage cez Atlas (embedding a preradenie).
AI je len pomocník
Jazykový model odpovedá výhradne z nájdených pasáží vášho obsahu (RAG) a pripája citáciu zdroja.
Dnes cloud, on-prem pripravujeme
Dnes beží cloud s databázou v EÚ. Plne on-prem režim, kde dáta neopustia váš perimeter, máme navrhnutý a adaptéry v kóde — nasadený zatiaľ nebol. Podrobný rozpis dátových tokov je v sekcii Dátová rezidencia.
Kam sa dostane váš text
Nie kde ležia dáta, ale kde sa spracúvajú. Ten rozdiel rozhoduje o tom, či prejdete tendrom — a väčšina dodávateľov ho zamlčí.
1 · Dáta v pokoji v EÚ
Databáza, indexy a zálohy sú v EÚ. Volanie AI modelov von je prípustné pri spracovateľskej zmluve a štandardných zmluvných doložkách.
bežné komerčné nasadenie
2 · Nič neopustí EÚ
Aj modely bežia v EÚ — vrátane otázok, ktoré píšu vaši ľudia. Nie je to požiadavka GDPR, ale býva v súťažných podmienkach.
verejná správa, väčšie firmy
3 · Nič neopustí perimeter
Celý systém beží na vašej infraštruktúre. Bez konektivity von, ak je to potrebné.
utajované skutočnosti, uzavreté siete
Úroveň 1 je právne v poriadku — GDPR prenos mimo EÚ nezakazuje, len ho podmieňuje. Ale ak je v zadaní napísané „údaje nesmú opustiť EÚ“, je to organizačná požiadavka, ktorú zmluvou nevyriešite. Kto vie ponúknuť len úroveň 1, býva vyradený formálne, nie vecne.
Režimy, ktoré vieme nasadiť
Režim je vlastnosť vašej organizácie, nie našej verzie. Rovnaká aplikácia, iná konfigurácia — a nepovolenú kombináciu systém odmietne spustiť. Dnes beží režim eu-data; ostatné tri sú pripravené v kóde a prvé nasadenie príde s hardvérom.
| Režim | Čo znamená | Embedding | Rerank | Generovanie |
|---|---|---|---|---|
| eu-data | Dáta v EÚ, spracovanie môže byť mimo | MongoDB Atlas | MongoDB Atlas | Claude API |
| eu-full | Žiadny text neopustí EÚ | vlastná služba | vlastná služba | vlastný model |
| on-prem | Všetko na vašej infraštruktúre | vlastná služba | vlastná služba | vlastný model |
| air-gap | Uzavretá sieť bez konektivity von | vlastná služba | vlastná služba | vlastný model |
Druhá otázka: beží to len pre nás?
Režim vyššie hovorí, v ktorej krajine sa text spracúva. Nehovorí ale, či ho spracúva stroj vyhradený vám, alebo služba, ktorá v tej istej chvíli obsluhuje aj iných zákazníkov. Sú to dve nezávislé otázky a systém kontroluje obe.
| Úroveň | Čo znamená | Kedy to má zmysel |
|---|---|---|
| T1Zdieľaná | Spoločná infraštruktúra. Vaše dokumenty sú oddelené prístupovými pravidlami, ale model, ktorý ich spracúva, obsluhuje aj iných. | bežné komerčné nasadenie, malé a stredné firmy |
| T2Vyhradená | Embedding, rerank aj generovanie bežia na inštanciách, ktoré neobsluhujú nikoho iného. Váš text neprejde cez spoločný proces. | banky, veľké spoločnosti, citlivé interné smernice |
| T3Odpojená | Ako vyhradená a navyše bez konektivity von. Vyžaduje režim air-gap — inak by odpojenie bolo len na papieri. | utajované skutočnosti, uzavreté siete |
Úrovne sa s režimami kombinujú, nie sú to stupne jednej škály: zdieľaná služba môže bežať celá v EÚ (T1 + eu-full) a vyhradená inštancia môže stáť kdekoľvek (T2 + global). A jedna vec, ktorú väčšina dodávateľov nepovie nahlas: vyhradený účet u poskytovateľa cloudu nie je vyhradený hardvér. Preto na úrovni T2 neprejde ani Claude cez AWS Bedrock, hoci beží vo Frankfurte — model tam obsluhuje aj ostatných.
Kde spracovanie prebieha — vrátane toho, čo overujeme
Každý riadok je doložený verejným dokumentom dodávateľa, nie odhadom. Komponenty spracúvajúce mimo EÚ sa v režimoch eu-full, on-prem a air-gap nepoužijú — profil s takou kombináciou sa odmietne spustiť.
| Komponent | Poskytovateľ | Lokalita spracovania | Podklad |
|---|---|---|---|
| Databáza, indexy, zálohy | MongoDB Atlas | EÚ (Frankfurt) | voľba regiónu pri založení clustera |
| Hybridné vyhľadávanie | mongot v clusteri | EÚ (Frankfurt) | počíta sa priamo v clusteri |
| Reranking | $rerank (Voyage) | mimo EÚ (USA) | uvedené v nastavení projektu Atlas |
| Embedding | Atlas Automated Embedding | mimo EÚ (USA) | zoznam subprocesorov MongoDB: Google LLC, United States |
| Generovanie odpovede | Anthropic Claude (priame API) | mimo EÚ (USA) | spracovanie v americkej infraštruktúre |
| Generovanie odpovede | Claude cez AWS Bedrock (EU regióny) | EÚ (Frankfurt, Írsko, Paríž) | voľba regiónu pri nasadení |
| Katalóg legislatívy (Slov-Lex) | MongoDB Atlas — jedna kópia pre všetky organizácie | EÚ (Frankfurt) | úradné dielo bez companyCode; čo si organizácia odobrala, je jej záznam |
| Živý zdroj (MCP konektor) | server, ktorý organizácia pripojí (napr. Sportnet) | podľa prevádzkovateľa servera | voliteľné; odchádza otázka, nie dokumenty; v eu-full, on-prem a air-gap len server na vašej infraštruktúre |
| Embedding, rerank, generovanie | vlastné služby (on-prem) | vaša infraštruktúra | beží u vás |
Prečo to vypisujeme takto podrobne. Pretože sa na to pri obstarávaní niekto spýta. Väčšina dodávateľov uvedie „dáta v EÚ“ a mlčí o tom, kde beží model — pritom práve tam ide text otázky aj nájdených pasáží. Každý riadok vyššie vieme doložiť dokumentom dodávateľa a ak sa stav zmení, zmeníme aj túto tabuľku. A rovno aj otvorený bod, ktorý nezakrývame: písomné potvrdenie neuchovávania dolaďujeme s Anthropic (generovanie) aj s Voyage (embedding a rerank cez Atlas), kde zatiaľ nie je potvrdený ani presný región spracovania.
Táto stránka je technický popis dátových tokov, nie právne posúdenie. Pri konkrétnom nasadení odporúčame posúdenie odborníkom na ochranu osobných údajov.
Správa používateľov a prihlásenia
Používatelia sa prihlasujú cez vaše existujúce SSO a vidia presne to, na čo majú právo — bez ručného zakladania účtov.
SSO a jednotné prihlásenie
Prihlásenie e-mailovým odkazom alebo cez SSO — Microsoft Entra ID a Google Workspace. Jedna kanonická session naprieč celým systémom; ďalších poskytovateľov OIDC vieme doplniť.
Automatické zakladanie účtov
Osoba sa založí sama pri prvom prihlásení cez SSO, ak patrí do domény, ktorú organizácia povolila. Osoby sa dajú aj hromadne naimportovať zo zoznamu a pozvať e-mailom. Roly sa prideľujú v aplikácii; synchronizáciu rolí a skupín z CRM pripravujeme.
Multi-tenant prístup
Každá organizácia je samostatný priestor na vlastnej doméne. Verejný obsah vidia všetci prihlásení; interný len ľudia danej organizácie. Viacúrovňovú hierarchiu a menovité zdieľanie dokumentu inej organizácii pripravujeme.
Bezpečnosť na úrovni dotazu
Prístupové právo je povinný filter odvodený zo session na strane servera (default-deny). Aplikuje sa pred jazykovým modelom — nedá sa obísť promptom. Audit pri každej zmene.
Poskytovatelia identity, ktorí dnes bežia (ďalších vieme doplniť)
Čo má v rukách zodpovedná osoba a čo sme si overili
Dátová rezidencia hovorí, kde sa text spracúva. Toto hovorí, čo sa ukladá o ľuďoch, kto o tom rozhoduje a ako sme skontrolovali, že to drží.
Ochrana osobných údajov v produkte
- Pri každom predpise je zodpovedná osoba a právny základ z číselníka. Predpis môže mať viac základov; zákonná povinnosť má prednosť.
- Zodpovedná osoba pre ochranu údajov (DPO) má vlastnú stránku: výkaz právnych základov s hľadaním a exportom, lehoty uchovávania a kontakt organizácie.
- Námietku podá prihlásený človek priamo na stránke Ochrana osobných údajov. DPO dostane upozornenie a rozhodne; rozhodnutie zostáva v evidencii.
- Stránka Ochrana osobných údajov sa skladá podľa organizácie: krajina sídla určuje úrad a zákony, zoznam sprostredkovateľov zodpovedá tomu, čo organizácia naozaj používa.
- Prehľad spotreby AI neukladá znenie otázky — môže obsahovať osobné údaje. Na kontrolu nákladov stačí účel, osoba a čas.
- Zavretý ticket helpdesku sa zmaže 24 mesiacov po zavretí a osoba z okna pomoci po 24 mesiacoch bez otázky; lehotu si organizácia zmení pri ostatných lehotách. Stránka Ochrana osobných údajov opisuje helpdesk, len keď ho organizácia používa.
- Každé volanie MCP konektora má stopu — konektor, nástroj, kto ho vyvolal, trvanie a výsledok — bez znenia otázky. Na server konektora odchádza otázka, nie dokumenty knižnice.
- Kuriér (interné správy) má lehotu mazania vlákien, ktorú si organizácia nastaví pri ostatných lehotách; správca cudzie správy nevidí, asistent ich neprehľadáva a do auditu ide kto, komu, kedy a predmet — nie text.
- Analýza histórie helpdesku beží bez zápisu textu správ: ukladá sa mesačný súhrn, čas do odpovede a témy; pôvod návrhu sa pri rozhodnutí zmaže.
- Súhlas s pripojením AI asistenta cez MCP je dôkazný záznam s doslovným znením v jazyku, v ktorom ho človek videl; odvoláva sa v plachte účtu a správca osôb vidí pripojené aplikácie všetkých.
Bezpečnostná kontrola kódu (september 2026)
Pred prvou ostrou verziou sme prešli kód aplikácie, závislosti a konfiguráciu. Každý bod nižšie bol overený priamo v kóde.
Organizácia v každom dotaze
Kód organizácie je v podmienke každého čítania aj zápisu, nie v kontrole nad ním. Vyhľadávanie bez organizácie sa odmietne.
Chránené je všetko okrem výnimiek
Zoznam ciest je „všetko okrem verejných“, takže nová stránka je chránená automaticky. Neznáma doména dostane 404.
Dôkaz určuje server
Znenie, formulku aj jazyk potvrdenia určuje server, nie prehliadač. Potvrdenia sa nemažú; odvolanie je nový údaj.
Tajomstvá šifrované
Prihlasovacie tajomstvá organizácií a kľúč k AI sú uložené šifrované (AES-256-GCM). V repozitári nie sú žiadne.
Bezpečnostné hlavičky
Portál sa nedá vložiť do cudzieho rámu — podvrhnuté kliknutie na „Potvrdzujem“ by bolo pri predpise obzvlášť zlé.
Typ súboru z obsahu
Typ nahratého súboru sa určuje z jeho obsahu, nie z toho, čo tvrdí prehliadač. Exporty sú chránené pred vložením vzorcov.
Kontrola je vlastná, nie nezávislý audit ani certifikácia. Nezávislý penetračný test je krok, ktorý príde s ďalšími zákazníkmi.
Pripravení dostať svoj obsah na dosah ruky?
Ukážeme vám Contineo na vašich vlastných zdrojoch.
Kontaktujte násoffice@contineo.app