Malý produkt,
radikálne transparentný vo veci bezpečnosti.

Citlivé polia šifrované na disku, každý účet iným kľúčom.

Rodné čísla, IBAN-y, bankové tokeny a TOTP tajomstvá sa nikdy neukladajú v čitateľnej podobe. Každý záznam je zašifrovaný algoritmom AES-256-GCM s autentifikačným tagom — akákoľvek manipulácia s ciphertextom spôsobí zlyhanie dešifrovania.

Od mája 2026 sa pre každého používateľa odvodzuje samostatný šifrovací kľúč funkciou HKDF-SHA256 z hlavného kľúča. Kompromitácia jedného záznamu neodhalí dáta ostatných účtov.

• ✓Rodné čísla zamestnancov — šifrované pred zápisom do databázy
• ✓Bankové tokeny a IBAN-y prepojených účtov
• ✓TOTP tajomstvá (dvojfaktorové prihlásenie) — uložené len v zašifrovanej podobe

Každá zmena dát zanechá stopu, ktorú nemožno ticho vymazať.

Bezúčto vedie HMAC-SHA256 kryptografický reťazec každého auditného záznamu. Každý zápis obsahuje hash predchádzajúceho záznamu — akýkoľvek pokus o dodatočné prepísanie alebo vymazanie histórie reťazec zlomí a systém to detekuje automaticky.

Auditný kľúč je v produkcii oddelený od prihlasovacieho JWT kľúča. Aplikácia odmietne naštartovať, ak auditný kľúč chýba alebo sa rovná JWT kľúču — kompromitácia prihlásenia teda neohrozí dôkazovú hodnotu auditného záznamu.

• ✓Prihlásenia a odhlásenia vrátane neúspešných pokusov
• ✓Zmeny faktúr, miezd, nastavení — kto, kedy, z akej role
• ✓Prístupy k citlivým poliam (rodné číslo, IBAN) — každé čítanie je zaznamenané
• ✓Proxy akcie účtovníka — viditeľné oddelene od akcií klienta

Denná záloha. 30 dní dozadu. Nezávislé od hlavnej infraštruktúry.

Každú noc o 3:30 sa automaticky zálohuje celá databáza na Cloudflare R2 — objektové úložisko nezávislé od Railway, kde beží aplikácia. Zálohy sa uchovávajú 30 dní. Zálohy na R2 sú uložené so server-side šifrovaním AES-256.

Každú nedeľu prebieha automatická verifikácia zálohy: systém stiahne posledný súbor, overí integritu a výsledok zapíše do auditného záznamu. Ak verifikácia zlyhá, pošle alert.

• ✓Frekvencia: denne o 3:30 hod. (automatický cron)
• ✓Retencia: 30 dní (staršie zálohy sa automaticky mažú)
• ✓Umiestnenie: Cloudflare R2 — oddelená infraštruktúra od aplikačného servera
• ✓RPO (maximálna strata dát): 24 hodín · RTO (obnova): cieľ 4 hodiny

Vieme, kto spracúva vaše dáta. A zverejňujeme to.

Lumevo s. r. o. je prevádzkovateľ podľa GDPR čl. 4 ods. 7. Každý sub-dodávateľ, ktorý prichádza do kontaktu s osobnými údajmi, je zmluvne zaviazaný spracovateľskou zmluvou (DPA) v súlade s čl. 28 GDPR.

Aktuálny zoznam sub-dodávateľov (procesory, lokalita dát, účel spracovania) je verejne dostupný na bezucto.sk/legal/sub-processors.

• ✓DPIA (posúdenie vplyvu) pre 5 spracovateľských operácií s vyšším rizikom — vypracované a archivované v internej dokumentácii
• ✓Záznam spracovateľských činností podľa čl. 30 GDPR — udržiavaný a pravidelne aktualizovaný
• ✓Breach runbook s 72-hodinovou notifikáciou Úradu na ochranu osobných údajov SR (čl. 33 GDPR) — postup písomne zdokumentovaný
• ✓Automatické mazanie osobných údajov po uplynutí zákonnej doby uchovávania (cron každý 1. deň v mesiaci)
• ✓GDPR žiadosti (DSAR) vybavujeme na [email protected] do 30 dní

Každý AI výstup prechádza overením pred zobrazením.

Bezúčto používa jazykové modely na spracovanie faktúr, daňové poradenstvo a účtovné návrhy. Jazykové modely môžu halucinovať — uvádzať nesprávne paragrafy alebo sadzby.

Každý AI výstup pred odoslaním používateľovi automaticky prechádza anti-halucinačnou bránou (ai-output-gate), ktorá ho overuje proti databáze aktuálnej SK legislatívy. Známe chybné citácie paragrafov sa opravujú inline; pri zistenej odchýlke dostane používateľ viditeľné upozornenie.

• ✓Overenie SK zákonov — AI odpovede sa porovnávajú so seed katalógom SK legislatívy (zákon č. 431/2002, 595/2003, 222/2004 a ďalšie)
• ✓Oprava bannovaných citácií — pri známej chybe sa text opraví, nie iba zahodí
• ✓Obmedzenie nákladov — každý AI endpoint má rate-limiter, aby nedošlo k zneužitiu na neautorizované volania
• ✓PII redakcia — rodné čísla a citlivé identifikátory sa pred odoslaním do AI modelu automaticky maskujú

Export priamo z aplikácie, bez žiadosti na podporu.

Zákon č. 431/2002 Z. z. § 35 ukladá 10-ročnú archivačnú povinnosť pre účtovné záznamy. To znamená, že vaše dáta musia byť prístupné bez ohľadu na to, čo sa stane s dodávateľom softvéru. Bezúčto umožňuje export priamo z aplikácie:

Dáta sú uložené v štandardizovaných formátoch. Ak sa rozhodnete Bezúčto opustiť, exportujte si kompletný výstup a importujte ho do iného účtovného systému — bez viazania na proprietárny formát.

Dvojfaktorové overenie dostupné pre každý účet.

Každý používateľ Bezúčto si môže v nastaveniach aktivovať TOTP (Time-based One-Time Password) pomocou ľubovoľnej autentifikačnej aplikácie (Google Authenticator, Aegis, 1Password a ďalšie). Po aktivácii je pri každom prihlásení vyžadovaný jednorazový kód.

• ✓TOTP (RFC 6238) — štandardný protokol, nie proprietárne riešenie
• ✓Záložné kódy — vygenerujú sa pri aktivácii 2FA pre prípad straty zariadenia
• ✓Tokenová verzia — pri zmene hesla alebo vypnutí 2FA sa zneplatnia všetky aktívne relácie
• ✓JWT s krátkou životnosťou — prihlasovacie tokeny nie sú trvalé

Bezpečnostný problém? Píšte priamo.

Ak ste objavili bezpečnostnú chybu alebo máte otázky k ochrane dát, kontaktujte nás na [email protected] (DPO / bezpečnostný kontakt). Na nahlásenia reagujeme do 2 pracovných dní.

Pre GDPR žiadosti (prístup, výmaz, prenosnosť): [email protected].