Bezpieczeństwo
Zapisy o przemocy.
Dokumenty sądowe.
Sprawy dzieci.
Ta aplikacja trzyma najbardziej wrażliwe rzeczy, jakie ktoś może komuś powierzyć.
Poniżej dokładnie to, co z nimi robimy, napisane tak, żeby dało się to sprawdzić. Bez odznak, bez certyfikatów, bez słowa „bankowy”.
Gdy ktoś patrzy ci na ręce
Najczęstsze zagrożenie nie jest zdalne
To ktoś, kto ma dostęp do twojego telefonu. Cztery rzeczy, które robimy z tym powodem.
Wejście na PIN
Cztery do ośmiu cyfr, osobno od hasła do konta. Pięć błędnych prób blokuje wejście na piętnaście minut. Sam kod jest zapisany jako skrót (scrypt), więc nie da się go odczytać z bazy, a uprawnienia kolumnowe odbierają go nawet twojemu własnemu zalogowaniu: PIN sprawdza serwer, nie przeglądarka.
Neutralna nazwa na ekranie głównym
Po dodaniu do telefonu aplikacja nazywa się „Notatnik” i ma neutralną ikonę. Nikt, kto przewija twój ekran główny, nie zobaczy słowa „rozwód”.
Szybkie wyjście
Jedno kliknięcie przenosi na zwyczajną stronę i zamyka sesję. Adres, na który wychodzisz, ustawiasz sama.
Zamykanie po bezczynności
Odejście od komputera zamyka dostęp. Ruch przesuwa termin, bezczynność nie.
Dostęp
Kto widzi
twoją sprawę
Dostęp do sprawy ma wyłącznie ten, kogo do niej zaprosisz, i tylko w zakresie, jaki mu nadasz. Drugi rodzic widzi kalendarz opieki i koszty dzieci; nie widzi twoich notatek, dziennika ani rozmów z asystentem.
Pilnuje tego baza danych, a nie interfejs. Każda tabela ma reguły dostępu sprawdzane przy każdym zapytaniu, więc obejście ekranu nie daje dostępu do cudzych danych. Sprawdzamy to codziennie zestawem testów, które zakładają dwa konta i próbują sięgnąć jedno do drugiego.
Szyfrowanie
Co jest
zaszyfrowane
Treść wiadomości, notatek i dziennika jest szyfrowana (AES-256-GCM), zanim trafi do bazy. Klucz leży poza bazą, po stronie serwera aplikacji.
Pliki z sejfu stoją w prywatnym magazynie. Nie mają publicznych adresów: każde pobranie dostaje odnośnik ważny minutę, przypisany do twojego zalogowania. Odnośnik wysłany komuś dalej wygasa, zanim zdąży zadziałać.
Co wychodzi z aplikacji, a co nie
Nic nie wychodzi bez twojej decyzji
Nie ma tu reklam, nie ma Google Analytics ani żadnego zewnętrznego narzędzia śledzącego.
Do modelu językowego, który układa propozycje odpowiedzi i prowadzi rozmowę, trafia treść, którą sama mu dajesz: wklejona wiadomość albo twoje pytanie. Model nie ma wglądu w twój sejf, dziennik ani listę dokumentów. Piszemy o tym wprost, bo to jedyne miejsce, w którym twoje słowa opuszczają nasze serwery.
| Podmiot | Do czego | Gdzie przetwarza |
|---|---|---|
| Supabase | baza danych, logowanie i magazyn plików | Unia Europejska, Frankfurt |
| Vercel | hosting aplikacji | Unia Europejska, Frankfurt |
| Resend | wysyłka maili: potwierdzenie adresu, logowanie, zaproszenia do sprawy, przypomnienia i potwierdzenia płatności | wysyłka z Irlandii, a dane konta i zapisy wysyłek w Stanach Zjednoczonych, na standardowych klauzulach umownych |
| Stripe | obsługa płatności; dane karty przyjmuje i przechowuje wyłącznie on, my ich nie widzimy | Irlandia, z przekazaniem do Stanów Zjednoczonych na standardowych klauzulach umownych |
| OpenAI Ireland | model językowy, który prowadzi rozmowę i układa propozycje odpowiedzi na wiadomości | Irlandia, z przekazaniem do Stanów Zjednoczonych na standardowych klauzulach umownych |
Baza, pliki i sam serwis stoją w Unii Europejskiej, we Frankfurcie. Dostawca modelu językowego przetwarza w Stanach Zjednoczonych i to jest jedyny transfer poza Unię. Pełną listę i podstawy prawne opisuje polityka prywatności.
Gdy w rozmowie pojawia się zagrożenie
To nie zależy od modelu
Wykrywanie gróźb, przemocy i myśli samobójczych robi osobna, deterministyczna warstwa, która działa zawsze, także wtedy, gdy model jest niedostępny albo odmówi odpowiedzi.
W takiej sytuacji aplikacja przestaje zbierać dane i podaje numery do ludzi. Nie budujemy wtedy strategii ani planu.
Wyjście
Twoje dane
należą do ciebie
- W każdej chwili pobierzesz jedno archiwum z całą sprawą: dane wszystkich modułów w czytelnej postaci, oryginalne pliki z sejfu i opis po polsku.
- Osoba zaproszona do sprawy pobiera wyłącznie swoje dane, nie twoje.
- Usunięcie konta kasuje sprawę razem z plikami.
- Wygaśnięcie płatnego dostępu wyłącza asystenta, ale nigdy dostępu do twoich danych: sprawę czytasz i pobierasz w całości niezależnie od tego, czy płacisz.
Czego jeszcze nie ma
Serwis jest przed pierwszym pilotażem. Nie mamy audytu bezpieczeństwa wykonanego przez firmę z zewnątrz ani certyfikatów, i nie będziemy udawać, że mamy. Treści prawne czekają na przegląd prawnika rodzinnego, a klaster o małżeństwie kościelnym na przegląd kanonisty; do tego czasu każda taka strona ma widoczne ostrzeżenie.
Jeśli znajdziesz lukę albo coś, co wygląda na błąd w ochronie danych, napisz do nas. Odpowiadamy na każde takie zgłoszenie.
Konto zakładasz w minutę, a tryb bezpieczny włączasz od razu po wejściu.