ALVAO Trust Center

Nařízení EU o umělé inteligenci (EU AI Act) se na ALVAO vztahuje jako na poskytovatele i uživatele systémů AI. 

ALVAO se zavazuje k odpovědnému využívání umělé inteligence v souladu s nařízením EU o umělé inteligenci (EU AI Act). ALVAO uvádí AI funkce svých produktů do souladu s příslušnými požadavky EU AI Act a zavádí odpovídající opatření pro governance, transparentnost a dohled. 

ALVAO se zavazuje využívat AI eticky, v souladu se zákonem a odpovědně. Řízené a kontrolované využívání AI funkcí je podpořeno našimi interními zásadami a řízením rizik.

Náš přístup zahrnuje tato opatření:

• Lidský dohled – AI podporuje uživatele a nenahrazuje rozhodování  
• Transparentnost – uživatelé jsou informováni, když interagují s AI funkcemi, a dokumentace vysvětluje účel, možnosti a omezení AI funkcí. Viz: AI funkce ALVAO
• Bezpečnost a ochrana dat – zákaznická data jsou chráněna bezpečnostními opatřeními a nejsou používána k trénování AI modelů. Viz: Prohlášení o ochraně osobních údajů 
• Monitoring – relevantní události jsou logovány a monitorovány, související rizika jsou řešena v rámci procesu reakce na incidenty.

Ve výchozím nastavení jsou AI funkce v ALVAO poháněny službami Microsoft Azure AI Services, včetně Azure OpenAI Service. AI funkce v ALVAO jsou navrženy především jako asistenční a automatizační nástroje a neprovádějí plně autonomní rozhodování. Výstupy AI mají uživatele podpořit a konečná rozhodnutí zůstávají pod kontrolou zákazníka.

AI funkce v ALVAO podporují oblasti jako:

• Automatizace service desku (např. shrnutí tiketů, kategorizace, podpora při řešení incidentů)
• Správa znalostí (např. návrhy obsahu a asistence)
• Samoobsluha a chatbot
• Datové přehledy a doporučení (např. detekce podobnosti, analýza sentimentu)

Zákazníci mohou AI funkce kdykoli vypnout v nastavení online aplikace; toto nastavení zůstává zachováno i po aktualizacích a upgradech. Vypnutí AI funkcí může ovlivnit výkon nebo dostupnost některých funkcí produktu.

ALVAO je v souladu s GDPR (General Data Protection Regulation). Osobní údaje zpracováváme pouze na základě pokynů zákazníka a podporujeme zákazníky při plnění jejich povinností podle GDPR, včetně žádostí subjektů údajů a oznamování porušení zabezpečení.

ALVAO je držitelem certifikace ISO/IEC 27001:2022 pokrývající vývoj, prodej, implementaci, poskytování a podporu ALVAO Service Desk a ALVAO Asset Management, včetně cloudových služeb.

ALVAO udržuje systém řízení bezpečnosti informací (ISMS) v souladu s ISO/IEC 27001.

Soubor postupů pro opatření k zajištění bezpečnosti informací u cloudových služeb, navazující na ISO/IEC 27001.

Soubor postupů pro ochranu osobně identifikovatelných informací (PII) v prostředí veřejného cloudu, ALVAO působící jako zpracovatel PII.

ALVAO je auditováno vůči požadavkům SOC 2 Type II společností BDO. Roční zpráva pokrývá a validuje bezpečnost, dostupnost, důvěrnost, integritu a soukromí naší infrastruktury, opatření a zákaznických dat. 

Zpráva je k dispozici na vyžádání pod NDA.

Certifikace Cyber Essentials dokládající soulad se základními opatřeními kybernetické bezpečnosti.

ALVAO uvádí svá cloudová opatření do souladu se 14 principy NCSC Cloud Security Principles (data při přenosu, ochrana a odolnost aktiv, oddělení mezi zákazníky, governance, provozní bezpečnost, personální bezpečnost, bezpečný vývoj, dodavatelský řetězec, bezpečná správa uživatelů, identita a autentizace, ochrana externího rozhraní, bezpečná administrace služby, auditní informace a alerting a bezpečné využívání služby). 

Celá infrastruktura ALVAO je postavena na moderní cloud-native architektuře využívající cloudové služby Microsoft pro zajištění co nejlepší dostupnosti, bezpečnosti a škálovatelnosti. Mezi klíčové služby patří Azure, Azure SQL Database, Azure Storage, Microsoft Entra ID a Azure Monitor / Application Insights. 

Více informací o bezpečnosti a compliance Azure najdete tady i tady, nebo navštívte Microsoft Trust Center. 

Zákaznická data při uložení budou uložena výhradně v datových centrech Microsoft podle smluvního subjektu:

• je-li poskytovatelem ALVAO s.r.o., na území Evropské unie nebo Evropského hospodářského prostoru;
• je-li poskytovatelem ALVAO Ltd., na území Spojeného království;
• je-li poskytovatelem ALVAO Inc., na území Spojených států amerických.

Zákazník může pro zákaznická data zvolit jinou lokalitu, je-li to technicky možné a výslovně sjednáno ve smlouvě.

• Vícefaktorové ověřování (MFA) je pro zaměstnance ALVAO vynucováno při přístupu k zásadním systémům,
• Je implementováno řízení přístupu na základě rolí (RBAC) s principem nejnižších oprávnění (least privilege),
• Podmíněný přístup (Conditional Access) pro administrátory.
• Přístup k datům v produkčním prostředí je přísně omezen na autorizované administrátorské účty a je monitorován
• Přístupová práva jsou kontrolována měsíčně.

ALVAO používá k šifrování zákaznických dat osvědčené postupy z oboru:

• Data at rest: šifrováno pomocí klíčů spravovaných Microsoftem – Advanced Encryption Standard (AES), 256bit,
• Data in transit: zabezpečeno přes HTTPS (TLS 1.2 a 1.3).

Šifrovací klíče spravované zákazníkem (BYOK) jsou k dispozici pro způsobilé zákazníky, buď generované v certifikovaném hardwarovém bezpečnostním modulu pod přístupem řízeným zákazníkem, nebo importované z úložišť klíčů spravovaných zákazníkem, tam, kde je to technicky možné a výslovně dohodnuto.

• Webový aplikační firewall (WAF)
• Ochrana proti DDoS útokům
• Segmentace sítě
• Oddělení vývojových, testovacích a produkčních prostředí
• Řízení přístupů ke kritickým systémům
• Monitorování a zaznamenávání bezpečnostních událostí

SpolečnostALVAO má zavedené procesy pro detekci, reakci a řízení bezpečnostních incidentů. Zákazníci jsou o relevantních incidentech informováni v souladu se smluvními povinnostmi a platnými předpisy.

Konkrétně je ALVAO podle Dodatku o zpracování dat (DPA čl. 11.3) povinna informovat zákazníky o bezpečnostním incidentu bez zbytečného odkladu a nejpozději do 72 hodin od jeho zjištění, poskytnout jim relevantní informace, incident vyšetřit a zavést vhodná zmírňující opatření.

Jsou zavedeny procesy správy zranitelností a záplat pro identifikaci, posouzení a nápravu bezpečnostních zranitelností prostřednictvím pravidelného skenování a včasného nasazování bezpečnostních aktualizací.

Je implementováno logování bezpečnostních událostí pro záznam a monitorování systémových aktivit, přičemž logy jsou bezpečně ukládány, pravidelně kontrolovány a podporují alerting pro včasnou detekci a reakci na bezpečnostní události.

Pravidelné penetrační testy třetí stranou jsou prováděny minimálně jednou ročně a jsou v souladu s bezpečnostními standardy OWASP. Zjištění jsou odstraňována podle jejich závažnosti.

ALVAO poskytuje smlouvu o zpracování osobních údajů (DPA) v souladu s článkem 28 GDPR. DPA definuje role a odpovědnosti ALVAO jako zpracovatele a našich zákazníků jako správců údajů.
DPA je pro zákazníky k dispozici na vyžádání.

Vaše data zůstávají vaše. ALVAO vystupuje jako zpracovatel, zatímco zákazníci zůstávají správci údajů. Prohlášení o ochraně osobních údajů vysvětluje:

• Jaké osobní údaje zpracováváme a proč
• Právní základ podle GDPR
• Vaše práva jako subjektu údajů a jak je uplatnit

Naše smluvní podmínky obsahují ustanovení o tom, jak jsou osobní údaje zpracovávány v roli správce v souvislosti s používáním našeho softwaru (viz článek 15 – Zásady ochrany osobních údajů). Zpracování v roli zpracovatele jménem zákazníka je upraveno samostatně smlouvou o zpracování osobních údajů (DPA).

Informace o cookies, které používáme, a o tom, jak spravovat své preference.

ALVAO zapojuje vybrané poskytovatele služeb třetích stran („subdodavatele") pro podporu poskytování svých služeb. Tito subdodavatelé mohou zpracovávat zákaznická data výhradně na základě pokynů ALVAO a v souladu s platnými předpisy o ochraně osobních údajů.

Zákazníci mohou odebírat oznámení o změnách.

*včetně konektorů AI (modely Anthropic)

Úrovně služeb, odpovědnosti a závazky jsou definovány v našich smluvních podmínkách.

V závislosti na registrovaném sídle zákazníka jsou smluvní podmínky uzavírány s jedním z následujících subjektů ALVAO:

• Spojené státy: ALVAO Inc.,
• Spojené království: ALVAO Ltd.,
• Evropská unie (a všechny ostatní neuvedené země): ALVAO s.r.o..

ALVAO poskytuje samostatný dodatek DORA Addendum pro zákazníky, kteří spadají pod definici finančních subjektů podle nařízení (EU) 2022/2554, pokud je to výslovně sjednáno v nabídce. Dodatek pokrývá oznamování ICT incidentů, práva na audit, transparentnost subdodavatelů, bezpečnostní certifikace (ISO/IEC 27001, 27017, 27018, SOC 2 Type II) a podporu exit strategie. Vztahuje se pouze na ICT služby, které samy o sobě nepodporují kritickou nebo důležitou funkci zákazníka; v opačném případě se na základě samostatné dohody uplatní rozšířený režim.

Klasifikace dat je definována v souladu se smluvními a regulatorními požadavky. Následující tabulka klasifikuje typy dat zpracovávaných ALVAO ITSM a jejich příslušné zásady nakládání.

Smluvně garantovaná úroveň služby ALVAO je 99,9% měsíční dostupnost, jak je definováno v naší SLA. Pokud garantovaná úroveň služby není v daném měsíci dodržena, mohou mít zákazníci nárok na kredity za službu (10 % nebo 25 % měsíčního poplatku za online aplikaci v závislosti na závažnosti), jak je definováno v SLA.

Nepřetržitý monitoring a alerting 24/7 udržuje naše služby pod stálým dohledem. Plánovaná údržba je zákazníkům komunikována s předstihem.

Databáze využívají zónově nebo geograficky redundantní úložiště záloh, přičemž geograficky redundantní kopie jsou uchovávány ve spárovaném regionu Azure. ALVAO provádí denní zálohy virtuálních strojů a aplikačních služeb a průběžné zálohy databází k určitému bodu v čase s definovanými dobami uchovávání. Zálohy jsou kontrolovány týdně a úplné testování obnovy je prováděno minimálně jednou ročně.  

Podle nařízení EU Data Act mohou zákazníci z EU/EHP kdykoli exportovat svá data, poskytnutá jako standardní záloha SQL databáze. Extrakce může v závislosti na objemu dat trvat déle než 30 dní. ALVAO neúčtuje poplatky za spolupráci při přechodu, není-li ve smluvních podmínkách uvedeno jinak. Asistence při přechodu je aktuálně poskytována individuálně; samoobslužné automatizované nástroje pro přechod zatím nejsou k dispozici.

Po ukončení služby jsou zákaznická data smazána nebo anonymizována v souladu se smluvními povinnostmi a zásadami uchovávání a zálohy jsou přemazány podle definovaných cyklů uchovávání záloh.

Společnost ALVAO udržuje formální plán pro zajištění kontinuity podnikání a zotavení po havárii (BCDR), který zahrnuje obnovu dat a obnovu služeb v případě závažného incidentu.

• Cílový bod obnovy (RPO): Data lze obnovit do bodu ne staršího než 15 minut před incidentem, a to za podpory průběžného zálohování databáze a redundance Azure Storage.
• Cílový čas obnovy (RTO): V případě závažného incidentu je cílem úplné obnovení služeb do 4 hodin.

Pravidelně se provádějí testovací scénáře DR, aby se ověřily postupy obnovy napříč klíčovými komponentami infrastruktury.

Náš vývoj se řídí osvědčenými postupy v souladu s OWASP. Provádíme interní OWASP testy a skenování zranitelností produktu, včetně automatizované analýzy zdrojového kódu před nasazením do produkce.

Nařízení EU Data Act (nařízení (EU) 2023/2854) se vztahuje na ALVAO jako poskytovatele služeb zpracování dat a na naše zákazníky se sídlem v EU/EHP. Stanovuje pravidla pro spravedlivý přístup k datům, přenositelnost a přechod mezi poskytovateli služeb.

Zákazníci si ponechávají plné vlastnictví svých dat a mohou je kdykoli exportovat nebo smazat v souladu se smluvními podmínkami a nařízením EU Data Act. ALVAO neúčtuje poplatky za spolupráci při přechodu, není-li ve smluvních podmínkách uvedeno jinak.

ALVAO Service Desk a Asset Management jsou uvedeny v oficiálních katalozích cloud computingu pro veřejný sektor ve více jurisdikcích:

• Spojené království — uvedeno v rámci UK G-Cloud (G-Cloud 15, Service ID 121706671705959) jako „ALVAO IT Service Management", britský ekvivalent eGovernment Cloudu. 
• Česká republika — uvedeno v Katalogu cloud computingu eGovernmentu ČR (ID poskytovatele 023, registrováno 14. února 2023), což umožňuje subjektům veřejného sektoru pořizovat naše služby centrálně. Platí zvláštní podmínky, včetně výhradního umístění dat v EU (západní/severní Evropa), hlášení kybernetických bezpečnostních událostí do 24 hodin a rozšířených práv na ukončení SLA (viz dodatek KeGC).
• Slovensko — uvedeno v Katalogu služeb vládního cloudu SR (Katalóg služieb Vládneho cloudu SR), ID poskytovatele 18, přičemž ALVAO Asset Management i ALVAO Service Desk jsou registrovány jako nabídky SaaS.

Nařízení EU o digitálních službách (nařízení (EU) 2022/2065) je nařízení EU. Vztahuje se na ALVAO jako poskytovatele hostingových služeb obsluhujícího zákazníky z EU. 

ALVAO nemoderuje, nekontroluje ani neposuzuje zákonnost zákaznických dat — zákazník zůstává jediným poskytovatelem jakékoli zprostředkovatelské služby využívající online aplikaci a nese veškeré související povinnosti podle DSA vůči svým koncovým uživatelům. Pokud ALVAO obdrží hlášení nebo oznámení týkající se údajně nezákonného obsahu v zákaznických datech, nemůžeme jej ignorovat: budeme na něj reagovat v souladu s DSA a oznamovatele přesměrujeme na zákazníka, kde je to právně možné.

ALVAO získalo status PinkVERIFY® Certified pro 7 procesů, certifikováno do 8. června 2027.

Akreditovaný konzultant IT managementu Pink Elephant posoudil a potvrdil kompatibilitu ALVAO v následujících ITSM procesech:

• IT Asset Management 
• Change Management
• Configuration Management 
• Incident Management 
• Problem Management 
• Request Management 
• Service Catalog Management  

ALVAO provozuje interní oznamovací systém v souladu s českým zákonem o ochraně oznamovatelů, který zaměstnancům, dobrovolníkům a dalším způsobilým osobám umožňuje bezpečně, včetně anonymně, nahlásit své obavy. Oznámení lze podat písemně, telefonicky nebo osobně naší určené příslušné osobě, případně Ministerstvu spravedlnosti ČR.

ALVAO uplatňuje nulovou toleranci vůči modernímu otroctví napříč svým podnikáním a dodavatelskými řetězci. Dodavatelé jsou každoročně prověřováni z hlediska souladu s našimi etickými standardy a zaměstnanci absolvují pravidelná školení o těchto povinnostech.

Produkty ALVAO jsou navrženy a vyvíjeny tak, aby splňovaly normu WCAG 2.2 úrovně AA, přičemž přístupnost je součástí našeho procesu od návrhu až po vydání. Pravidelně testujeme podle těchto standardů a neustále vylepšujeme oblasti, jako je navigace pouze pomocí klávesnice.