Polityka bezpieczeństwa BriefVox AI
Dane operatora
Operatorem serwisu BriefVox AI jest: Wojciech Ogonowski, osoba fizyczna prowadząca działalność nierejestrowaną w rozumieniu art. 5 ustawy – Prawo przedsiębiorców, Grodzisk Mazowiecki, Polska.
Kontakt w sprawach obsługi klienta: support@briefvox.com.
Kontakt w sprawach prywatności i ochrony danych: privacy@briefvox.com.
1. Cel dokumentu
Ten dokument może być opublikowany jako zewnętrzna strona "Bezpieczeństwo" oraz używany wewnętrznie jako baza wymagań bezpieczeństwa dla BriefVox AI.
2. Zasady bezpieczeństwa plików
Pliki audio, pliki wideo i materiały importowane z linku są przechowywane w prywatnym, niepublicznym magazynie danych.
Dostęp do plików odbywa się przez tymczasowe, wygasające linki.
Pliki powinny być szyfrowane w spoczynku i w transmisji.
Pliki nie są indeksowane publicznie i nie powinny być dostępne bez autoryzacji użytkownika.
3. Dostęp administracyjny
Dostęp administracyjny powinien być ograniczony do osób, które rzeczywiście go potrzebują.
Konta administracyjne powinny mieć włączone 2FA.
Działania administracyjne powinny być logowane.
Pracownicy i personel techniczny Serwisu nie mają standardowego dostępu do treści nagrań ani transkrypcji użytkowników. Dostęp awaryjny, jeśli zostanie technicznie przewidziany, może być użyty wyłącznie w wyjątkowych przypadkach, powinien wymagać upoważnienia, zostać zapisany w logach i być ograniczony do minimalnego zakresu niezbędnego do rozwiązania sprawy.
4. Bezpieczeństwo aplikacji
hasła przechowywane wyłącznie jako bezpieczne hashe,
sesje w bezpiecznych cookies HTTP only,
rate limiting logowania i resetu hasła,
walidacja plików i limit rozmiaru 2 GB,
weryfikacja długości ścieżki audio po stronie serwera,
webhooki Stripe z weryfikacją podpisu i idempotencją,
ochrona przed równoległym przekroczeniem limitu minut,
regularne aktualizacje zależności.
5. Transkrypcja i dostawcy AI
Pliki audio, pliki wideo i materiały importowane z linku mogą być przekazywane do dostawcy transkrypcji wyłącznie w celu wykonania usługi. Aktualny dostawca: Google LLC (Gemini) / Amazon Web Services (Bedrock).
6. Backupy i odtwarzanie
system powinien mieć backup bazy danych i metadanych,
backupy powinny być szyfrowane,
dostęp do backupów powinien być ograniczony,
należy okresowo testować odtwarzanie backupu,
cykl usuwania backupów powinien być zgodny z Polityką retencji.
7. Zgłaszanie podatności
Kontakt do zgłaszania problemów bezpieczeństwa: privacy@briefvox.com. Zgłoszenie powinno zawierać opis podatności, kroki odtworzenia i potencjalny wpływ. Operator nie powinien karać zgłoszeń dokonanych w dobrej wierze, bez naruszania danych innych użytkowników i bez zakłócania działania Serwisu.