Bezbednost i privatnost
Bezbednost podataka kancelarije — konkretno, ne uopšteno.
Za advokata je poverljivost obaveza. Zato navodimo tačno koje kontrole postoje u Pametnom Advokatu, kako rade i šta još nije uvedeno.
Kontrole
Šta je danas u primeni.
Samo kontrole koje postoje u proizvodu — grupisane po tome šta štite.
Pristup i nalozi
- Prijava korisnika e-poštom i lozinkom, sa sesijom po korisniku
- Uloge advokat i sekretar; brisanje zapisa samo za advokata
- Deaktiviran nalog odmah gubi pristup — provera je u samoj bazi, ne samo u interfejsu
- Naloge otvaramo i deaktiviramo isključivo na zahtev kancelarije
Izolacija podataka
- Row Level Security u PostgreSQL-u na poslovnim tabelama
- Podaci su vezani za kancelariju; druge kancelarije ih ne vide
- Numeracija predmeta i imenik korisnika su po kancelariji
- Pravila važe i kada se bazi pristupa mimo interfejsa aplikacije
Dokumenti
- Privatno skladište, bez javnih linkova ka fajlovima
- Preuzimanje preko serverske funkcije, tek posle provere naloga, kancelarije i uloge
- Pri otpremanju: dozvoljeni tip, provera sadržaja fajla i najviše 10 MB
- Brisanje dokumenta takođe prolazi proveru prava
AI obrada
- Uključuje se uz izričitu saglasnost kancelarije i po korisniku
- Kontekst se čita sa pravima korisnika koji pita
- U AI asistentu se e-pošta, telefoni, JMBG i brojevi računa u uobičajenim formatima maskiraju pre slanja AI servisu; AI uvoz dokumenata je izuzetak, jer čita otpremljeni dokument
- AI servis ne skladišti odgovore za kasnije preuzimanje (store: false)
- Obrada sa servera; API ključ nikad nije u pregledaču
- Evidencija metapodataka i SHA-256 otiska, bez čuvanja sadržaja zahteva; dnevne i mesečne kvote
Prenos i pregledač
- Ceo saobraćaj preko HTTPS-a, uz HSTS
- Zabrana prikaza sajta u tuđim okvirima (clickjacking)
- Zaštitna zaglavlja za tip sadržaja, referer i dozvole pregledača
- Privatne stranice aplikacije nisu dostupne pretraživačima
Razvoj i održavanje
- Svaka izmena prolazi lint, proveru tipova, testove i build
- Automatska provera ranjivih zavisnosti; ranjivost visokog rizika obara CI proveru
- Nedeljna ažuriranja zavisnosti i skeniranje koda i tajni
- Integritet naplate u bazi: nema preplate niti brisanja fakture sa uplatama
Iskreno
Standardi, granice i plan.
Precizna izjava je vrednija od obećanja koje se ne može proveriti.
Baza podataka, prijava i skladište dokumenata rade na Supabase platformi (SOC 2 Type II, ISO/IEC 27001:2022). Aplikaciju isporučuje Vercel (SOC 2 Type II, ISO/IEC 27001).
Naše kontrole su postavljene po uzoru na ISO/IEC 27001: kontrola pristupa, evidencija, bezbedan razvoj, zaštita prenosa i izbor sertifikovanih dobavljača.
Pametni Advokat nema sopstveni ISO 27001 sertifikat ni SOC 2 izveštaj — sertifikati dobavljača pokrivaju njihovu infrastrukturu. Ne obećavamo „apsolutnu” ili „stopostotnu” bezbednost.
Antivirusno skeniranje fajlova pri otpremanju, sa karantinom pre preuzimanja.
Dvofaktorska prijava (MFA) za korisničke naloge.
Supabase (baza, prijava, skladište dokumenata), Vercel (isporuka aplikacije) i, kada je AI uključen, OpenAI API.
Odgovorno prijavljivanje
Pronašli ste bezbednosni problem?
Pišite na podrska@pametniadvokat.rs, uz opis, pogođenu stranicu i korake za ponavljanje. Ne šaljite stvarne podatke klijenata, dokumente ni lozinke.
Pitanja i odgovori
Česta pitanja
Kako su odvojeni podaci različitih kancelarija?
Pravila pristupa u bazi podataka (Row Level Security u PostgreSQL-u) proveravaju kojoj kancelariji pripadaju korisnik i podatak. Korisnik jedne kancelarije ne vidi klijente, predmete, dokumente ni fakture druge kancelarije.
Da li je Pametni Advokat sertifikovan (ISO 27001, SOC 2)?
Pametni Advokat nema sopstveni ISO 27001 sertifikat ni SOC 2 izveštaj. Naše bezbednosne kontrole postavljene su po uzoru na ISO/IEC 27001 — kontrola pristupa, evidencija, bezbedan razvoj, zaštita prenosa i izbor dobavljača. Baza podataka, prijava i skladište dokumenata rade na Supabase platformi, koja ima SOC 2 Type II izveštaj i ISO/IEC 27001:2022 sertifikat; aplikaciju isporučuje Vercel, koji takođe ima SOC 2 Type II izveštaj i ISO/IEC 27001 sertifikat.
Gde se čuvaju podaci?
Aplikacija radi na infrastrukturi Supabase (baza podataka, prijava i skladište dokumenata) i Vercel (isporuka veb aplikacije). AI obrada, kada je uključena, ide preko OpenAI API-ja.
Da li postoji dvofaktorska prijava?
Ne još. Dvofaktorska prijava je u planu; do tada preporučujemo jaku, jedinstvenu lozinku za svaki nalog.
Kako se prijavljuje bezbednosni problem?
Pišite na podrska@pametniadvokat.rs, uz opis i korake za ponavljanje. Ne šaljite stvarne podatke klijenata ni lozinke.
Vaša kancelarija. Jedan sistem.
Pogledajte Pametni Advokat na primerima iz prakse i procenite da li odgovara načinu na koji vaša kancelarija radi. Prelazak je postepen, bez prekida tekućeg rada.