Bezpečnostní dotazník máme vyplněný předem
Tady je 44 odpovědí na to, na co se IT ptá dodavatele u Contember Fabriky, od hostingu a přihlášení po odchod. U každé je napsané, jestli platí dnes, nebo ji teprve domluvíme s vámi.
Tabulka má každou odpověď na jednom řádku, takže ji vložíte do spisu k dodavateli a vyfiltrujete podle stavu. Na jednu odpověď odkážete jejím označením, třeba #c2. Přesné znění závazků je ve smlouvě.
Aktualizováno 8. 11. 2026
Anglická verze (XLSX)
Na co se IT ptá, když prověřuje dodavatele?
Otázky vycházejí z běžných dotazníků pro dodavatele a z toho, na co se nás IT ptá na schůzkách.
Co znamená stav
- Platí dnes
- Domluvíme s vámi
- Sjednáme ve smlouvě
- Podle vaší infrastruktury
- V přípravě
- Nemáme
A Architektura a hosting 9 otázek
Kde aplikace běží?
Ve vlastní instalaci platformy Fabrika, v cloudovém účtu psaném na vaši firmu, obvykle na Zerops. Tam běží i databáze aplikací, joby na pozadí, e-maily a soubory. Pokud potřebujete zůstat v AWS, nastavíme instalaci tam.
Sdílíte instalaci s jinými zákazníky?
Ne. Každá firma má vlastní instalaci a s nikým ji nesdílí.
Může Fabrika běžet v AWS?
Ano, na přání. Kód platformy poskytovatele pro AWS nemá, instalaci v AWS účtu psaném na vaši firmu proto nastavíme v rámci zavedení a region vybereme podle vašich požadavků. Jinak firemní aplikace běží na Zerops.
Můžeme Fabriku provozovat na vlastních serverech, v Azure nebo u jiného poskytovatele?
Ne. Firemní aplikace běží na Zerops, na přání v AWS. Samotná platforma umí běžet i na Cloudflaru, aplikace s databází, joby nebo e-maily tam ale zatím nejedou.
Jsou aplikace dostupné z internetu?
Ne přímo. Aplikace nemají vlastní veřejnou adresu a každý požadavek jde přes jeden vstup platformy, který pustí jen ověřené uživatele; když pravidla přístupu chybí nebo nejsou jasná, zůstane zavřený. Odpovědi nesou bezpečnostní hlavičky včetně HSTS, přihlášení a veřejné formuláře mají rate limity (formulář na Zerops navíc vlastní výzvu proti robotům bez cizí CAPTCHA) a ven smí aplikace volat jen na adresy, které předem uvedla.
Máte oddělené testovací a produkční prostředí?
Ano. Každé prostředí je samostatný namespace s vlastními službami, takže test nesáhne na produkční data. V nejmenší velikosti můžou aplikace jednoho prostředí sdílet službu PostgreSQL, každá s vlastním schématem.
Kde jsou uložené klíče a hesla aplikací?
U poskytovatele cloudu, ne v naší databázi. Každá aplikace vidí jen svoje a přes platformu se dají zapsat, ale nikdy přečíst zpátky.
Jak se hlídají chyby a výpadky?
Chyby ze všech aplikací se sbírají na jedno místo, seskupí se a dají se přiřadit a vyřešit. Platforma hlídá, jestli aplikace odpovídají, a při nové chybě nebo náhlém nárůstu pošle upozornění.
B Data a jejich umístění 5 otázek
Kde fyzicky leží data?
Ve vašem cloudovém účtu. Obvykle na Zerops, české firmě (Zerops s.r.o., Praha) s datacentrem v Praze. Na přání v AWS, americké firmě, v regionu podle vašich požadavků.
Zůstanou data v EU?
U Zerops ano, leží v Praze. V AWS vybereme region podle vašich požadavků. Na Cloudflaru umístění v EU neslibujeme, data aplikací tam ale zatím neběží.
Co když data vyžádá cizí úřad? Jak je to s americkým CLOUD Act?
Zerops je česká firma, AWS americká. Co to znamená pro přístup úřadů k datům, rádi projdeme s vaším právníkem.
Jaký vztah máme s poskytovatelem cloudu a jakou roli máte vy?
Vztah s ním máte napřímo: cloudový účet je registrovaný na vaši firmu, včetně podmínek poskytovatele pro zpracování dat. Náš přístup k datům a jeho rozsah upraví smlouva mezi vámi a námi.
Aplikaci máme na Supabase. Co se s daty stane při převzetí?
Rozhodneme to spolu: data přesuneme do databáze ve vašem cloudovém účtu, Supabase budete provozovat ve vašem účtu, nebo zůstane, kde je. Každá cesta znamená jiné umístění dat.
C Přihlášení a přístupy 8 otázek
Jak se uživatelé přihlašují?
Firemním účtem přes vašeho poskytovatele identity pomocí OIDC (třeba Microsoft Entra ID, Google Workspace nebo Okta), jednoho na instalaci, jedním přihlášením do všech aplikací. Kdo firemní účet nemá, třeba externista, použije heslo, které správce nemůže nastavit ani přečíst.
Jak je to s vícefaktorovým ověřením (MFA) u firemního účtu?
Platí tak, jak ho má vaše firma nastavené u poskytovatele identity, přes kterého přihlášení jde.
A u přihlášení heslem?
V přípravě. Do té doby doporučujeme dát firemní účet každému, kdo ho mít může.
Jak se nastavují oprávnění?
Podle rolí, pro každou aplikaci zvlášť. Aplikace řekne, jaké role zná, kdo kterou dostane, určujete vy, a nová verze aplikace nastavená oprávnění nepřepíše.
Jak se odebírá přístup, když člověk odejde nebo změní pozici?
Zablokujte firemní účet u poskytovatele identity, a protože synchronizace přes SCIM zatím není, i v přihlašovací službě Fabriky (IAM). Tím skončí i přístup, který už člověk má. Role v jednotlivých aplikacích změníte nebo odeberete v platformě.
Kdo od vás má přístup do produkce?
My, v rozsahu potřebném na kontrolu změn, nasazování a záplaty; kdo konkrétně, domluvíme při zavedení. Přihlášení a změny přístupů se zapisují a přístupy do samotného cloudového účtu spravujete vy.
Zapisují se přihlášení a změny přístupů?
Ano, do auditního záznamu, který vidíte v konzoli. Každé nasazení má navíc vlastní záznam s logem: jaká verze, kdy a jak dopadlo.
Jak dlouho se záznamy uchovávají?
Záznamy o změnách přístupů a rolí se uchovávají a délku nastavíme podle vašich požadavků. Jako nastavení v platformě je to v přípravě.
D Změny a vývoj 5 otázek
Jak se změna dostane do provozu?
Váš člověk staví s AI, změna jde do Gitu s autorem, časem a popisem a my ji před nasazením zkontrolujeme. Po nasazení zůstane záznam a vy dostanete zprávu, co se změnilo, co jsme kontrolovali a jak to dopadlo.
Kontroluje změny člověk, nebo nástroj?
Člověk od nás, u každé změny před nasazením: oprávnění, práci s daty a všechno, co by mohlo otevřít přístup, který má zůstat zavřený. Jinou cestou se do provozu nic nedostane a nasazení, které rozšiřuje přístupy, navíc čeká na schválení člověkem v konzoli.
Kde je zdrojový kód a komu patří?
V Gitu a patří vám. Každá změna má autora, čas a popis, ručně se na server nic nekopíruje.
Kdo smí aplikace stavět?
Váš člověk s AI, váš vývojář nebo agentura, případně my s vaším člověkem při rozjezdu. Všichni přes Git, pravidla platformy a naši kontrolu.
Převezmete aplikaci, která vznikla jinde, třeba v Lovable, Cursoru nebo u freelancera?
Ano, pokud jde o kód, který běží i mimo nástroj, ve kterém vznikl. Maličko ho upravíme a nasadíme do vašeho účtu. Aplikace naklikané v Bubble a podobných nástrojích převzít neumíme.
E Provoz, incidenty a zálohy 5 otázek
Jak řešíte zálohy a obnovu?
Nastavíme je s vámi jako naši službu, platforma to sama nedělá. Při zavedení domluvíme, co se zálohuje, jak často, jak dlouho se zálohy drží a jak rychle musí být data zpátky.
Co se děje při incidentu?
Platforma upozorní na novou chybu nebo náhlý nárůst. My pomůžeme zjistit, co se v aplikaci stalo, opravit to a dát dohromady podklady k hlášení, které musíte podat.
Do kdy nás informujete o incidentu na vaší straně?
Lhůtu sjednáme ve smlouvě.
Jaké máte SLA?
Provoz a kontrolu změn zajišťujeme se SLA. Konkrétní úroveň a znění závazků sjednáme ve smlouvě.
Kdo opravuje chyby v aplikacích, když kód napsal náš vývojář nebo agentura?
My, v rámci SLA.
F AI 4 otázky
Jakou AI používáte a přes čí účet?
Tu, kterou si vyberete, vždy přes váš vlastní tarif a za vašich podmínek. S výběrem poskytovatele rádi poradíme.
Pracuje AI s produkčními daty?
Ne. Staví se na počítači vašeho člověka nad zadáním a kódem, produkční databáze leží v privátní síti a aplikace nemají veřejnou adresu. Data AI dostane, jen když jí je někdo cíleně nahraje.
Trénuje se na našich datech?
My ne. Co smí s daty dělat poskytovatel AI, určují podmínky vašeho tarifu.
Může AI nasadit změnu sama?
Ne. Jde stejnou cestou jako každá jiná změna: přes Git a naši kontrolu. Nasazení, které rozšiřuje přístupy, navíc platforma podrží, dokud ho neschválí člověk; strojový klíč schvalovat nemůže.
G Dodavatelé a smlouva 6 otázek
Kdo jsou vaši subdodavatelé?
Za Fabriku máte jednoho dodavatele, nás. Cloudový účet u Zerops, případně v AWS, je psaný na vaši firmu a AI jede přes váš tarif, takže ani jedno vám nepřeprodáváme.
S kým máme smlouvu, když aplikace staví naše agentura?
S námi, napřímo. Vývojáře nebo agenturu si najímáte vy.
Máte certifikaci ISO 27001 nebo SOC 2?
Platforma běží v infrastruktuře, kterou si vybíráte vy a která je vaším účtem. Certifikace infrastruktury proto řeší její provozovatel. Výchozí provozovatel Zerops na svém webu zerops.io uvádí certifikaci ISO 27001 a soulad s GDPR a DPA. U AWS si certifikace ověříte přímo u něj. Co drží platforma, jak probíhá kontrola změn a kdo má kam přístup, projdeme s vaším IT na technickém hovoru.
Děláte penetrační testy?
Infrastrukturu si vybíráte vy a je ve vašem účtu, její zabezpečení a certifikace řeší její provozovatel. Platforma ve vaší instalaci stojí na jediném vstupu do aplikací, který pustí jen ověřené uživatele, a na tom, že každou změnu před nasazením kontroluje člověk. Instalace je ve vašem účtu a kód platformy je veřejně na GitHubu (MIT), takže ji může prověřit i váš vlastní tester.
Dodáte seznam softwarových komponent (SBOM)?
Zatím ne. Kód aplikací máte ve svém Gitu a platforma je open source (MIT), takže její kód i závislosti jsou veřejně na GitHubu.
Přistoupíte na naše bezpečnostní požadavky na dodavatele, třeba podle přílohy 2 vyhlášky 410/2025 Sb.?
Pošlete nám je předem. Před podpisem je s vámi projdeme a řekneme na rovinu, co splníme a co ne.
H Odchod 2 otázky
Co když se rozejdeme?
Kód je váš, data i domény jsou ve vašem účtu a platforma je open source (MIT), takže systém běží dál a další člověk naváže z Gitu. Skončí jen naše kontrola změn a podpora.
Musíme od vás při odchodu stahovat data?
Ne. Data leží ve vašem cloudovém účtu od začátku, takže se nikam nestěhují.
Co v dotazníku chybí a jak to řešíme?
Otázky, na které dnes neodpovíme prostým ano, a co nabízíme místo toho.
Certifikace a penetrační testy
Platforma běží v infrastruktuře, kterou si vybíráte vy a která je vaším účtem, takže certifikace řeší její provozovatel. Výchozí Zerops na svém webu zerops.io uvádí certifikaci ISO 27001 a soulad s GDPR a DPA. Samotnou platformu s vaším IT projdeme na technickém hovoru.
#g3SBOM
Kód aplikací máte ve svém Gitu, kód platformy i její závislosti jsou veřejně na GitHubu (MIT).
#g5Vícefaktorové ověření u hesla
U firemního účtu platí MFA podle vašeho poskytovatele identity. Do té doby dejte firemní účet každému, kdo ho mít může.
#c3Jak dlouho se drží záznamy
Záznamy o změnách přístupů a rolí se uchovávají. Potřebnou délku nám řekněte při zavedení.
#c8Data u amerických poskytovatelů a americké právo
Aplikace běží na Zerops, české firmě s datacentrem v Praze. AWS i Cloudflare (umí na něm běžet platforma, data aplikací tam zatím ne) jsou americké firmy. Právní stránku projdeme s vaším právníkem.
#b2Lhůty u incidentů a čísla SLA
Do kdy vás informujeme o incidentu na naší straně a jakou úroveň služby držíme, sjednáváme ve smlouvě, ne na webu.
#e3Kdy Fabrika není pro vás?
-
Vaše pravidla vyžadují certifikaci nebo zprávu z penetračního testu přímo od dodavatele, nejen od infrastruktury, ještě před podpisem.
-
Aplikace musí běžet na vašich serverech, v Azure nebo u jiného poskytovatele. Fabrika je provozuje na Zerops a na přání v AWS.
Na co se ptáte k dotazníku
Platí odpovědi i pro naši instalaci?
Ano, popisují, jak Fabrika funguje u každé firmy. Kde se něco rozhoduje s vámi (poskytovatel cloudu, zálohy, náš přístup, délka uchování záznamů), je to u odpovědi napsané a nastavíme to při zavedení.
Stačí to na NIS2?
Pokryje část, která se týká dodavatele: řízení změn, odchod a kdo má přístup. Jestli na vás zákon o kybernetické bezpečnosti dopadá, posoudí váš právník nebo auditor; nejde o právní radu. Víc na stránce NIS2 a aplikace.
Pošlete nám svůj dotazník, vyplníme ho.
Vlastní šablonu, SIG, CAIQ nebo seznam od auditora nám pošlete, nebo ho za půl hodiny projděte s naším inženýrem.