Jak chráníme anonymitu

Žádné logování IP adres

Aplikační kód oznamovacího portálu IP adresu nikdy nečte, neukládá do databáze ani do logů. V produkčním nasazení je logování přístupů vypnuto i na úrovni reverse proxy pro cesty /oznamit a /pripad.

V databázi ani v audit logu neexistuje sloupec, kam by IP adresu šlo zapsat — garance je strukturální, ne procesní.

Bezpečnostní kód nelze obnovit — záměrně

Kód pro přístup k případu se ukládá pouze jako kryptografický otisk (scrypt). Nikdo — ani SafeHouseCrew — nedokáže kód z otisku zpětně přečíst.

Neexistuje „obnova hesla“: jakýkoli mechanismus obnovy by byl zadní vrátka, kterou by šlo zneužít k převzetí případu. Ztráta kódu znamená trvalou ztrátu přístupu; formulář na to upozorňuje a nabízí tisk potvrzení.

Ochrana proti timing korelaci

Přesný čas podání by mohl oznamovatele prozradit („kdo v tu chvíli nebyl na place?“). Řešitelé proto vidí čas zaokrouhlený na půlden.

Přesný čas je uložen odděleně a slouží výhradně k automatickému výpočtu zákonných lhůt — v rozhraní pro řešitele se nikdy nezobrazuje.

Šifrování identity

Uvedete-li své jméno (režim „identifikované oznámení“), je zašifrováno algoritmem AES-256-GCM klíčem, který není uložen v databázi. Únik databáze tedy identity neodhalí.

Dešifrovat identitu smí výhradně příslušná osoba dle zákona č. 171/2023 Sb. Každé zobrazení identity se zapisuje do neměnného audit logu.

Žádné trackery, žádné zbytečné cookies

Oznamovací portál neobsahuje Google Analytics ani jiné analytické či marketingové skripty. Jediná cookie vzniká až po přihlášení k případu a slouží výhradně k jeho zobrazení (platnost 1 hodina).

Portál posílá hlavičku Referrer-Policy: no-referrer — cílové weby se nedozví, odkud jste přišli.

Odstranění metadat z příloh

Fotografie a dokumenty obsahují skrytá metadata (GPS polohu, jméno autora, sériové číslo zařízení). Před uložením přílohy se tato metadata automaticky odstraní.

Původní název souboru se neukládá — soubor dostane náhodné jméno.

Upozornění na stylometrii

Někdy prozradí totožnost samotný text — unikátní situace, kterou zná jen jeden člověk. Formulář na to při psaní jemně upozorňuje.

Doporučujeme: pište obecně, vynechte detaily, které zná jen málo lidí, a citlivé upřesnění nechte až na bezpečnou komunikaci s příslušnou osobou.

Konflikt zájmů — oznámení na vedení produkce

Pokud se oznámení týká vedení produkce, zaškrtnutím jediného pole se případ směruje mimo běžný tým, na nezávislou příslušnou osobu nebo externího ombudsmana SafeHouseCrew.