Jak Auredo zapadá do vaší infrastrukturyHow Auredo fits your infrastructure

01Co je Auredo (v jedné větě pro IT)What Auredo is (one line for IT)

Auredo je doménově izolovaný AI operační systém postavený na znalostním grafu — FastAPI backend (Python), znalostní graf nad Neo4j, PostgreSQL pro metadata a S3-kompatibilní úložiště pro soubory. AI model je zapojený jako vyměnitelný konektor, ne jako pevná závislost. Auredo is a domain-isolated AI operating system built on a knowledge graph — a FastAPI backend (Python), a knowledge graph on Neo4j, PostgreSQL for metadata and S3-compatible storage for files. The AI model is wired in as a swappable connector, not a hard dependency.

02Klíčové body pro security (TL;DR)Key points for security (TL;DR)

TémaTopic	Jak to Auredo řešíHow Auredo handles it
Kde běžíWhere it runs	Celý stack je kontejnerizovaný (Docker). Lze nasadit plně uvnitř vaší infrastruktury — on-prem, vaše VPC nebo privátní cloud. Žádná komponenta nevyžaduje náš cloud.The whole stack is containerized (Docker). It can be deployed fully inside your infrastructure — on-prem, your VPC or a private cloud. No component requires our cloud.
Co opouští síťWhat leaves the network	Jediná externí závislost je poskytovatel AI modelu. Ten je pluggable — EU-hostovaný model, vaše vlastní licence, nebo self-hosted model uvnitř vaší sítě. Žádná data se neukládají u třetí strany — jen request/response pro inferenci.The only external dependency is the AI-model provider. It's pluggable — an EU-hosted model, your own license, or a self-hosted model inside your network. No data is stored with a third party — only request/response for inference.
AI model & vaše dataAI model & your data	Model běží buď u vás (self-hosted), nebo v cloudu výhradně na EU serverech: šifrovaný přenos, zero-retention (dotazy se neukládají), žádné využití vašich dat k trénování a zpracovatelská smlouva dle čl. 28 GDPR.The model runs either in-house (self-hosted) or in a cloud exclusively on EU servers: encrypted transport, zero retention (queries are not stored), no use of your data for training, and a data-processing agreement per GDPR art. 28.
Data at restData at rest	PostgreSQL (metadata, historie chatu, audit), Neo4j (znalostní graf), S3/MinIO (bloby souborů). Vše může běžet na vaší infrastruktuře a šifrování disku/bucketu je ve vašich rukou.PostgreSQL (metadata, chat history, audit), Neo4j (knowledge graph), S3/MinIO (file blobs). Everything can run on your infrastructure and disk/bucket encryption is in your hands.
Data in transitData in transit	TLS 1.2/1.3 na vstupu (nginx, HSTS), HTTP→HTTPS redirect. Interní DB porty (Neo4j 7687, Postgres 5433, MinIO 9000) nejsou vystavené ven — jen v rámci Docker bridge, přístup jen přes SSH tunel.TLS 1.2/1.3 at the edge (nginx, HSTS), HTTP→HTTPS redirect. Internal DB ports (Neo4j 7687, Postgres 5433, MinIO 9000) are not exposed — only within the Docker bridge, accessible via SSH tunnel.
AutentizaceAuthentication	App-level identita (hlavička / JWT na /api/*), UI je navíc za reverzní proxy. Pro produkci navrhujeme napojení na váš IdP (OAuth/SSO).App-level identity (header / JWT on /api/*), the UI additionally sits behind a reverse proxy. For production we recommend integrating your IdP (OAuth/SSO).
Autorizace (RBAC)Authorization (RBAC)	DB-backed role + capabilities (admin / developer / finance / authenticated). Každá citlivá akce i skill kontroluje konkrétní capability před spuštěním.DB-backed roles + capabilities (admin / developer / finance / authenticated). Every sensitive action and skill checks a specific capability before running.
Izolace datData isolation	Každá organizace/projekt má vlastní group_id = samostatný namespace ve znalostním grafu. Přístup k záznamům je vázán na členství v uzlu hierarchie (JOIN-based ACL).Each organization/project has its own group_id = a separate namespace in the knowledge graph. Access to records is tied to membership in a hierarchy node (JOIN-based ACL).
Auditní stopaAudit trail	Append-only audit cross-user čtení konverzací (GDPR / incident response) + kompletní tracking všech volání AI modelu (kdo, kdy, jaký model, kolik tokenů).Append-only audit of cross-user conversation reads (GDPR / incident response) + full tracking of every AI-model call (who, when, which model, how many tokens).
Memory policy gateMemory policy gate	Deterministický guardrail před každým zápisem do paměti — samostatný klasifikátor + vynucení v kódu (ne jen „prosba" v promptu).A deterministic guardrail before every memory write — a separate classifier + enforcement in code (not just a "please" in the prompt).
SecretsSecrets	Přes environment (.env / systemd EnvironmentFile), interpolace {{env.VAR}} v konektorech — žádné tajné klíče v kódu ani v configu.Via environment (.env / systemd EnvironmentFile), {{env.VAR}} interpolation in connectors — no secret keys in code or config.

03Schéma — nasazení ve vaší infrastruktuřeSchema — deployment in your infrastructure

04Síťová topologie (jak to vidí firewall)Network topology (as the firewall sees it)

05Co zdůrazňujeme směrem k security odděleníWhat we emphasize to a security team

1. Žádný vendor lock-in na náš cloud — celé to umí běžet u vás. Dodáme nasazovací runbook (Docker Compose + systemd + nginx + TLS).No vendor lock-in to our cloud — it all runs in-house. We deliver a deployment runbook (Docker Compose + systemd + nginx + TLS).
2. AI model je jediná „venkovní" hrana a je plně pod vaší kontrolou — ideálně napojíme na vaše vlastní licence, takže data pro inferenci neopouštějí váš smluvní rámec.The AI model is the only outward edge and is fully under your control — ideally we connect your own license, so inference data stays within your contract.
3. Doménová izolace + RBAC + per-org namespace — bezpečnostní hranice nejsou jen v UI, ale vynucené v kódu a v datovém modelu.Domain isolation + RBAC + per-org namespace — security boundaries aren't just in the UI, they're enforced in code and the data model.
4. Auditovatelnost — každé čtení napříč uživateli i každé volání AI modelu má záznam.Auditability — every cross-user read and every AI-model call is logged.

06Soulad s regulacíRegulatory alignment

U enterprise a veřejného sektoru je soulad s regulací prodejní argument, ne overhead. Auredo je navržené tak, aby zapadlo do tří rámců, na které se dnes nejčastěji ptáte. For enterprise and public sector, regulatory alignment is a selling point, not overhead. Auredo is designed to fit the three frameworks you most often ask about.

RámecFramework	Jak to Auredo řešíHow Auredo handles it
GDPR	Data zůstávají v perimetru organizace, minimalizace údajů, řízení přístupů dle rolí (RBAC) a audit log všech operací. Anonymizace osobních dat před odesláním do modelu. Zpracovatelská smlouva dle čl. 28; u zvláštních kategorií (čl. 9) počítá architektura s DPIA podklady.Data stays within the organization's perimeter, with data minimization, role-based access (RBAC) and an audit log of every operation. Personal data is anonymized before it reaches the model. A processing agreement per art. 28; for special categories (art. 9) the architecture provides DPIA inputs.
NIS2 / zákon o kyberbezpečnostiNIS2 / cybersecurity act	Provoz uvnitř vaší infrastruktury, auditní stopa, řízení přístupů a transparentní dodavatelský řetězec — podpora plnění povinností regulovaných subjektů (model na infrastruktuře s certifikací ISO 27001).Operation inside your infrastructure, an audit trail, access control and a transparent supply chain — supporting the duties of regulated entities (model on ISO 27001-certified infrastructure).
EU AI Act	Chatbot pro uživatele je transparentně označen jako AI (čl. 50) a odpovídá jen z ověřených podkladů s uvedením zdroje. Žádné vysoce rizikové užití „bez člověka" — u citlivých kroků (např. HR předtřídění) je vždy povinný human oversight a dokumentace kritérií.A user-facing chatbot is transparently labeled as AI (art. 50) and answers only from verified sources, with the source shown. No high-risk "human-out-of-the-loop" use — sensitive steps (e.g. HR pre-screening) always require human oversight and documented criteria.

07Governance pro autonomní běhy (agenti & workflow)Governance for autonomous runs (agents & workflows)

Čím víc autonomie dáte agentům, tím víc kontrolních mechanismů běží pod kapotou. Nic z toho není nalepené zvenčí — je to vynucené v systému. The more autonomy you give agents, the more control mechanisms run under the hood. None of it is bolted on from outside — it's enforced in the system.

1. Trace log každého kroku agenta i workflow (kdo / co / kdy / na základě čeho) — pro audit, NIS2 i ISO 27001.A trace log of every step of an agent and workflow (who / what / when / based on what) — for audit, NIS2 and ISO 27001.
2. Budgety — maximální počet kroků, volání a nákladů na jeden agentní běh, aby se nic „nerozjelo" bez limitu.Budgets — a cap on steps, calls and cost per agent run, so nothing "runs away" without a limit.
3. Approval gates — každý zápis do systému je schvalitelný člověkem, a to i uprostřed agentního běhu.Approval gates — every write to a system is human-approvable, even mid-run.
4. Oprávnění dědí uživatele nebo roli, ne servisní superúčet — agent nikdy nevidí víc, než má vidět člověk, za kterého jedná.Permissions inherit from the user or role, not a service superaccount — an agent never sees more than the person it acts for.
5. Human oversight dle AI Act — u rizikových kategorií (např. HR předtřídění) je lidská kontrola každého rozhodnutí povinná, ne volitelná.Human oversight per the AI Act — for high-risk categories (e.g. HR pre-screening), human review of each decision is mandatory, not optional.