Držíte data cizích firem. Podle toho to musí být postavené.

Provoz a správa

Nasazení má popsaný postup, ne jen instalátor

Po instalaci vás provede tříkrokový průvodce: založení administrátora, založení dodavatele s dotažením údajů z ARES podle IČO a první bankovní účet. Volitelně nasype vzorková data, ať je co zkoušet. Průvodce je jednorázový — po založení prvního správce zmizí.

• CLI nástroje pro migrace databáze, setup, vzorková data i reset instalace
• Cron úlohy pro zálohování, párování plateb, odesílání upomínek a AI zpracování
• Kontrola, že úlohy skutečně běží — ne jen že jsou nastavené
• Zálohy volitelně šifrované AES‑256
• Denní kontrola dostupné verze s poznámkami k vydání
• Provozní FAQ v manuálu — lockout, reset hesla z CLI, chyby CSRF, e‑maily, banka, výkon

Vrstva druhá

Co se uvnitř může stát s účetnictvím

Tohle je vrstva, kterou běžné „zabezpečení aplikace“ neřeší, a přitom se na ni ptá auditor i finanční úřad: účetnictví musí být nezpochybnitelné.

• Deník je žurnál — zápisy se neztrácejí ani nepřepisují potichu
• Storno místo mazání, takže auditní stopa zůstává celá
• Doklad se zaúčtovaným zápisem nelze smazat — systém to odmítne a srozumitelně vysvětlí proč
• Uzavřené období nelze měnit; znovu ho otevřít smí výhradně administrátor
• Doklady z navázané agendy mají uzamčený popis — edituje se u zdroje, ne v deníku
• Kontrola integrity deníku běží automaticky a hlídá, že strana MD odpovídá straně D
• Log činnosti se zamaskováním citlivých hodnot — hesla ani tajemství se do něj nedostanou
• Archiv podání s otiskem SHA‑256 — doložitelné, co přesně odešlo
• Automatické zálohy databáze, dokladů i dokumentů, volitelně šifrované

Limit volání

Integrace, která se zacyklí, nesmí položit instanci ostatním klientům. Každý token má proto vlastní strop 600 volání za minutu — počítá se zvlášť pro každý token, takže se dvě integrace navzájem neomezují.

• Po překročení vrací API 429 spolu s hlavičkou Retry‑After, takže slušně napsaný klient sám počká
• V každé odpovědi jsou hlavičky Limit, Remaining a Reset — integrace tak vidí, kolik jí zbývá, ještě než na limit narazí
• MCP server se navíc brzdí sám na straně klienta, aby se ke stropu vůbec nedostal

Log volání a audit

Každé volání přes token se zapisuje — včetně těch odmítnutých. Log je tak použitelný nejen pro ladění integrace, ale i jako důkaz, že se něco nestalo.

• Co se zaznamenává — čas s přesností na milisekundy, token, uživatel, firma, IP adresa, metoda, cesta, návratový kód, doba zpracování a kód chyby
• U volání z AI asistenta i název nástroje a verze klienta — v logu je tedy vidět issue_invoice, ne jen anonymní POST
• Odmítnutá volání taky — chybějící rozsah, zákaz zápisu do účetnictví, cizí IP i překročený limit, každé s vlastním kódem
• Filtrování podle tokenu, metody, cesty, zdroje (jen MCP) a přepínač „jen chyby“
• Obsah dokladů se neukládá — log ví, že se faktura vystavila, ne co v ní bylo
• Log nepřečte token, jen přihlášený člověk — integrace si tedy nemůže zamést vlastní stopu

Tenhle log je provozní a drží se 90 dní. Auditní stopa účetnictví je něco jiného — žurnál účetních zápisů podle § 33a se neuklízí vůbec a popisuje ho sekce výše.