Dne 6. 11. 2026 jsme zjistili, že útočník s registrovaným účtem zneužil zranitelnost v aplikaci a získal dočasně přístup ke kontaktním údajům osob, kterým se přes Signi zasílají dokumenty k podpisu. Šlo především o jméno, příjmení, e-mail a telefon, u velmi omezeného počtu kontaktů i o některé další uložené údaje, jako jsou adresa, datum narození, název firmy, IČO, DIČ, pozice nebo vlastní uživatelská pole. Zranitelnost jsme během několika hodin opravili a účet útočníka okamžitě zablokovali. Uložené dokumenty, jejich obsah, kontrolní listy, přístupové údaje ani ostatní citlivé údaje dotčeny nebyly.
Na této stránce naleznete informace o tom, co pro vás z incidentu vyplývá a jak vám můžeme být nápomocni.
Incident se vás netýká, pokud ve svém workspace nemáte uložené žádné kontakty, nebo pokud kontakty používáte výhradně pro osobní potřebu. V takovém případě vám z něj žádné další povinnosti nevznikají.
Pokud máte ve workspace uložené kontakty, kterým zasíláte dokumenty k podpisu v rámci podnikání či pracovní činnosti, jste podle GDPR jejich správcem vy a Signi vystupuje v roli zpracovatele. Z toho pro vás vyplývají následující kroky.
Incident je třeba ohlásit Úřadu pro ochranu osobních údajů, a to do 72 hodin od doručení našeho e-mailu. Ohlášení lze podat formulářem na webu uoou.gov.cz, případně prostřednictvím datové schránky qkbaa2n. Pokud sídlíte mimo Českou republiku, podáváte ohlášení svému dozorovému úřadu.
Ohlášení není nutné pouze v případě, kdy je nepravděpodobné, že by únik údajů představoval pro dotčené osoby riziko. U jména, e-mailu a telefonu je hlavním rizikem cílený phishing či vishing. Ve spojení s dalšími údaji, jako je datum narození nebo adresa, se toto riziko dále zvyšuje. Doporučujeme proto ohlášení spíše podat.
Povinnost informovat dotčené kontakty vzniká, pokud pro ně únik představuje vysoké riziko. I tak doporučujeme kontakty o incidentu informovat. Pokud se rozhodnete je neinformovat, zaznamenejte si důvod tohoto rozhodnutí. Je-li kontaktů příliš mnoho, odkažte je alespoň na naše veřejné upozornění.
Uchovejte si náš e-mail o incidentu a záznam o krocích, které jste na jeho základě učinili. Úřad pro ochranu osobních údajů si je může vyžádat.
Tyto informace nenahrazují právní posouzení vaší konkrétní situace. Pokud máte pověřence pro ochranu osobních údajů nebo právníka, doporučujeme mu je předat.
Na vyžádání vám poskytneme počet a seznam dotčených kontaktů ve vašem workspace i další podklady potřebné k ohlášení incidentu. Máte-li k celé věci jakékoli otázky, neváhejte se na nás obrátit e-mailem na adrese gdpr@signi.com.
Digitalizace podepisování
a firemních procesů je naše téma. Píšeme o tom, jak se posunout od papírů
k digitálním dokumentům.
A ukazujeme, že to není zas taková věda.
