Jak přemýšlíme o bezpečnosti
Bezpečnost považujeme za základní vlastnost produktu, nikoli za doplňkovou funkci. To znamená: výchozí nastavení, která jsou bezpečná, konfigurace, které jsou minimální, závislosti, které jsou aktuální, a přístup, který je udělen podle potřeby, nikoli podle pohodlí. Stejní inženýři, kteří dodávají funkce, také řeší bezpečnostní důsledky těchto funkcí.
Tato stránka shrnuje, co děláme – certifikace, které vlastníme, kde jsou uložena data, jak jsou chráněny platby a jak nahlásit zranitelnost, pokud nějakou najdete.
Certifikace a soulad s předpisy
Jsme vázáni následujícími rámci a pravidelně se vůči nim auditujeme:
- GDPR – plný soulad s obecným nařízením EU o ochraně osobních údajů, včetně zveřejněných zásad ochrany osobních údajů, zdokumentovaného záznamu o činnostech zpracování a určeného kontaktu pro ochranu údajů.
- PCI DSS – údaje o platebních kartách jsou zpracovávány výhradně společností Stripe, která je certifikována na úrovni PCI Level 1. My nikdy nevidíme, neukládáme ani nepřenášíme holá čísla karet.
- ISO 27001 – naši poskytovatelé hostingu a platformy jsou certifikováni; náš interní systém řízení bezpečnosti informací zrcadlí stejné kontroly.
- SOC 2 Type II – dokončeno každoročně pro platformu orientovanou na zákazníky.
Kopie certifikátů jsou k dispozici na vyžádání prostřednictvím kontaktní stránky.
Šifrování při přenosu a v klidu
Veškerý provoz na web a z webu používá TLS 1.3; starší protokoly jsou na úrovni load balanceru zakázány. HSTS je vynuceno s přednačítacím oknem, takže prohlížeče po první návštěvě odmítnou připojení přes nešifrované HTTP.
Data v klidu v naší databázi a objektovém úložišti jsou šifrována pomocí AES-256. Šifrovací klíče jsou spravovány KMS poskytovatele cloudu; žádný inženýr nedrží dlouhodobý nešifrovaný klíč.
Kontrola přístupu
Přístup do produkčního prostředí je omezen na malý počet jmenovitě určených inženýrů. Autentizace probíhá přes SSO s povinným MFA – typicky hardwarovým bezpečnostním klíčem. Neexistují žádné sdílené účty ani statická hesla servisních účtů; každý dlouhodobý pověření je automaticky rotováno.
Každá akce proti produkčním datům je protokolována s identitou aktéra, časem a ovlivněným záznamem. Protokoly jsou neměnné a uchovávají se po dobu 12 měsíců.
Bezpečnost plateb
Všechny platby probíhají přes Stripe (a pro polské kupující přes Przelewy24). Oba jsou zpracovatelé plateb certifikovaní podle PCI-DSS. Formulář karty je vykreslen v jejich sandboxu, takže údaje o kartě se nikdy nedotknou našich serverů; obdržíme pouze tokenizovaný odkaz.
Ve výchozím nastavení zapínáme 3-D Secure 2 a spoléháme se na rizikový engine Stripe a naše vlastní rychlostní pravidla pro označení podvodných pokusů. Vrácení peněz je směrováno zpět původní metodou bez ručního zpracování údajů o kartě.
Vaše data
Shromažďujeme minimum potřebné k doručení objednávky: jméno, fakturační adresu, e-mail, referenci platby. Osobní údaje nikdy nikomu neprodáváme. Nevkládáme reklamní trackery třetích stran.
Podle GDPR máte právo na přístup ke svým údajům, jejich opravu, export nebo výmaz. Zásady ochrany osobních údajů vysvětlují, jak tato práva uplatnit a jak dlouho je každá kategorie údajů uchovávána.
Odpovědné zveřejnění
Pokud se domníváte, že jste našli bezpečnostní problém, napište nám prosím prostřednictvím kontaktní stránky a my odpovíme do jednoho pracovního dne. Sdělte nám, o jaký problém se jedná, kde a jak jej reprodukovat. V současné době neprovozujeme placený program odměn za chyby, ale oceňujeme reportéry, kteří dodržují odpovědné zveřejnění, na naší veřejné stránce uznání bezpečnosti.
Žádáme, abyste netestovali proti účtům jiných uživatelů, nespouštěli automatické skenery proti produkčnímu prostředí a nezveřejňovali problém dříve, než budeme mít možnost jej opravit.