Ako uvažujeme o bezpečnosti
Bezpečnosť považujeme za základnú vlastnosť produktu, nie za doplnkovú funkciu. To znamená: predvolené nastavenia sú bezpečné, konfigurácie sú minimálne, závislosti sú aktuálne a prístup je udelený na základe potreby, nie pohodlia. Rovnakí inžinieri, ktorí dodávajú funkcie, sa zaoberajú aj bezpečnostnými dôsledkami týchto funkcií.
Táto stránka sumarizuje, čo robíme – aké certifikácie vlastníme, kde sú uložené údaje, ako sú chránené platby a ako nahlásiť zraniteľnosť, ak nejakú nájdete.
Certifikácie a súlad s predpismi
Sme viazaní a auditujeme sa podľa nasledujúcich rámcov:
- GDPR – plný súlad so všeobecným nariadením EÚ o ochrane údajov vrátane zverejnených zásad ochrany osobných údajov, zdokumentovaného záznamu o činnostiach spracúvania a určenej kontaktnej osoby pre ochranu údajov.
- PCI DSS – údaje o platobných kartách spracúva výhradne Stripe, ktorý je certifikovaný na úrovni PCI Level 1. My nikdy nevidíme, neukladáme ani neprenášame holé čísla kariet.
- ISO 27001 – naši poskytovatelia hostingu a platformy sú certifikovaní; náš interný systém riadenia informačnej bezpečnosti odzrkadľuje rovnaké kontroly.
- SOC 2 Type II – vykonáva sa každoročne pre platformu orientovanú na zákazníkov.
Kópie certifikátov sú k dispozícii na požiadanie prostredníctvom kontaktnej stránky.
Šifrovanie pri prenose a v pokoji
Všetka prevádzka smerujúca na stránku a zo stránky používa TLS 1.3; staršie protokoly sú zakázané na úrovni load balanceru. HSTS je vynútené s prednastaveným oknom, takže prehliadače po prvej návšteve odmietnu pripojenie cez nešifrovaný HTTP.
Údaje v pokoji v našej databáze a objektovom úložisku sú šifrované pomocou AES-256. Šifrovacie kľúče spravuje KMS poskytovateľa cloudu; žiadny inžinier nemá dlhodobo platný kľúč v čitateľnej podobe.
Kontrola prístupu
Prístup do produkčného prostredia je obmedzený na malý počet menovaných inžinierov. Autentifikácia prebieha cez SSO s povinným MFA – zvyčajne hardvérovým bezpečnostným kľúčom. Neexistujú žiadne zdieľané účty ani statické heslá servisných účtov; každý dlhodobo platný poverovací údaj sa automaticky rotuje.
Každá akcia voči produkčným údajom je zaznamenaná s vykonávateľom, časom a ovplyvneným záznamom. Záznamy sú nemenné a uchovávajú sa 12 mesiacov.
Bezpečnosť platieb
Všetky platby prechádzajú cez Stripe (a pre poľských kupujúcich cez Przelewy24). Obaja sú platobní spracovatelia certifikovaní podľa PCI-DSS. Formulár karty je vykreslený v ich sandboxe, takže údaje o karte sa nikdy nedotknú našich serverov; dostávame len tokenizovaný odkaz.
3-D Secure 2 štandardne zapíname a spoliehame sa na rizikový engine Stripe plus naše vlastné rýchlostné pravidlá na označenie podvodných pokusov. Vrátenia platieb sú smerované späť pôvodnou metódou bez manuálneho spracovania údajov o karte.
Vaše údaje
Zbierame minimum potrebné na doručenie objednávky: meno, fakturačnú adresu, e-mail, referenciu platby. Osobné údaje nikdy nikomu nepredávame. Nevkladáme reklamné trackery tretích strán.
Podľa GDPR máte právo na prístup k svojim údajom, ich opravu, export alebo vymazanie. Zásady ochrany osobných údajov vysvetľujú, ako tieto práva uplatniť a ako dlho sa každá kategória údajov uchováva.
Zodpovedné zverejnenie
Ak sa domnievate, že ste našli bezpečnostný problém, napíšte nám prostredníctvom kontaktnej stránky a odpovieme do jedného pracovného dňa. Povedzte nám, o aký problém ide, kde a ako ho reprodukovať. V súčasnosti neprevádzkujeme platený program odmeňovania za nájdenie chýb, ale pripisujeme uznanie reportérom, ktorí dodržiavajú zodpovedné zverejnenie na našej verejnej stránke s bezpečnostnými poďakovaniami.
Žiadame vás, aby ste netestovali na účtoch iných používateľov, nespúšťali automatické skenery proti produkčnému prostrediu a nezverejňovali problém verejne, kým sme nemali možnosť ho opraviť.