ความปลอดภัยของคุณคือสิ่งสำคัญที่สุดของเรา

เราคิดเกี่ยวกับความปลอดภัยอย่างไร

เราถือว่าความปลอดภัยเป็นคุณสมบัติพื้นฐานของผลิตภัณฑ์ ไม่ใช่ฟีเจอร์เสริม ซึ่งหมายความว่า: ค่าเริ่มต้นที่ปลอดภัย การกำหนดค่าที่น้อยที่สุด การพึ่งพาที่ทันสมัยอยู่เสมอ และการเข้าถึงที่ได้รับตามความจำเป็น ไม่ใช่ตามความสะดวก วิศวกรคนเดียวกับที่ส่งมอบฟีเจอร์ก็จัดการกับผลกระทบด้านความปลอดภัยของฟีเจอร์เหล่านั้นด้วย

หน้านี้สรุปสิ่งที่เราทำ — ใบรับรองที่เราถือ ข้อมูลอยู่ที่ไหน การชำระเงินได้รับการปกป้องอย่างไร และวิธีการรายงานช่องโหว่หากคุณพบ

ใบรับรองและการปฏิบัติตามข้อกำหนด

เราผูกพันและตรวจสอบตนเองตามกรอบการทำงานต่อไปนี้:

• GDPR — ปฏิบัติตามข้อกำหนดการคุ้มครองข้อมูลทั่วไปของสหภาพยุโรปอย่างสมบูรณ์ รวมถึงนโยบายความเป็นส่วนตัวที่เผยแพร่ บันทึกกิจกรรมการประมวลผลที่จัดทำเป็นเอกสาร และผู้ติดต่อด้านการคุ้มครองข้อมูลที่กำหนด
• PCI DSS — ข้อมูลบัตรชำระเงินได้รับการจัดการโดย Stripe เท่านั้น ซึ่งได้รับการรับรอง PCI Level 1 เราไม่เคยเห็น จัดเก็บ หรือส่งหมายเลขบัตรดิบ
• ISO 27001 — ผู้ให้บริการโฮสติ้งและแพลตฟอร์มของเราได้รับการรับรอง ระบบการจัดการความปลอดภัยของข้อมูลภายในของเราสะท้อนการควบคุมเดียวกัน
• SOC 2 Type II — ดำเนินการทุกปีสำหรับแพลตฟอร์มที่เผชิญหน้ากับลูกค้า

สามารถขอสำเนาใบรับรองได้ผ่านหน้าติดต่อ

การเข้ารหัสระหว่างการส่งและขณะจัดเก็บ

การรับส่งข้อมูลทั้งหมดไปยังและจากเว็บไซต์ใช้ TLS 1.3 โปรโตคอลรุ่นเก่าถูกปิดใช้งานที่ระดับ load balancer HSTS ถูกบังคับใช้ด้วยหน้าต่าง preload เพื่อให้เบราว์เซอร์ปฏิเสธการเชื่อมต่อผ่าน HTTP ธรรมดาหลังจากการเยี่ยมชมครั้งแรก

ข้อมูลขณะจัดเก็บในฐานข้อมูลและพื้นที่จัดเก็บอ็อบเจ็กต์ของเราได้รับการเข้ารหัสด้วย AES-256 คีย์การเข้ารหัสถูกจัดการโดย KMS ของผู้ให้บริการคลาวด์ ไม่มีวิศวกรคนใดถือคีย์ข้อความธรรมดาที่มีอายุการใช้งานยาวนาน

การควบคุมการเข้าถึง

การเข้าถึงระบบการผลิตถูกจำกัดเฉพาะวิศวกรที่ได้รับการเสนอชื่อจำนวนน้อย การตรวจสอบสิทธิ์ทำผ่าน SSO พร้อม MFA ที่จำเป็น — โดยทั่วไปคือคีย์ความปลอดภัยฮาร์ดแวร์ ไม่มีบัญชีที่ใช้ร่วมกันและไม่มีรหัสผ่านบัญชีบริการแบบคงที่ ทุกข้อมูลประจำตัวที่มีอายุการใช้งานยาวนานจะถูกหมุนเวียนโดยอัตโนมัติ

ทุกการกระทำต่อข้อมูลในระบบการผลิตจะถูกบันทึกพร้อมกับผู้กระทำ เวลา และเรกคอร์ดที่ได้รับผลกระทบ บันทึกไม่สามารถแก้ไขได้และถูกเก็บไว้เป็นเวลา 12 เดือน

ความปลอดภัยในการชำระเงิน

การชำระเงินทั้งหมดดำเนินการผ่าน Stripe (และสำหรับผู้ซื้อชาวโปแลนด์ Przelewy24) ทั้งสองเป็นผู้ประมวลผลการชำระเงินที่ได้รับการรับรอง PCI-DSS แบบฟอร์มบัตรถูกแสดงภายใน sandbox ของพวกเขา ดังนั้นข้อมูลบัตรจะไม่สัมผัสเซิร์ฟเวอร์ของเรา เราได้รับเฉพาะข้อมูลอ้างอิงแบบ token

เราเปิดใช้งาน 3-D Secure 2 โดยค่าเริ่มต้น และพึ่งพาเอ็นจินความเสี่ยงของ Stripe รวมถึงกฎความเร็วของเราเองเพื่อตรวจจับความพยายามในการฉ้อโกง การคืนเงินจะถูกส่งกลับผ่านวิธีการเดิมโดยไม่มีการจัดการข้อมูลบัตรด้วยตนเอง

ข้อมูลของคุณ

เราเก็บรวบรวมข้อมูลขั้นต่ำที่จำเป็นในการจัดส่งคำสั่งซื้อ: ชื่อ ที่อยู่สำหรับออกใบเรียกเก็บเงิน อีเมล ข้อมูลอ้างอิงการชำระเงิน เราไม่ขายข้อมูลส่วนบุคคลให้ใครเด็ดขาด เราไม่ฝังตัวติดตามโฆษณาของบุคคลที่สาม

ภายใต้ GDPR คุณมีสิทธิ์ในการเข้าถึงข้อมูลของคุณ แก้ไข ส่งออก หรือลบข้อมูล นโยบายความเป็นส่วนตัวอธิบายวิธีการใช้สิทธิ์เหล่านั้นและระยะเวลาที่ข้อมูลแต่ละประเภทถูกเก็บไว้

การเปิดเผยข้อมูลอย่างรับผิดชอบ

หากคุณเชื่อว่าคุณพบปัญหาด้านความปลอดภัย โปรดเขียนถึงเราผ่าน หน้าติดต่อ และเราจะตอบกลับภายใน หนึ่งวันทำการ บอกเราว่าปัญหาคืออะไร อยู่ที่ไหน และวิธีการทำซ้ำ ปัจจุบันเราไม่มีโปรแกรมชดเชยค่าค้นหาบั๊ก แต่เราให้เครดิตผู้รายงานที่ปฏิบัติตามการเปิดเผยข้อมูลอย่างรับผิดชอบในหน้าประกาศเกียรติคุณด้านความปลอดภัยสาธารณะของเรา

เราขอให้คุณอย่าทดสอบกับบัญชีของผู้ใช้รายอื่น อย่าใช้สแกนเนอร์อัตโนมัติกับระบบการผลิต และอย่าเปิดเผยปัญหาต่อสาธารณะก่อนที่เราจะมีโอกาสแก้ไข