- Dane przechowywane w
- UE / USA
- Zgłoś problem
- admin@oakmonttechnologies.com
- Podmioty podprzetwarzające
- 5
Bezpieczeństwo i zaufanie.
Jak chronimy Twoje dane i pracę nad zgodnością.
Kontrola dostępu oparta na rolach
Role o minimalnych uprawnieniach (administrator, redaktor, klient) kontrolują każdą akcję; klienci widzą wyłącznie dane własnej organizacji.
Uwierzytelnianie dwuskładnikowe
2FA oparte na TOTP dostępne dla pracowników i klientów, z unieważnieniem sesji przy zmianie hasła.
Szyfrowana transmisja
Cały ruch jest przesyłany przez TLS. Sekrety znajdują się w środowisku, nigdy w kodzie źródłowym.
Dziennik audytu
Każda operacja zmieniająca dane jest rejestrowana z informacją o osobie, roli, ścieżce i czasie, więc historia jest w pełni rozliczalna.
Płatności obsługiwane przez Stripe
Dane kart nigdy nie trafiają na nasze serwery - rozliczenia realizuje Stripe (PCI-DSS Level 1).
Własny hosting / on-premises
Cała platforma działa w kontenerach i może zostać wdrożona w Twoim własnym środowisku, jeśli dane muszą pozostać u Ciebie.
/ Podmioty podprzetwarzające
Wszyscy, którzy mają dostęp do danych klientów, w jakim celu i gdzie. Ta lista jest częścią naszej umowy powierzenia; zmiany zapowiadamy z wyprzedzeniem.
| Podmiot | Do czego | Gdzie |
|---|---|---|
| Stripe Payments Europe Ltd. | Płatności kartą i fakturowanie | Irlandia (UE) |
| Dostawca serwerów dedykowanych | Serwery aplikacji, baza danych i magazyn obiektowy | UE |
| Dostawca poczty transakcyjnej | Potwierdzenia, reset hasła, powiadomienia o zleceniach i zgłoszeniach | UE / USA |
| PostHog, Inc. | Analityka zachowań i nagrania sesji, wyłącznie za zgodą | USA |
| Meta Platforms Ireland Ltd. | Pomiar reklam, wyłącznie za zgodą | Irlandia (UE), transfer do USA |
/ Klucz podpisujący
Każdy certyfikat, każde poświadczenie i kanał statusu, które publikujemy, są podpisane jednym kluczem Ed25519. Pobierz klucz spod adresu poniżej, a nie z dokumentu, który sprawdzasz, i zweryfikuj zwarty JSON z posortowanymi kluczami, który dokument pokazuje jako swoje bajty kanoniczne.
/.well-known/oakmont-attestation-key.txt
W tym pliku jest klucz i jego odcisk SHA-256, więc możesz go raz zapisać jako zaufany i zauważyć, gdyby kiedykolwiek się zmienił.
/ Kopie zapasowe i ciągłość
- Bazę danych kopiujemy codziennie i trzymamy 30 dni, a odtwarzanie regularnie ćwiczymy, zamiast zakładać, że zadziała.
- Docelowy punkt odtworzenia (RPO): 24 godziny. Docelowy czas odtworzenia (RTO): 8 godzin dla aplikacji, 24 godziny dla pełnej odbudowy.
- Prace w magazynie obiektowym są wersjonowane, więc błędne nadpisanie da się cofnąć bez odtwarzania bazy.
- Cała platforma jest opisana w kontenerach i plikach infrastruktury, więc odbudowa idzie tą samą ścieżką co każde wdrożenie.
/ Kiedy coś pójdzie nie tak
- Badamy każde zgłoszenie i potwierdzamy jego przyjęcie osobie, która je wysłała.
- Potwierdzone naruszenie ochrony danych osobowych zgłaszamy dotkniętym klientom bez zbędnej zwłoki, a gdy trzeba, organowi nadzorczemu w ciągu 72 godzin.
- Incydenty, które dotknęły usługę, opisujemy na stronie statusu: co się stało i co w związku z tym zmieniliśmy.
/ Certyfikaty, uczciwie
Nie mamy SOC 2 ani ISO 27001. Jesteśmy małym zespołem, a audyt, na który jeszcze nas nie stać, kupiłby certyfikat, a nie zabezpieczenie. Zamiast tego publikujemy tutaj rzeczy sprawdzalne: role o najmniejszych uprawnieniach, ślad audytowy każdej operacji zmieniającej dane, uwierzytelnianie dwuskładnikowe, zaszyfrowane sekrety, udokumentowany model zagrożeń i kontakt bezpieczeństwa, który odpowiada. Jeśli Twój dział zakupów wymaga certyfikatu, powiedz to na początku, a nie na końcu.
/ Dla działu zakupów
Wypełniamy kwestionariusze bezpieczeństwa dla dostawców, podpisujemy NDA i udostępniamy umowę powierzenia przetwarzania opartą na standardowych klauzulach umownych UE. Poproś, a wyślemy aktualne dokumenty w tym samym tygodniu.
Porozmawiaj z nami/ Zgłoś podatność
Luka w zabezpieczeniach? Napisz na admin@oakmonttechnologies.com - doceniamy odpowiedzialne zgłaszanie podatności.
Przegląd bezpieczeństwa lub umowa powierzenia?
Wypełniamy kwestionariusze bezpieczeństwa dostawców i zawieramy umowy powierzenia przetwarzania danych oraz umowy o poufności (NDA) na potrzeby zamówień korporacyjnych.