Măsuri tehnice și organizatorice

Unde stau datele

Serverul — aplicația, baza de date, copiile de siguranță și serverul de e-mail — e găzduit de Contabo GmbH, în Germania. Nu există o a doua locație de prelucrare. În fața serverului stă Cloudflare, care livrează paginile, oprește atacurile și ține DNS-ul domeniului; e o societate din Statele Unite, iar prin rețeaua lui trec cererile către site, cu adresa IP, cât sunt în tranzit. Transferul se întemeiază pe Cadrul UE–SUA privind protecția datelor. Lista completă, actualizată, e pe pagina Subîmputerniciți și cookie-uri.

Izolarea datelor între clienți

Separarea evenimentelor nu e făcută de aplicație, ci de baza de date. Fiecare tabel cu date de eveniment are politici de acces pe rând, impuse astfel încât să se aplice inclusiv proprietarului tabelului. Rolul folosit de aplicație nu are dreptul de a ocoli politicile, iar aplicația refuză să pornească dacă îl primește. O cerere făcută în contextul unui eveniment nu poate ajunge la datele altui eveniment, nici printr-o eroare de programare: fără contextul potrivit, interogarea nu întoarce rândurile — nu întoarce o eroare pe care cineva ar putea-o trata greșit. Jurnalul scanărilor are, în plus, o protecție proprie: aplicația îl poate doar adăuga și citi, fără cale de modificare sau de ștergere, iar dintre rolurile unui eveniment îl poate citi numai organizatorul. Singura scriere care nu e adăugare e anonimizarea automată de la 12 luni, făcută de o funcție a bazei de date, nu de aplicație.

Criptare în tranzit

Accesul la platformă se face obligatoriu prin HTTPS, cu antetul de securitate a transportului declarat pe doi ani, extins la subdomenii și înscris în lista de preîncărcare a browserelor — ceea ce înseamnă că browserele refuză conexiunea necriptată înainte de a o porni. Versiunile vechi de protocol sunt refuzate. E-mailul pleacă cu criptare oportunistă către serverul destinatarului.

Autentificare și sesiuni

Nu folosim parole. Accesul se face cu un link de acces sau cu un cod de unică folosință trimis pe e-mail; codul nu se păstrează în clar, ci doar sub formă transformată criptografic, dintr-un secret al serverului. Sesiunile stau exclusiv în cookie-uri care nu pot fi citite de scripturile paginii, sunt transmise numai pe conexiune securizată și durează cel mult 30 de zile. Panoul de administrare al platformei are o sesiune separată, de 12 ore. Linkurile și codurile expirate și nefolosite se șterg automat, zilnic și la fiecare pornire a serviciului. Secretele de autentificare nu ajung în jurnale.

Accesul echipei platformei la datele clienților

Nu există acces permanent. Când un client cere ajutor, se deschide o sesiune de suport anume pentru organizația lui, cu motivul consemnat obligatoriu, care expiră singură după două ore. Deschiderea rămâne înregistrată atât în jurnalul organizației, cât și în jurnalul nostru de administrare, cu cine a deschis-o. Consultarea jurnalului de scanări al unui eveniment se înscrie în jurnalul de administrare înainte ca datele să fie returnate — cu autorul, acțiunea, evenimentul și filtrul folosit. Pagina o spune pe față celui care o deschide.

Minimizare

Nu folosim instrumente externe de măsurare a audienței, de monitorizare a erorilor, de e-mail în masă sau de stocare de fișiere, și nu avem reclame sau instrumente de urmărire. Erorile apărute în browser ajung pe serverul nostru, plafonate și curățate automat. Datele de test nu ating adrese reale: adresele din evenimentele de probă sunt oprite în cod și, independent, a doua oară de serverul de e-mail.

Păstrare și ștergere

Datele personale ale participanților la un eveniment se anonimizează automat la 24 de luni de la încheierea lui, iar jurnalul scanărilor la 12 luni. Anonimizarea e ireversibilă și folosește aceeași operațiune ca ștergerea cerută de persoana vizată, astfel încât rezultatul să fie identic și să nu existe două înțelesuri ale cuvântului. Participantul își poate descărca datele și își poate cere ștergerea singur, din aplicația evenimentului, fără să treacă prin cineva.

Copii de siguranță

Baza de date se salvează integral în fiecare noapte, iar copiile se păstrează 14 zile. Restaurarea nu e presupusă, ci exersată: am refăcut baza dintr-o copie zilnică pe un sistem separat și am verificat nu doar că datele sunt acolo, ci și că aplicația le poate citi — drepturile rolului de rulare și o citire reală în contextul unui eveniment. Copiile stau însă pe același server cu baza de date: nu există, la data acestui document, o copie în altă locație. E o limitare cunoscută, nu o omisiune — o pierdere totală a serverului ar însemna pierderea copiilor odată cu datele.

Încălcări ale securității datelor

Avem o procedură scrisă. Când prelucrăm date în numele unui organizator, îl notificăm fără întârziere nejustificată și în cel mult 48 de ore de la luarea la cunoștință, ca el să își poată respecta termenul de 72 de ore față de autoritate. Pentru prelucrările în care operatorul suntem noi, notificăm direct autoritatea în 72 de ore, când legea o cere. Ținem un registru al tuturor încălcărilor, inclusiv al celor care nu se notifică.

Ce nu avem

Documentul ar fi incomplet fără partea aceasta, iar un client care compară furnizori are nevoie de ea ca să întrebe corect.

• Nu avem certificare ISO 27001 sau SOC 2. Compensăm prin transparență: lista de furnizori pe nume, documentul acesta și acordul de prelucrare, toate publice.
• Nu declarăm criptare în repaus. Nu e confirmată în stiva pe care o folosim, deci nu o afirmăm.
• Nu impunem autentificare cu doi factori pentru administratori. Accesul administrativ e protejat prin sesiune separată, scurtă și jurnalizată, nu printr-un al doilea factor.
• Nu avem copie de siguranță în afara serverului. Restaurarea e probată, dar pe copii care stau lângă original.
• Nu avem monitorizare externă de disponibilitate, deci nu promitem un nivel de disponibilitate și nu putem garanta că aflăm imediat de o întrerupere.