सुरक्षा
सुरक्षा, साफ़-साफ़।
आपकी अनुपालन और सुरक्षा टीमें पहली बातचीत से पहले ये सवाल पूछेंगी। यहाँ जवाब हैं: उत्पाद आज क्या करता है, और क्या अभी लागू नहीं है।
हम क्या रखते हैं, और क्या कभी नहीं रखते
लागूआपका दायरा वॉलेट पतों की एक सूची है, हर पते के साथ कुछ तथ्य। आपके विषय-कोड से असली व्यक्ति तक का संबंध आपके पास रहता है और हम तक कभी नहीं पहुँचता।
रखते हैं
- वॉलेट का पता
- संबंध: कर्मचारी, साझेदार या ग्राहक
- संबंध की शुरुआत और अंत
- आपका अपना विषय-कोड
कभी नहीं रखते
- व्यक्ति का नाम
- उसका ईमेल या फ़ोन नंबर
- उसकी कर्मचारी संख्या
छद्मनामित दायरे के अलावा, आपके लिए हमारे पास यही व्यक्तिगत डेटा है: हर उस व्यक्ति का कार्य-ईमेल और नाम, जिसे आप कैबिनेट की पहुँच देते हैं।
एक ग्राहक कभी दूसरे को नहीं देखता
लागूहर ग्राहक तालिका में ग्राहक का पहचानकर्ता रहता है, और वह PostgreSQL की पंक्ति-स्तर की सुरक्षा के तहत चलती है, जो तालिका के स्वामी पर भी लागू होती है। ग्राहक-संदर्भ के बिना क्वेरी को कुछ नहीं मिलता, और डेटाबेस में एप्लिकेशन की अपनी भूमिका किसी तालिका की स्वामी नहीं है, इसलिए वह नियम को लाँघ नहीं सकती। ग्राहकों के बीच रिसाव का परीक्षण उस सेट का हिस्सा है जिसे हर बदलाव को पास करना होता है।
साइन-इन, और दूसरा फ़ैक्टर जिसकी हम सलाह देते हैं
लागूहर साइन-इन आपके कार्य-ईमेल पर भेजे गए एक बार के कोड से शुरू होता है। हमारी सलाह है कि आपकी टीम का हर व्यक्ति पहले ही दिन कैबिनेट की सेटिंग में दूसरा फ़ैक्टर चालू करे। इसके दो तरीके हैं।
Passkey फ़िशिंग-रोधी
आपकी उँगली की छाप, चेहरा या डिवाइस का स्क्रीन लॉक। कुछ टाइप नहीं करना पड़ता, और नकली साइट इसका उपयोग नहीं कर सकती: passkey केवल DEVIATIC के असली पते पर काम करती है।
ऑथेंटिकेटर ऐप
Google Authenticator या किसी भी संगत ऐप से छह अंकों का कोड, जो हर तीस सेकंड में बदलता है।
निष्क्रियता की एक अवधि के बाद सत्र समाप्त हो जाता है, और उसकी अधिकतम अवधि तय है। हम SMS कोड कभी इस्तेमाल नहीं करते। DEVIATIC के संचालक हमेशा दूसरे फ़ैक्टर के साथ साइन-इन करते हैं।
हर कार्रवाई दर्ज रहती है
लागूकैबिनेट की हर कार्रवाई ऐसे जर्नल में दर्ज होती है जिसमें केवल जोड़ा जा सकता है, और हर प्रविष्टि कुंजी वाले हैश से पिछली से जुड़ी होती है: बदली या मिटाई गई प्रविष्टि शृंखला तोड़ देती है। आपकी कंपनी का अंश अनुरोध पर दिया जाता है।
रिपोर्ट कैबिनेट से केवल हस्ताक्षरित लिंक से बाहर जाती है, जो दस मिनट चलता है, एक ही बार काम करता है और उसी सत्र का होता है जिसने उसे माँगा। रिपोर्ट में ही दिखता है कि उसे किसने और कब निर्यात किया।
लॉग और टेलीमेट्री में कभी वॉलेट पते, विषय-कोड या ईमेल पते नहीं होते। त्रुटि रिपोर्ट में आपकी कंपनी का एक आंतरिक पहचानकर्ता होता है, और आपके डेटा से और कुछ नहीं।
डेटा कहाँ रखा जाता है
संरचना के अनुसार ग्राहकों का डेटा यूरोपीय संघ के भीतर ही संग्रहीत होता है।
- डेटाबेस और एप्लिकेशन सर्वर
- Hetzner, हेलसिंकी, फ़िनलैंड
- रिपोर्ट फ़ाइलें और सेवा डेटा
- यूरोपीय संघ के क्षेत्राधिकार में Cloudflare R2। यूरोपीय संघ के बाहर के भंडारण पते के साथ सेवा शुरू ही नहीं होती।
- टेलीमेट्री
- Grafana Cloud, जर्मनी
- त्रुटि रिपोर्ट
- Sentry, फ़्रैंकफ़र्ट में यूरोपीय क्षेत्र
ब्लॉकचेन डेटा और पता-पहचान के प्रदाताओं को केवल वही वॉलेट पते मिलते हैं जिन्हें हम खोजते हैं, और उनमें से कुछ यूरोपीय संघ के बाहर हैं: उन्हें न विषय-कोड मिलते हैं, न संबंध के प्रकार।
उप-प्रसंस्करणकर्ता
हम बुनियादी ढाँचे, ब्लॉकचेन डेटा और पता-पहचान के कुछ ही प्रदाताओं के साथ काम करते हैं। हर प्रदाता की भूमिका और स्थान के साथ नामवार सूची ग्राहकों को अनुबंध के साथ दी जाती है, और ख़रीद से पहले जाँच कर रही कंपनियों को गोपनीयता समझौते के तहत।
ऑडिट और प्रमाणन, साफ़-साफ़
अभी नहीं- ISO 27001 और SOC 2
- अभी कोई प्रमाणपत्र नहीं।
- स्वतंत्र पेनेट्रेशन टेस्ट
- अभी नहीं हुआ है। यह सबसे पहले आता है, और ग्राहकों के पृथक्करण, रिपोर्ट के निर्यात और पहुँच-नियंत्रण से शुरू होता है।
- काम का क्रम
- पहले पेनेट्रेशन टेस्ट, फिर ISO 27001। SOC 2 तब, जब कोई ग्राहक लिखित में माँगे।
आपकी जाँच-पड़ताल के लिए दस्तावेज़
- GDPR के अनुच्छेद 28 के तहत डेटा प्रसंस्करण समझौता अभी नहीं
- DORA की अनुबंध शर्तें: घटनाओं की सूचना, ऑडिट का अधिकार, निकास योजना और उप-अनुबंध के लिए पूर्व सहमति अभी नहीं
- SIG Lite और CAIQ Lite प्रश्नावलियों के उत्तर अभी नहीं
- आपकी कंपनी के ऑडिट जर्नल का अंश
इनमें से कोई भी दस्तावेज़ अनुरोध फ़ॉर्म के ज़रिए माँगें।
बिना अनुरोध के, अभी: काल्पनिक डेटा पर एक नमूना रिपोर्ट और एक नमूना केस फ़ाइल।