Segurança
Segurança, sem rodeios.
As suas equipes de compliance e de segurança vão fazer estas perguntas antes da primeira conversa. Aqui estão as respostas: o que o produto faz hoje e o que ainda não está em funcionamento.
O que guardamos e o que nunca guardamos
Em funcionamentoO seu perímetro é uma lista de endereços de carteiras com alguns dados sobre cada um. O vínculo entre o seu código de sujeito e uma pessoa real fica com você e nunca chega até nós.
Guardamos
- Endereço da carteira
- Relação: funcionário, parceiro ou cliente
- Início e fim da relação
- O seu próprio código de sujeito
Nunca guardamos
- O nome da pessoa
- O e-mail ou o telefone dela
- A matrícula de funcionário dela
Além do perímetro pseudonimizado, os dados pessoais que mantemos para você são o e-mail de trabalho e o nome de cada pessoa a quem você dá acesso ao painel.
Um cliente nunca vê outro
Em funcionamentoToda tabela de clientes carrega o identificador do cliente e funciona sob a segurança em nível de linha do PostgreSQL, aplicada até ao dono da tabela. Uma consulta sem contexto de cliente não retorna nada, e o papel da própria aplicação no banco não é dono de nenhuma tabela, então não consegue contornar a regra. Um teste de vazamento entre clientes faz parte do conjunto que toda mudança precisa passar.
Acesso e o segundo fator que recomendamos
Em funcionamentoTodo acesso começa com um código de uso único enviado ao seu e-mail de trabalho. Recomendamos que todos da sua equipe ativem um segundo fator nas configurações do painel já no primeiro dia. Há duas formas.
Passkey Resistente a phishing
A sua digital, o seu rosto ou o bloqueio de tela do dispositivo. Não há nada para digitar, e um site falso não consegue usá-la: a passkey só funciona no endereço verdadeiro da DEVIATIC.
App autenticador
Um código de seis dígitos do Google Authenticator ou de qualquer app compatível, renovado a cada trinta segundos.
As sessões terminam após um período sem atividade e têm uma duração máxima fixa. Nunca usamos códigos por SMS. Os operadores da DEVIATIC sempre entram com um segundo fator.
Cada ação fica registrada
Em funcionamentoCada ação no painel é gravada em um registro somente de acréscimo, e cada entrada é encadeada à anterior por um hash com chave: uma entrada alterada ou apagada quebra a cadeia. Um extrato da sua empresa é fornecido mediante solicitação.
Um relatório só sai do painel por um link assinado que vale dez minutos, funciona uma vez e pertence à sessão que o pediu. O próprio relatório mostra quem o exportou e quando.
Logs e telemetria nunca levam endereços de carteiras, códigos de sujeito nem endereços de e-mail. Os relatórios de erro levam um identificador interno da sua empresa e nada mais dos seus dados.
Onde ficam os dados
Por projeto, os dados dos clientes são armazenados dentro da União Europeia.
- Banco de dados e servidores da aplicação
- Hetzner, Helsinque, Finlândia
- Arquivos de relatório e dados do serviço
- Cloudflare R2 sob jurisdição da UE. O serviço não inicia com um endereço de armazenamento fora da UE.
- Telemetria
- Grafana Cloud, Alemanha
- Relatórios de erro
- Sentry, região da UE em Frankfurt
Os provedores de dados de blockchain e de atribuição de endereços recebem apenas os endereços de carteiras que consultamos, e alguns deles ficam fora da União Europeia: não recebem códigos de sujeito nem tipos de relação.
Subprocessadores
Trabalhamos com um número reduzido de provedores de infraestrutura, de dados de blockchain e de atribuição de endereços. A lista nominal, com a função e a localização de cada um, é entregue aos clientes com o contrato e às empresas em due diligence, sob um acordo de confidencialidade.
Auditorias e certificação, sem rodeios
Ainda não- ISO 27001 e SOC 2
- Ainda sem certificado.
- Teste de intrusão independente
- Ainda não foi feito. Ele vem primeiro, começando pelo isolamento de clientes, pela exportação de relatórios e pelo controle de acesso.
- Ordem do trabalho
- Primeiro o teste de intrusão, depois a ISO 27001. O SOC 2 quando um cliente pedir por escrito.
Documentos para a sua due diligence
- Acordo de tratamento de dados conforme o artigo 28 do GDPR Ainda não
- Cláusulas contratuais da DORA: aviso de incidentes, direito de auditoria, plano de saída e consentimento prévio para subcontratação Ainda não
- Respostas aos questionários SIG Lite e CAIQ Lite Ainda não
- Um extrato do registro de auditoria da sua empresa
Peça qualquer um deles pelo formulário de solicitação.
Sem pedido, agora mesmo: um relatório de exemplo e um dossiê de exemplo com dados inventados.