Сигурност

Тази страница описва мерките, които Boona предприема за защита на данните на салоните и техните клиенти. Написали сме я конкретно за това, което правим — и също толкова конкретно за това, което не твърдим, защото страница за сигурност, която преувеличава, е по-лоша от липсата на такава.

Boona е малък, независим продукт. Смятаме, че трябва да знаете ограниченията, преди да прочетете останалото:

• Не сме сертифицирани по ISO 27001.
• Не сме преминали одит SOC 2.
• Не сме самостоятелно сертифицирани по PCI DSS — вижте раздел 5 за плащанията защо данните на картите никога не достигат до нас.
• Към момента не сме възлагали независим тест за проникване на трета страна.

Няколко по-големи конкуренти показват такива значки. Предпочитаме да не показваме нищо, отколкото значка, която не сме заслужили. Всичко по-долу е нещо, което действително правим.

При пренос. Целият трафик между вашия браузър или приложение и Boona е криптиран с TLS. Това обхваща сайта, панела, приспособлението за резервации и мобилните приложения.

Между собствените ни сървъри. Boona работи на няколко сървъра в различни държави. Трафикът между тях — включително репликацията на базата данни — минава през криптирана частна мрежа (WireGuard), никога в явен вид през отворения интернет.

В покой. Паролите се съхраняват като еднопосочни хешове със сол и никога не могат да бъдат възстановени в явен вид — нито от нас, нито от някой друг. Резервните копия са криптирани.

Boona работи с регионални шардове. Кой от тях съдържа данните на вашия салон, се определя веднъж, при създаването на акаунта, според държавата, в която се регистрирате.

Ако се регистрирате в държава от ЕС или ЕИП, данните на вашия салон се създават и съхраняват единствено върху инфраструктура в ЕС — регионалния шард в Швеция, с централния управляващ слой в Германия. И двата са в рамките на ЕС.

Това е наложено в кода, а не чрез политика: всяка държава — членка на ЕС и ЕИП, се закрепва към шведския шард при регистрация и това закрепване има предимство пред всяко друго правило за маршрутизиране — включително пред езика, на който разглеждате сайта. Салон в Полша или Германия, който използва Boona на руски, пак се създава на шведския шард.

Boona поддържа и шард в Беларус, извън ЕИП. Той обслужва акаунти, регистрирани в Русия и Беларус. Когато лични данни се предават към държава извън ЕИП, предаването се извършва на основание стандартните договорни клаузи на Европейската комисия — вижте Споразумение за обработване на данни (на английски).

• Ежедневни резервни копия на всички продукционни бази данни, съхранявани криптирани и отделно от продукционните сървъри.
• Непрекъснато архивиране на журнала на транзакциите в допълнение към дневната моментна снимка, така че възстановяването да не е ограничено до последното нощно копие.
• Репликация на базата данни между региони, така че отказът на една машина да не означава загуба на данни.
• Непрекъснато наблюдение на състоянието на услугите, с известия при откази.
• Целим 99,9% месечна наличност. Това е оперативна цел, а не договорно споразумение за ниво на услугата — вижте Общи условия (на английски).

Boona не съхранява, не обработва и не предава номера на платежни карти. Плащанията по абонамента се обработват от нашия доставчик на плащания, който сам по себе си отговаря на PCI DSS; данните на картата се въвеждат директно в хостваните от доставчика полета и никога не достигат до сървърите на Boona.

Затова не претендираме за собствена PCI сертификация — по замисъл този обхват е на доставчика.

• Достъпът до продукционните системи е ограничен до поименно определени администратори и изисква удостоверяване с ключ; влизането в сървъра с парола е изключено.
• Административните интерфейси не са изложени в публичния интернет; достъпни са само през криптираната частна мрежа.
• В рамките на акаунта на салона правата на персонала са базирани на роли, така че вие решавате кой вижда финансови данни, клиентски картони или настройки.
• Защитните стени на сървърите ограничават всяка услуга до минималния набор портове и източници, от които се нуждае.

Boona не е маркетплейс. Не рекламираме на вашите клиенти за собствена сметка, не продаваме списъка ви с клиенти и не използваме бизнес данните ви, за да рекламираме на конкурентите ви.

Можете да експортирате историята на записите си по всяко време. Ако си тръгнете, вземате данните със себе си и можете да поискате изтриване чрез Изтриване на акаунт.

Ако смятате, че сте открили уязвимост в сигурността на Boona, кажете ни поверително на contact@boona.app, преди да я разгласявате публично.

Какво да очаквате:

• Стремим се да потвърдим получаването в рамките на 3 работни дни.
• Ще ви държим в течение по време на проучването и ще ви уведомим, когато проблемът бъде отстранен.
• Няма да предприемаме правни действия срещу изследователи, които докладват добросъвестно, избягват нарушаване на поверителността и унищожаване на данни и ни дават разумно време да отстраним проблема преди публикуване.

Понастоящем нямаме платена програма за награди за грешки. Ще ви посочим като автор на откритието, ако желаете.

Моля, не извършвайте автоматизирано сканиране или тестове с натоварване срещу продукционната среда — вижте раздел 6 от Общи условия (на английски).

Ако възникне нарушение на сигурността на личните данни, което засяга данните на вашия салон, ще ви уведомим без необосновано забавяне, за да можете като администратор на данни да изпълните собствените си задължения — включително 72-часовия срок за уведомяване по ОРЗД, където е приложим. Условията за уведомяване са посочени в Споразумение за обработване на данни (на английски).

Въпроси по сигурността или искане за повече подробности преди регистрация: contact@boona.app.

Свързани документи: Споразумение за обработване на данни (на английски) · Политика за поверителност · Общи условия (на английски) · Политика за бисквитки