Biztonság

Ez az oldal azokat az intézkedéseket írja le, amelyekkel a Boona a szalonok és ügyfeleik adatait védi. Konkrétan fogalmaztunk arról, amit teszünk — és ugyanilyen konkrétan arról, amit nem állítunk, mert egy túlzó biztonsági oldal rosszabb, mintha nem lenne.

A Boona kicsi, független termék. Úgy gondoljuk, a korlátokat ismerned kell, mielőtt továbbolvasol:

• Nem rendelkezünk ISO 27001 tanúsítvánnyal.
• Nem végeztünk SOC 2 auditot.
• Nem rendelkezünk saját PCI DSS tanúsítással — lásd az 5. szakaszt a fizetésekről, hogy miért nem jutnak el hozzánk a kártyaadatok.
• A mai napig nem rendeltünk meg független, harmadik fél által végzett behatolásvizsgálatot.

Több nagyobb versenytárs kirakja ezeket a jelvényeket. Inkább nem mutatunk semmit, mint olyan jelvényt, amelyet nem érdemeltünk ki. Minden, ami alább következik, olyasmi, amit valóban megteszünk.

Átvitel közben. A böngésződ vagy alkalmazásod és a Boona közötti minden forgalom TLS-sel titkosított. Ez vonatkozik a weboldalra, az irányítópultra, a foglalási modulra és a mobilalkalmazásokra.

Saját szervereink között. A Boona több szerveren fut különböző országokban. A közöttük zajló forgalom — beleértve az adatbázis-replikációt — titkosított privát hálózaton (WireGuard) halad, soha nem nyílt formában a nyílt interneten.

Tároláskor. A jelszavakat sózott, egyirányú hash formájában tároljuk, és soha nem állíthatók vissza olvasható formában, sem általunk, sem más által. A biztonsági mentések titkosítottak.

A Boona regionális shardokat üzemeltet. Hogy melyik tartalmazza a szalonod adatait, egyszer dől el, a fiók létrehozásakor, a regisztráció országa alapján.

Ha EU- vagy EGT-országban regisztrálsz, a szalonod adatai kizárólag EU-s infrastruktúrán jönnek létre és tárolódnak — a svédországi regionális shardon, a németországi központi vezérlési síkkal. Mindkettő az EU-n belül van.

Ezt kód érvényesíti, nem szabályzat: minden EU- és EGT-tagállam a regisztrációkor a svéd shardhoz rögzül, és ez a rögzítés minden más útválasztási szabályt felülír — beleértve azt is, milyen nyelven böngészel. Egy lengyelországi vagy németországi szalon, amely oroszul használja a Boonát, akkor is a svéd shardon jön létre.

A Boona Belaruszban is üzemeltet shardot, az EGT-n kívül. Ez az Oroszországban és Belaruszban regisztrált fiókokat szolgálja ki. Ha személyes adatok EGT-n kívüli országba kerülnek át, az átadás az Európai Bizottság általános szerződési feltételei alapján történik — lásd: Adatfeldolgozási szerződés (angolul).

• Napi biztonsági mentések minden éles adatbázisról, titkosítva és az éles szerverektől elkülönítve tárolva.
• Folyamatos tranzakciónapló-archiválás a napi pillanatkép mellett, így a helyreállítás nem korlátozódik az utolsó éjszakai mentésre.
• Adatbázis-replikáció régiók között, így egyetlen gép meghibásodása nem jelent adatvesztést.
• Folyamatos felügyelet a szolgáltatások állapotáról, hibák esetén riasztással.
• 99,9%-os havi rendelkezésre állást célzunk meg. Ez üzemeltetési cél, nem szerződéses szolgáltatási szintű megállapodás — lásd: Felhasználási feltételek (angolul).

A Boona nem tárol, nem dolgoz fel és nem továbbít bankkártyaszámokat. Az előfizetési fizetéseket a fizetési szolgáltatónk kezeli, amely önmagában PCI DSS-megfelelő; a kártyaadatokat közvetlenül a szolgáltató által üzemeltetett mezőkbe írod be, és azok soha nem jutnak el a Boona szervereire.

Ezért nem hivatkozunk saját PCI-tanúsításra — ez a hatókör tervezésből adódóan a szolgáltatónál van.

• Az éles rendszerekhez való hozzáférés névvel megjelölt rendszergazdákra korlátozódik, és kulcsalapú hitelesítést igényel; a jelszavas szerverbelépés le van tiltva.
• Az adminisztrációs felületek nem érhetők el a nyilvános internetről; csak a titkosított privát hálózaton keresztül.
• A szalonfiókodon belül a munkatársak jogosultságai szerepkör-alapúak, így te döntöd el, ki láthat pénzügyi adatokat, ügyfélkartonokat vagy beállításokat.
• A szervertűzfalak minden szolgáltatást a szükséges portok és források minimális körére korlátoznak.

A Boona nem piactér. Nem keressük meg az ügyfeleidet saját nevünkben marketinggel, nem adjuk el az ügyféllistádat, és nem használjuk az üzleti adataidat arra, hogy a versenytársaidnak hirdessünk.

Az időpont-előzményeidet bármikor exportálhatod. Ha távozol, magaddal viszed az adataidat, a törlést pedig a következő oldalon kérheted: Fiók törlése.

Ha úgy véled, biztonsági sérülékenységet találtál a Boonában, jelezd nekünk bizalmasan a contact@boona.app címen, mielőtt nyilvánosságra hoznád.

Mire számíthatsz:

• A bejelentés visszaigazolását 3 munkanapon belül célozzuk meg.
• A vizsgálat során tájékoztatunk, és szólunk, amikor javítottuk.
• Nem indítunk jogi eljárást olyan kutatók ellen, akik jóhiszeműen jelentenek, kerülik a magánélet megsértését és az adatok megsemmisítését, és ésszerű időt hagynak a javításra a közzététel előtt.

Jelenleg nem működtetünk fizetett hibavadász-programot. Ha szeretnéd, feltüntetjük a nevedet.

Kérjük, ne futtass automatizált vizsgálatot vagy terheléses tesztet az éles rendszeren — lásd a Felhasználási feltételek (angolul) 6. szakaszát.

Ha olyan adatvédelmi incidens történik, amely a szalonod adatait érinti, indokolatlan késedelem nélkül értesítünk, hogy adatkezelőként teljesíthesd a saját kötelezettségeidet — beleértve a GDPR szerinti 72 órás bejelentési határidőt, ahol az alkalmazandó. Az értesítés feltételeit a Adatfeldolgozási szerződés (angolul) tartalmazza.

Biztonsági kérdések vagy további részletek kérése regisztráció előtt: contact@boona.app.

Kapcsolódó dokumentumok: Adatfeldolgozási szerződés (angolul) · Adatvédelmi tájékoztató · Felhasználási feltételek (angolul) · Cookie-szabályzat