Bezpieczeństwo w Conviro

W tranzycie: Wszystkie dane są szyfrowane przy użyciu TLS 1.2+ z 256-bitowym szyfrowaniem. Wszystkie endpointy API, webhooki i połączenia widżetu działają wyłącznie przez HTTPS. HSTS jest wymuszany z max-age wynoszącym 1 rok, łącznie z subdomenami.

W spoczynku: Dane klientów są szyfrowane przy użyciu AES-256 na poziomie warstwy magazynowania. Woluminy bazy danych używają pełnego szyfrowania dysku.

Zarządzanie sekretami: Klucze API, tokeny i poświadczenia są szyfrowane w spoczynku za pomocą oddzielnych hierarchii kluczy i nigdy nie są rejestrowane ani udostępniane w odpowiedziach API.

Centrum danych: Cała infrastruktura produkcyjna jest hostowana w certyfikowanych centrach danych ISO 27001 w Unii Europejskiej (Niemcy). Serwery nie są dostępne z publicznego internetu.

Izolacja sieci: Baza danych, pamięć podręczna i kolejki wiadomości działają w sieciach prywatnych bez publicznych adresów IP. Jedynie API i aplikacja internetowa mają publiczne endpointy, zabezpieczone odwrotnym serwerem proxy z ograniczaniem liczby żądań i ochroną przed DDoS.

Monitorowanie: Monitorowanie infrastruktury 24/7 z automatycznym alertowaniem. Cel dostępności: 99,9%.

Uwierzytelnianie: E-mail/hasło z hashowaniem bcrypt (rundy soli: 12) lub Google OAuth 2.0. Tokeny dostępu oparte na JWT z wygaśnięciem po 15 minutach i kryptograficznie losowe tokeny odświeżania.

Autoryzacja: Kontrola dostępu oparta na rolach (RBAC) z rolami Właściciela, Administratora i Agenta. Uwierzytelnianie kluczem API dla dostępu programowego z zakresem uprawnień per klucz.

Ograniczanie liczby żądań: Limity żądań per IP i per konto na wszystkich endpointach. Endpointy uwierzytelniania mają bardziej restrykcyjne limity, aby zapobiegać atakom brute force.

GDPR: Pełna zgodność z Ogólnym Rozporządzeniem o Ochronie Danych UE. Umowa o przetwarzaniu danych (DPA) jest zawarta w każdym płatnym planie. Zasady privacy-by-design stosowane w całej platformie.

Rezydencja danych: Dane klientów są przechowywane na serwerach w UE. Treść rozmów jest przekazywana dostawcom modeli AI w celu generowania odpowiedzi; działają oni jako podmioty przetwarzające na podstawie umów powierzenia przetwarzania, a gdy przetwarzanie odbywa się poza UE (np. w USA), stosuje się unijno-amerykańskie ramy ochrony danych (DPF) lub standardowe klauzule umowne.

Zgodność z plikami cookie: Baner zgody na pliki cookie zgodny z GDPR z granularną kontrolą kategorii (Niezbędne, Analityczne, Marketingowe). Rekordy zgody są przechowywane w celach audytowych.

Estońska ustawa o ochronie danych: Zgodność z lokalnymi przepisami estońskimi. Organ nadzorczy: Estońska Inspekcja Ochrony Danych (Andmekaitse Inspektsioon).

Dane konwersacji: Przechowywane zgodnie z ustawieniami obszaru roboczego (domyślnie: 90 dni). Konfigurowalne per obszar roboczy.

Usunięcie konta: Po usunięciu konta lub chatbota wszystkie powiązane dane są natychmiast trwale usuwane z aktywnych baz danych. Kopie zapasowe, które nadal zawierają usunięte dane, wygasają w ramach zwykłej rotacji w ciągu 30 dni.

Prawo do usunięcia danych: Żądania na podstawie art. 17 GDPR są realizowane w ciągu 30 dni. Skontaktuj się z [email protected].

Izolacja danych: Twoja baza wiedzy i dane konwersacji nigdy nie są wykorzystywane do trenowania modeli AI. Dane każdego obszaru roboczego są ściśle izolowane.

Umowy z dostawcami: Utrzymujemy Umowy o przetwarzaniu danych ze wszystkimi dostawcami AI (Anthropic, OpenAI, Google).

Filtrowanie treści: Wyniki AI są monitorowane pod kątem bezpieczeństwa. Zabezpieczenia przed wstrzyknięciem poleceń i filtry bezpieczeństwa treści są stosowane do wszystkich interakcji AI.

Jeśli uważasz, że odkryłeś lukę w zabezpieczeniach Conviro, prosimy o odpowiedzialne zgłoszenie jej do naszego zespołu ds. bezpieczeństwa. Nie ujawniaj publicznie luki, dopóki nie będziemy mieli możliwości jej naprawienia.

Kontakt: [email protected]

Zobowiązujemy się do:

• Potwierdzenia otrzymania zgłoszenia w ciągu 24 godzin.
• Podania harmonogramu naprawy w ciągu 72 godzin.
• Informowania o postępach prac.
• Niepodejmowania działań prawnych wobec badaczy bezpieczeństwa działających w dobrej wierze.