Koristite Bookafy s povjerenjem i pridružite se više od 15 000 tvrtki koje vjeruju Bookafyju diljem svijeta.
Kada je povezan s aplikacijom treće strane (icloud, google cal, outlook, exchange) Bookafy uvozi samo redak predmeta kalendara, datum, vrijeme i trajanje kako bi blokirao vrijeme u Bookafyju i spriječio dvostruke rezervacije. Ne uvozimo, pohranjujemo niti čuvamo bilo kakve osobne podatke ili podatke koji bi ih mogli identificirati.
Bookafy ne pristupa nikakvim informacijama unutar vašeg povezanog kalendara ili računa e-pošte, uključujući kontakte, adresu e-pošte ili e-poštu. Adrese e-pošte mogu se koristiti za provjeru autentičnosti vlasništva računa unutar Bookafyja, ali mi ne prikupljamo nikakve informacije u vezi s vašim osobnim podacima.
Sve integracije treće strane provode se putem Oath autentifikacije. Ovo omogućuje Bookafyju da se poveže s pružateljima usluga treće strane bez da vidi, prikuplja ili pohranjuje vaša korisnička imena ili lozinke. Bookafy je povezan putem autentifikacijskog koda koji se dobiva kada se povezujete putem Oatha.
Azurno
Bookafy se nalazi na Azureu. Možete pročitati o temeljitim sigurnosnim odredbama Azurea i AWS-a na njihovoj stranici.
Bookafy koristi sve ugrađene značajke platforme za sigurnost, privatnost i redundantnost. Azure kontinuirano nadzire svoje podatkovne centre radi rizika i podvrgava se procjenama kako bi osigurao usklađenost s industrijskim standardima. Operacije podatkovnog centra Azure akreditirane su prema: ISO 27001, SOC 1 i SOC 2/SSAE 16/ISAE 3402 (prethodno SAS 70 Type II), PCI Level 1, FISMA Moderate i Sarbanes-Oxley (SOX).
AWS
Bookafy koristi AWS CDN za slike. Bookafy koristi sve ugrađene značajke platforme za sigurnost, privatnost i redundantnost. AWS kontinuirano nadzire svoje podatkovne centre radi rizika i podvrgava se procjenama kako bi osigurao usklađenost s industrijskim standardima. Operacije AW-ovog podatkovnog centra akreditirane su prema: ISO 27001, SOC 1 i SOC 2/SSAE 16/ISAE 3402 (ranije SAS 70 Type II), PCI Level 1, FISMA Moderate i Sarbanes-Oxley (SOX).
Sigurnosne kopije
Bookafy svakodnevno radi sigurnosnu kopiju svih podataka i baze kodova na redundantnim poslužiteljima u 2 odvojena zemljopisna područja. Također, sigurnosne kopije koda i podataka nalaze se na Dropbox Cloud Storageu.
Enkripcija
Podaci koji prolaze kroz Bookafy su šifrirani, kako u prijenosu tako iu mirovanju. Sve veze od preglednika do platforme Bookafy šifrirane su u prijenosu pomoću TLS SHA-256 s RSA enkripcijom. Bookafy zahtijeva HTTPS za sve usluge.
Za osjetljive podatke gdje izvorne vrijednosti nisu potrebne, kao što su naše vlastite lozinke, raspršujemo podatke pomoću algoritma BCrypt. Tamo gdje su potrebne izvorne vrijednosti, poput pojedinosti o autentifikaciji za pristup kalendarima, vrijednosti su šifrirane pomoću algoritma AES-256-GCM koristeći jedinstvenu, nasumično generiranu sol za svaki skup osjetljivih podataka.
Siguran prijenos na poslužitelje
Bookafy je koristio uslugu sigurnosti podataka za provjeru autentičnosti prijenosa podataka između našeg razvojnog tima i virtualnih strojeva. Svi podaci su šifrirani i zaštićeni.
Dijeljenje podataka i pristup trećih strana
Bookafy nikome ne prodaje podatke o korisnicima. Ne dijelimo podatke u svrhu marketinga preko kanala. Bookafy ne odobrava pristup nijednom pružatelju usluga treće strane osim putem povezivanja računa putem Oath autentifikacije ili API ključa. Oba se mogu prekinuti u bilo kojem trenutku iz Bookafyja ili iz aplikacije treće strane. U suprotnom, ne postoje treće strane kojima se daju podaci, prodaju podaci ili se podaci dijele iz bilo kojeg razloga.
Pozadinska provjera
Svi zaposlenici Bookafyja prolaze kroz temeljitu provjeru prošlosti prije zapošljavanja.
Trening
Iako zadržavamo minimalnu količinu podataka o klijentima i ograničavamo interni pristup prema potrebi, svi su zaposlenici obučeni o sigurnosti i rukovanju podacima kako bismo bili sigurni da se pridržavaju naše stroge predanosti privatnosti i sigurnosti vaših podataka.
Povjerljivost
Svi zaposlenici potpisali su ugovor o tajnosti podataka i ugovor o povjerljivosti prije zapošljavanja.
Pristup podacima
Samo ovlašteni zaposlenici imaju pristup našoj proizvodnoj infrastrukturi, a korištenje upravitelja lozinki kako bi se osigurale snažne lozinke i dvofaktorska autorizacija kada je dostupna propisana je u cijeloj tvrtki.
Katastrofa
Imamo postavljene planove za kontinuitet poslovanja i oporavak od katastrofe koji repliciraju našu bazu podataka i sigurnosno kopiraju podatke na više poslužitelja u oblaku u različitim zemljopisnim područjima i podatkovnim centrima kako bismo osigurali visoku dostupnost u slučaju katastrofe.
Pouzdanost
Bookafy ima povijest rada od 99,3%
Nove značajke
Bookafy razvija nove značajke u sprintevima od 3 tjedna. Naše implementacije počinju na razvojnom poslužitelju, zatim se postavljaju, a zatim zažive. Postavljanje poslužitelja uživo događa se u nedjelju ujutro po pacifičkom standardnom vremenu.
QA i testiranje
Bookafy provodi automatizirano testiranje zajedno s ručnim testiranjem prije svake implementacije.
Provjera kvalitete razvojnog i probnog poslužitelja
Prije nego što se Bookafy objavi na živim poslužiteljima, kod se postavlja na pripremne i razvojne poslužitelje tijekom QA procesa. Nakon što je testiranje dovršeno, kod se dodaje u repozitorij za implementaciju poslužitelja uživo na vremenskoj traci ciklusa sprinta.
Praćenje uživo
Nakon što se kod objavi na našem proizvodnom poslužitelju, naš QA tim pokreće automatizirane testove, ručni test i koristi vanjski softver za praćenje naših usluga. Vanjski softver radi 24/7 s upozorenjima koja se automatski šalju našem razvojnom timu u slučaju problema. Ta se upozorenja nadziru 24 sata dnevno, 7 dana u tjednu i šalju se našem timu putem tekstualne poruke i e-pošte.
Vatrozid
Bookafy se nalazi na Azure poslužiteljima i koristi Azures Next Generation Firewall Service, koji se nalazi iza usluge Azures Web Application Gateway. Ova usluga uključuje zaštitu od stvari, kao što su SQL injekcije ili neispravni HTTP zahtjevi.
Prevencija zlonamjernog softvera i virusa
Svi naši zaposlenici rade na strojevima u vlasništvu tvrtke koji koriste anti-malware i softver za zaštitu od virusa. Naš uredski poslužitelj zaštićen je vatrozidom za zaštitu od vanjskog prodora.
Skeniranje
Naš interni poslužitelj, strojevi zaposlenika i hosting podataka neprestano pokreću softver za skeniranje ranjivosti.
Zaštita vjerodajnica za prijavu
Za naše vanjske aplikacije koje rade s Bookafyjem, Bookafy ne pohranjuje/prikuplja lozinke. Sva provjera autentičnosti Bookafyja koristi sigurnu Oath vezu za dopuštanje pristupa Bookafyju sa sigurnim tokenom koji se koristi za svaki pojedinačni korisnički račun. Primjeri uključuju: Zoom, Stripe, Authorize.net, Google kalendar, Exchange, Office365, Outlook.com, Icloud, mailchimp i više. Sve 3 dio
Prekid veze
Kada je račun otkazan ili smanjen na besplatni, sve veze Oatha automatski se prekidaju s Bookafyjem na aplikacije trećih strana.
API pristup
Sav pristup podacima putem Bookafyja izričito je odobren putem mehanizma autorizacije OAuth koji dodjeljuje pristupne tokene koji se mogu opozvati u bilo kojem trenutku.
GDPR
Uključili smo GDPR standarde u podatkovne prakse kako bismo bili sigurni da su svi naši korisnici podržani i u skladu s GDPR-om. Saznajte više o Bookafy GDPR .
FAQ o sigurnosti
Jesu li se u proteklih 5 godina dogodila značajna kršenja sigurnosti ili incidenti?
Ne.
Jesu li povlašteni i generički pristup računu strogo kontrolirani i pregledani barem povremeno
godišnje?
Da.
Koji se podaci prikupljaju o korisniku?
Softver prikuplja podatke o vlasniku računa i krajnjem kupcu. Oba podataka o postavkama temelje se na podacima koje je dostavio vlasnik računa i krajnji korisnik. Ne prikupljamo nikakve podatke osim podataka koje dobrovoljno daje krajnji korisnik ili vlasnik računa.
Vlasnik računa može izraditi tekstualna polja za prikupljanje različitih podatkovnih točaka prilikom rezervacije, ali korisnik je potpuno svjestan da se podaci prikupljaju jer bi krajnji korisnik upisivao podatke u polja. Krajnji korisnik ili vlasnik računa može zatražiti brisanje podataka u bilo kojem trenutku slanjem e-pošte na adresu data@bookafy.com
U koje svrhe aplikacija koristi podatke?
Podaci aplikacije koriste se samo za transakciju za koju se krajnji korisnik prijavio. Ako koristite aplikaciju treće strane za prijavu putem SSO-a, poput Facebooka ili Googlea, tu vezu koristimo samo za pristup računu. Ne koristimo podatke s računa kao što su kontakti, događaji, poruke e-pošte i ne objavljujemo u vaše ime niti sudjelujemo u bilo kojoj aktivnosti unutar vašeg računa. Koristi se samo za prijavu.
Koja su prava korisnika za brisanje podataka i kako korisnik može zatražiti brisanje podataka?
Podatke prikupljene od vlasnika računa (našeg kupca) koristimo kako bismo pružili bolje iskustvo vlasniku računa. Ovo uključuje bilo koje mjesto na kojem je AO zapeo, posjećivao ga je mnogo puta, mogao imati pitanja ili grešku. Koristimo te podatke za komunikaciju s našim klijentima (vlasnikom računa) u pravo vrijeme s pravom porukom.
Za krajnjeg korisnika, kupca našeg kupca… te podatke koristimo samo radi transakcije (rezervacije) s vlasnikom računa. Tim kupcima ne reklamiramo niti koristimo njihove podatke na bilo koji drugi način. Njihovi podaci se ne prodaju niti posuđuju… oni ostaju u našem sustavu.
U slučaju AO-a i krajnjeg kupca, njihovi se podaci mogu izbrisati u bilo kojem trenutku. AO može poslati e-poruku na data@bookafy.com i zatražiti da se njihov račun i podaci uklone. Krajnji kupac može zatražiti da AO ukloni svoje podatke.
Jesu li zajednički korisnički računi zabranjeni zaposlenicima? Što je s klijentima?
Zaposlenici imaju svoje namjenske račune. Klijenti također imaju svoje namjenske račune s pristupom samo svojim podacima.
Zahtijeva li konstrukcija vaše lozinke višestruke zahtjeve za jačinom, tj. jake lozinke i koristi li se slučajnim nizom alfa, numeričkih i posebnih znakova?
Zahtijevamo minimalno 6 znakova u lozinkama na osnovnoj razini upravljanja lozinkama. Opcije politike lozinki OWASP i NIST SP 800-63-3 mogle bi biti dostupne sljedeće godine.
Je li granica mreže zaštićena vatrozidom s ulaznim i izlaznim filtriranjem?
Da. Sve vatrozide i značajke za uravnoteženje opterećenja pružaju Azure i Amazon AWS.
Jesu li poslužitelji okrenuti prema javnosti u dobro definiranoj demilitariziranoj zoni (DMZ)?
Da, ovo je naslijeđeno od zadanog zoniranja infrastrukture Azurea, a Bookafy ima regionalne poslužitelje raširene po cijelom svijetu.
Koristi li se interna segmentacija mreže za daljnju izolaciju osjetljivih proizvodnih resursa kao što su PCI podaci?
PCI podaci se ne pohranjuju jer ih samo uokviruje Bookafy od dobavljača treće strane kao što su Stripe i Authorize.net. Bookafy ne prikuplja niti pohranjuje podatke.
Je li detekcija ili prevencija upada u mrežu implementirana i nadzirana?
Širok spektar alata za nadzor, dopunjen obavijestima i upozorenjima koje pruža Azure, stalno je uključen. To uključuje otkrivanje upada i potvrde pristupa mreži e-poštom.
Jesu li sva stolna računala zaštićena redovito ažuriranim softverom protiv virusa, crva, špijunskog softvera i zlonamjernog koda?
Da.
Jesu li poslužitelji zaštićeni industrijskim praksama očvršćivanja? Jesu li prakse dokumentirane?
Sigurnosne usluge redovito se koriste za pružanje revizija sigurnosti sustava.
Postoji li aktivno upravljanje zakrpama dobavljača za sve operativne sustave, mrežne uređaje i aplikacije?
Da. To osigurava Azure automatski putem svoje usluge.
Jesu li sve pogreške proizvodnog sustava i sigurnosni događaji zabilježeni i sačuvani?
Dnevnici se čuvaju najmanje 1 mjesec, a neki ostaju i do 6 mjeseci, ovisno o ozbiljnosti i potrebnim radnjama.
Pregledavaju li se sigurnosni događaji i podaci dnevnika redovito?
Da. Dnevnici se pregledavaju dnevno, tjedno i mjesečno – ovisno o prirodi događaja dnevnika.
Postoji li dokumentirani program zaštite privatnosti sa zaštitnim mjerama koje osiguravaju zaštitu povjerljivih podataka klijenta?
Da.
Postoji li postupak za obavještavanje klijenata ako dođe do povrede privatnosti?
Da.
Pohranjujete li, obrađujete, prenosite (tj. “rukujete”) podacima koji mogu identificirati osobu (PII)?
Da.
U kojoj se zemlji ili zemljama pohranjuju PII?
Većina naših PII podataka pohranjena je u SAD-u. Međutim, u mogućnosti smo pohraniti podatke o računima za naše poslovne korisnike u određenom regionalnom centru. Primjer. Australska organizacija mogla bi odabrati da se njihovi podaci pohranjuju na našoj lokaciji Canberra Azure. Ili europske zemlje mogu pohraniti u europski podatkovni centar.
Jesu li zapisnici sustava zaštićeni od mijenjanja i uništavanja?
To osigurava Azure i sigurnosno kopira na Dropbox Cloud Storage.
Jesu li granične i VLAN ulazne točke zaštićene zaštitom od upada i uređajima za otkrivanje koji daju upozorenja kada su napadnuti?
Da. Te su usluge uključene u naš Azure vatrozid koji štiti od upada i šalje automatizirana upozorenja našem razvojnom timu.
Jesu li zapisnici i događaji u korelaciji s alatom koji daje upozorenja o napadu u tijeku?
Da, naša sigurnosna usluga uključuje bilježenje i upozorenja o napadima u stvarnom vremenu.
Kako se podaci odvajaju od drugih klijenata unutar rješenja, uključujući umrežavanje, front-end, back-end pohranu i sigurnosne kopije?
Svaki račun klijenta logički je odvojen od ostalih klijenata, upotrebom potrebnog trajnog identifikatora stanara na svim zapisima baze podataka.
Dodatno, sav aplikacijski kod zahtijeva ovaj identifikator stanara za sve operacije – i čitanje i pisanje. Automatizirani režim testiranja također je uspostavljen kako bi se zaštitile promjene koda od regresija i moguće kontaminacije podataka među zakupcima.
Identifikator stanara je “čvrsto povezan” sa svakim korisničkim računom i logički se provodi putem fiksnih klauzula “WHERE” na upite baze podataka i ekvivalentne mjere za pristup datotekama. Korisnik platforme ne može promijeniti ili na neki drugi način prekinuti vezu svoje sesije ili računa s ovim identifikatorom stanara. Stoga ne postoji logična mogućnost da korisnik ima autorizaciju za prijavu pod drugim identifikatorom stanara. Čak i kad bi pokušali pristupiti stranicama koristeći drugi ID stanara, sustav bi odbio zahtjev jer korisnički račun nije registriran na traženi ID stanara.
Imate li plan odgovora na incident?
Da, održava se “živi dokument” koji opisuje odgovor na katastrofe i incidente
popise za provjeru, podatke za kontakt i ključne mogućnosti sustava za razumijevanje i reagiranje na incidente.
Koja je razina zaštite mreže implementirana?
Koristimo Azures Web Application gateway (load balancer) i Next Generation Firewall za zaštitu naše mreže virtualnih strojeva koji rade na Azure Cloudu.
Pruža li platforma izvješća za mjerenje kvalitete usluge (QOS) (iskorištenost resursa, propusnost, dostupnost itd.)?
Takvi se podaci ne daju klijentima, osim dostupnosti i vremena odgovora prema našoj stranici statusa na status.pingdom.com
Testira li se program oporavka od katastrofe barem jednom godišnje?
Da, provjere oporavka i provode se i testiraju jednom godišnje.
Što je ciljno vrijeme oporavka (RTO) i ciljna točka oporavka (RPO) sustava?
RTO je 4 sata, s RPO 1 sat.
Nudite li planove sigurnosnog kopiranja i vraćanja za pojedinačne klijente?
Svi aspekti su multi-tenantirani, tako da se sigurnosne kopije rade za cijelu bazu klijenata. Potpune sigurnosne kopije datoteka pokreću se svaka 24 sata i imaju koristi od sigurnosnih kopija Azure baze podataka u određenom trenutku svakih 5 minuta. Sigurnosne kopije pohranjuju se na Dropbox Cloud kao i na redundantnim Azure virtualnim strojevima.
Koje je maksimalno vrijeme čuvanja sigurnosnih kopija?
Sigurnosne kopije baze podataka u određenom trenutku čuvaju se 30 dana, s općim sigurnosnim kopijama datoteka najmanje 90 dana.
Koje je očekivano vrijeme obrade za vraćanje podataka?
Svako vraćanje klijenta u bilo kojem scenariju bez katastrofe mora se zatražiti i dogovoriti s nama. Obrada je između 1 i 2 radna dana.
Može li se račun jednog entiteta vratiti bez utjecaja na cijelu platformu?
Ako klijent zahtijeva restauraciju određenog zapisa ili artefakta, to se može obaviti putem interneta prema zahtjevu i rad se naplaćuje. Nema utjecaja na platformu ili račun klijenta.
Je li osigurana visoka dostupnost – i. e. kada jedna instanca poslužitelja postane nedostupna, postaje li druga dostupna?
Višestruke instance poslužitelja rade na svim razinama sustava kroz Azureov virtualni stroj, s Web Application Gatewayom koji upravlja balansiranjem opterećenja. Kvar instance poslužitelja unutar podatkovnog centra rješava Azure WAG, pri čemu se problematična instanca reciklira i/ili uklanja i zamjenjuje novom instancom.
Jesu li podaci pohranjeni i dostupni na drugoj lokaciji (podatkovni centar) kako bi se ispunili zahtjevi za oporavak od katastrofe?
Da. Svi se podaci repliciraju u drugi podatkovni centar koji se razlikuje po geografskoj lokaciji kao i po rezervnim podacima pohranjenim na Dropbox Cloud Storage. .
Je li failover proces aktivan/aktivan, automatizirani prijelazni proces?
Kvar instance poslužitelja unutar primarnog podatkovnog centra rješavaju Azure WAG balanseri opterećenja, pri čemu se problematična instanca reciklira i/ili uklanja i zamjenjuje novom instancom.
U slučaju da cijeli podatkovni centar ima kritični kvar, tada je prebacivanje na sekundarni centar ručni proces, budući da prvo moramo izvršiti potpunu procjenu problema kako bismo bili sigurni da nema jednostavnih rješenja za zadržavanje postojećeg primarnog prisutnost centra dostupna. Ako se utvrdi da je potreban prelazak u sekundarni centar, prebacivanje će se pokrenuti ručno kako bi se ispunili ciljni ciljevi oporavka.
