Folosiți Bookafy cu încredere și alăturați-vă celor peste 15.000 de afaceri din întreaga lume care au încredere în Bookafy.
Atunci când este conectat la o aplicație terță parte (icloud, google cal, outlook, exchange), Bookafy importă doar subiectul calendarului, data, ora și durata, pentru a bloca timpul în Bookafy și a preveni rezervările duble. Nu importăm, nu stocăm și nu păstrăm nicio informație personală sau identificabilă.
Bookafy nu accesează nicio informație din calendarul dvs. conectat sau din contul de e-mail, inclusiv contacte, adrese de e-mail sau e-mailuri. Adresele de e-mail pot fi folosite pentru a autentifica proprietatea contului în Bookafy, dar nu colectăm nicio informație legată de datele dumneavoastră personale.
Toate integrările cu terțe părți se fac prin autentificarea Oath. Acest lucru permite Bookafy să se conecteze cu furnizorii terți fără a vedea, colecta sau stoca numele de utilizator sau parolele dumneavoastră. Bookafy este conectat prin intermediul unui cod de autentificare care este furnizat atunci când vă conectați prin Oath.
Azure
Bookafy este găzduit pe Azure. Puteți citi despre prevederile de securitate amănunțite ale Azure și AWS pe site-ul acestora.
Bookafy valorifică toate caracteristicile de securitate, confidențialitate și redundanță integrate în platformă. Azure își monitorizează în permanență centrele de date în ceea ce privește riscurile și se supune unor evaluări pentru a asigura conformitatea cu standardele industriei. Operațiunile centrelor de date Azure au fost acreditate sub: ISO 27001, SOC 1 și SOC 2/SSAE 16/ISAE 3402 (anterior SAS 70 Tip II), PCI Nivel 1, FISMA Moderat și Sarbanes-Oxley (SOX).
AWS
Bookafy utilizează AWS CDN pentru imagini. Bookafy valorifică toate caracteristicile de securitate, confidențialitate și redundanță integrate în platformă. AWS își monitorizează în permanență centrele de date în ceea ce privește riscurile și se supune unor evaluări pentru a asigura conformitatea cu standardele din industrie. Operațiunile centrelor de date ale AW au fost acreditate conform: ISO 27001, SOC 1 și SOC 2/SSAE 16/ISAE 3402 (anterior SAS 70 Tip II), PCI Nivel 1, FISMA Moderat și Sarbanes-Oxley (SOX).
Copii de rezervă
Bookafy face zilnic copii de siguranță ale tuturor datelor și codurilor de bază pe servere redundante în 2 locații geografice separate. De asemenea, copiile de rezervă ale codului și datelor sunt găzduite pe Dropbox Cloud Storage.
Criptare
Datele care trec prin Bookafy sunt criptate, atât în tranzit, cât și în repaus. Toate conexiunile de la browser la platforma Bookafy sunt criptate în tranzit folosind TLS SHA-256 cu RSA Encryption. Bookafy necesită HTTPS pentru toate serviciile.
Pentru datele sensibile, pentru care nu este nevoie de valorile originale, cum ar fi propriile parole, folosim algoritmul BCrypt pentru a le hash-ui. În cazul în care sunt necesare valorile originale, cum ar fi detaliile de autentificare pentru accesarea calendarelor, valorile sunt criptate cu ajutorul algoritmului AES-256-GCM, folosind o sare unică, generată aleatoriu pentru fiecare set de date sensibile.
Transfer securizat către servere
Bookafy a angajat un serviciu de securitate a datelor pentru a autentifica transferurile de date între echipa noastră de dezvoltare și mașinile virtuale. Toate datele sunt criptate și securizate.
Partajarea datelor și accesul terților
Bookafy nu vinde datele clienților nimănui. Nu partajăm date în scopuri de marketing între canale. Bookafy nu acordă acces la niciun furnizor terț decât prin conectarea contului prin autentificarea Oath sau prin cheia API. Ambele pot fi deconectate în orice moment din Bookafy sau dintr-o aplicație terță parte. În rest, nu există părți terțe cărora să li se dea date, să li se vândă date sau să li se comunice date din orice motiv.
Verificări de fond
Toți angajații Bookafy trec printr-o verificare amănunțită a antecedentelor înainte de angajare.
Formare
Deși păstrăm o cantitate minimă de date ale clienților și limităm accesul intern pe baza principiului „nevoia de a cunoaște”, toți angajații sunt instruiți în domeniul securității și al manipulării datelor pentru a ne asigura că respectă angajamentul nostru strict față de confidențialitatea și securitatea datelor dumneavoastră.
Confidențialitate
Toți angajații au semnat un acord de confidențialitate și un acord de confidențialitate înainte de angajare.
Accesul la date
Numai angajații autorizați au acces la infrastructura noastră de producție, iar utilizarea managerilor de parole pentru a asigura parole puternice și autorizarea cu doi factori, atunci când este disponibilă, este obligatorie în întreaga companie.
Dezastru
Avem planuri de continuitate a afacerii și de recuperare în caz de dezastru, care replică baza noastră de date și face copii de rezervă ale datelor pe mai multe servere cloud din diferite zone geografice și centre de date pentru a asigura o disponibilitate ridicată în cazul unui dezastru.
Fiabilitate
Bookafy are un istoric de uptime de 99.3%.
Caracteristici noi
Bookafy dezvoltă noi caracteristici în sprinturi de 3 săptămâni. Implementările noastre încep pe un server de dezvoltare, apoi pe un server de pregătire, apoi pe un server live. Desfășurarea serverului live are loc duminică dimineața, ora României.
Asigurarea calității și testarea
Bookafy execută teste automatizate împreună cu teste manuale înainte de fiecare implementare.
Dev și Staging Server QA
Înainte ca Bookafy să fie lansat pe serverele live, codul este implementat pe serverele de pregătire și de dezvoltare în timpul procesului de control al calității. Odată ce testarea este finalizată, codul este adăugat la un depozit pentru implementarea serverului în timp real, în cadrul calendarului ciclului de sprint.
Monitorizare live
Odată ce codul este lansat pe serverul nostru de producție, echipa noastră de asigurare a calității execută teste automate, teste manuale și utilizează software extern pentru a monitoriza serviciile noastre. Software-ul extern funcționează 24 de ore din 24, 7 zile din 7, cu alerte care sunt trimise automat echipei noastre de dezvoltare în cazul în care apar probleme. Aceste alerte sunt monitorizate 24 de ore din 24, 7 zile din 7 și sunt trimise prin mesaj text și e-mail către echipa noastră.
Firewall
Bookafy este găzduit pe serverele Azure și utilizează Azures Next Generation Firewall Service, care se află în spatele serviciului Azures Web Application Gateway. Acest serviciu include protecție împotriva unor elemente precum injecțiile SQL sau cererile HTTP malformate.
Prevenirea programelor malware și a virușilor
Toți angajații noștri lucrează de pe mașini deținute de companie, pe care rulează software anti-malware și de protecție împotriva virușilor. Serverul biroului nostru este protejat de un firewall pentru protecția împotriva penetrării externe.
Scanare
Serverele noastre interne, mașinile angajaților și sistemele de găzduire a datelor rulează în permanență programe de scanare a vulnerabilităților.
Protecția credențialelor de autentificare
Pentru aplicațiile noastre externe care lucrează cu Bookafy, Bookafy nu stochează/colectează parole. Toate autentificările Bookafy utilizează o conexiune sigură Oath pentru a acorda acces la Bookafy, cu un token securizat utilizat pentru fiecare cont de utilizator individual. Printre exemple se numără: Zoom, Stripe, Authorize.net, Google calendar, Exchange, Office365, Outlook.com, Icloud, mailchimp și multe altele. Toate partea a 3-a
Deconectarea
Atunci când un cont este anulat sau redus la gratuit, toate conexiunile Oath sunt deconectate automat de la Bookafy la aplicațiile dvs. terțe.
Acces API
Tot accesul la date prin intermediul Bookafy este aprobat în mod explicit printr-un mecanism de autorizare OAuth, care acordă token-uri de acces care pot fi revocate în orice moment.
GDPR
Am încorporat standardele GDPR în practicile de date pentru a ne asigura că toți clienții noștri sunt susținuți și în conformitate cu GDPR. Aflați mai multe despre
Bookafy GDPR
.
Întrebări frecvente privind securitatea
Au avut loc încălcări sau incidente de securitate semnificative în ultimii 5 ani?
Nu.
Este accesul la conturile privilegiate și la conturile generice strict controlat și revizuit periodic, cel puțin
anual?
Da.
Ce date sunt colectate despre utilizator?
Software-ul colectează date despre proprietarul contului și despre clientul final. Ambele seturi de date se bazează pe datele furnizate de proprietarul contului și de clientul final. Nu colectăm alte date în afara celor oferite voluntar de către utilizatorul final sau proprietarul contului.
Proprietarul contului poate crea câmpuri de text pentru a colecta diferite puncte de date în momentul rezervării, dar clientul este pe deplin conștient de datele colectate, deoarece utilizatorul final va tasta datele în câmpuri. Utilizatorul final sau proprietarul contului poate solicita ștergerea datelor în orice moment, trimițând un e-mail la data@bookafy.com.
În ce scopuri utilizează aplicația datele?
Datele aplicației sunt utilizate doar pentru tranzacția pentru care clientul final s-a înscris. În cazul în care utilizați o aplicație terță pentru a vă conecta cu SSO, cum ar fi Facebook sau Google, utilizăm conexiunea respectivă doar pentru accesarea contului. Nu folosim datele din cont, cum ar fi contactele, evenimentele, mesajele de e-mail și nu postăm în numele dvs. și nu participăm la nicio activitate din contul dvs. Acesta este utilizat doar pentru conectare.
Care sunt drepturile utilizatorilor de ștergere a datelor și cum poate utilizatorul să solicite ștergerea datelor?
Utilizăm datele colectate de la proprietarul contului (clientul nostru) pentru a oferi o experiență mai bună proprietarului contului. Aceasta include orice loc în care AO a fost blocat, a fost vizitat de mai multe ori, ar putea avea întrebări sau un bug. Utilizăm aceste date pentru a comunica cu clienții noștri (proprietarul contului) la momentul potrivit, cu mesajul potrivit.
Pentru utilizatorul final, clientul clientului nostru… folosim aceste date doar în scopul tranzacției (rezervării) cu proprietarul contului. Nu comercializăm acești clienți și nu folosim datele lor în niciun alt mod. Datele lor nu sunt vândute sau împrumutate… ele rămân în sistemul nostru.
Atât în cazul AO, cât și în cazul clientului final, datele lor pot fi șterse în orice moment. AO poate trimite un e-mail la data@bookafy.com și poate solicita ca contul și datele sale să fie eliminate. Clientul final poate solicita ca datele sale să fie eliminate de către OA.
Sunt interzise conturile de utilizator partajate pentru angajați? Cum rămâne cu clienții?
Angajații au propriile lor conturi dedicate. Clienții au, de asemenea, propriile conturi dedicate, cu acces doar la datele lor.
Construcția parolei dvs. necesită cerințe de rezistență multiple, adică parole puternice și utilizează o secvență aleatorie de caractere alfa, numerice și speciale?
La nivelul de bază de gestionare a parolelor, avem nevoie de un minim de 6 caractere pentru parole. OWASP și NIST SP 800-63-3 opțiuni de politici privind parolele pot fi disponibile în anul următor.
Este granița rețelei protejată cu un firewall cu filtrare de intrare și ieșire?
Da. Toate firewall-urile și facilitățile de echilibrare a încărcăturii sunt furnizate de Azure și Amazon AWS.
Sunt serverele cu acces public într-o zonă demilitarizată (DMZ) bine definită?
Da, acest lucru este moștenit de la zonarea implicită a infrastructurii Azure, iar Bookafy are servere regionale răspândite în întreaga lume.
Este utilizată segmentarea rețelei interne pentru a izola și mai mult resursele de producție sensibile, cum ar fi datele PCI?
Datele PCI nu sunt stocate, deoarece sunt doar încadrate de Bookafy de la furnizori terți, cum ar fi Stripe și Authorize.net. Bookafy nu colectează date și nu stochează date.
Este implementată și monitorizată detectarea sau prevenirea intruziunilor în rețea?
Un spectru larg de instrumente de monitorizare, completate de notificările și alertele furnizate de Azure, rămân în permanență active. Aceasta include detectarea intruziunilor și confirmarea prin e-mail a accesului la rețea.
Sunt toate desktopurile protejate cu ajutorul unui software actualizat în mod regulat împotriva virușilor, viermilor, programelor spion și a codurilor malițioase?
Da.
Serverele sunt protejate folosind practicile de întărire din industrie? Sunt documentate practicile?
Serviciile de securitate sunt utilizate în mod regulat pentru a furniza audituri de securitate a sistemului.
Există o gestionare activă a patch-urilor furnizorului pentru toate sistemele de operare, dispozitivele de rețea și aplicațiile?
Da. Acest lucru este furnizat automat de Azure prin intermediul serviciului lor.
Sunt înregistrate și păstrate toate erorile sistemului de producție și evenimentele de securitate?
Jurnalele sunt păstrate timp de cel puțin o lună, iar unele rămân până la 6 luni, în funcție de gravitatea și de măsurile necesare.
Evenimentele de securitate și datele de jurnal sunt revizuite periodic?
Da. Jurnalele sunt revizuite zilnic, săptămânal și lunar – în funcție de natura evenimentelor din jurnal.
Există un program de confidențialitate documentat, cu măsuri de siguranță pentru a asigura protecția informațiilor confidențiale ale clienților?
Da.
Există un proces de notificare a clienților în cazul în care se produce o încălcare a confidențialității?
Da.
Stocați, procesați, transmiteți (adică „manipulați”) informații personale identificabile (PII)?
Da.
În ce țară sau țări sunt stocate informațiile de identificare personală?
Cele mai multe dintre datele noastre PII sunt stocate în SUA. Cu toate acestea, suntem în măsură să stocăm datele de cont pentru clienții noștri întreprinderi într-un anumit centru regional. Exemplu. Organizațiile australiene pot alege ca datele lor să fie stocate în locația noastră Azure din Canberra. Sau țările europene pot stoca în centre de date europene.
Sunt jurnalele de sistem protejate împotriva modificării și distrugerii?
Aceasta este furnizată de Azure și este salvată pe Dropbox Cloud Storage.
Punctele de intrare la graniță și VLAN sunt protejate de dispozitive de protecție împotriva intruziunilor și de detectare care oferă alerte în caz de atac?
Da. Aceste servicii sunt incluse în firewall-ul nostru Azure, care protejează împotriva intruziunilor și trimite alerte automate către echipa noastră de dezvoltare.
Sunt jurnalele și evenimentele corelate cu un instrument care să ofere avertismente cu privire la un atac în desfășurare?
Da, serviciul nostru de securitate include înregistrarea și alertele de atac în timp real.
Cum sunt segregate datele de alți clienți în cadrul soluției, inclusiv rețelele, front-end-urile, stocarea back-end și copiile de rezervă?
Fiecare cont de client este separat în mod logic de ceilalți clienți, prin utilizarea unui identificator persistent al chiriașului în toate înregistrările din baza de date.
În plus, tot codul aplicației are nevoie de acest identificator de chiriaș pentru toate operațiunile – atât de citire, cât și de scriere. De asemenea, există un regim de testare automată pentru a proteja modificările de cod împotriva regresiilor și a posibilei contaminări a datelor între locatari.
Identificatorul chiriașului este „legat” de fiecare cont de utilizator și este aplicat în mod logic prin intermediul clauzelor fixe „WHERE” în interogările bazelor de date și prin măsuri echivalente pentru accesul la fișiere. Un utilizator al platformei nu are posibilitatea de a schimba sau de a se decupla în alt mod de sesiunea sau de contul său de la acest identificator de chiriaș. Astfel, nu există nicio posibilitate logică ca un utilizator să aibă autorizație de conectare sub un alt identificator de chiriaș. Chiar dacă încercau să acceseze paginile folosind un alt ID de chiriaș, sistemul respingea cererea deoarece contul de utilizator nu era înregistrat la ID-ul de chiriaș solicitat.
Aveți un plan de răspuns la incidente?
Da, se păstrează un „document viu” care prezintă răspunsul la dezastre și incidente.
liste de verificare, date de contact și facilități cheie ale sistemului pentru înțelegerea și răspunsul la incidente.
Ce nivel de protecție a rețelei este implementat?
Utilizăm Azures Web Application gateway (load balancer) și Next Generation Firewall pentru a ne proteja rețeaua de mașini virtuale care rulează pe Azure Cloud.
Furnizează platforma rapoarte pentru măsurarea performanței calității serviciului (QOS) (utilizarea resurselor, randament, disponibilitate etc.)?
Astfel de măsurători nu sunt furnizate clienților, în afară de disponibilitatea și timpii de răspuns conform paginii noastre de stare pe status.pingdom.com.
Programul de recuperare în caz de dezastru este testat cel puțin o dată pe an?
Da, verificările de recuperare sunt efectuate și testate anual.
Care este obiectivul de timp de recuperare (RTO) și obiectivul de punct de recuperare (RPO) al sistemului?
RTO este de 4 ore, iar RPO este de 1 oră.
Oferiți planuri de backup și restaurare pentru clienți individuali?
Toate aspectele sunt multi-locatari, astfel încât copiile de rezervă sunt efectuate pentru întreaga bază de clienți. Copiile de rezervă complete ale fișierelor sunt efectuate la fiecare 24 de ore și beneficiază de copiile de rezervă punctuale ale bazei de date Azure, efectuate la fiecare 5 minute. Copiile de rezervă sunt stocate pe Dropbox Cloud, precum și pe mașini virtuale Azure redundante.
Care este durata maximă de păstrare a copiilor de rezervă?
Copiile de rezervă punctuale ale bazelor de date sunt păstrate timp de 30 de zile, iar copiile de rezervă generale ale fișierelor timp de cel puțin 90 de zile.
Care este timpul de execuție preconizat pentru o restaurare a datelor?
Orice restaurare a clientului în orice scenariu care nu este un dezastru trebuie să fie solicitată și programată cu noi. Termenul de livrare este între 1 și 2 zile lucrătoare.
Poate fi restaurat contul unei singure entități fără a afecta întreaga platformă?
În cazul în care un client solicită restaurarea unui anumit document sau artefact, aceasta poate fi efectuată online, la cerere, și este o activitate plătibilă. Nu există niciun impact asupra platformei sau asupra contului clientului.
Este asigurată disponibilitatea ridicată – i. e. în cazul în care o instanță de server devine indisponibilă, o alta devine disponibilă?
Mai multe instanțe de servere rulează la toate nivelurile de sistem prin intermediul mașinii virtuale Azure, Web Application Gateway asigurând echilibrarea sarcinii. Eșecul unei instanțe de server în cadrul centrului de date este gestionat de Azure WAG, instanța cu probleme fiind reciclată și/sau eliminată și înlocuită cu o nouă instanță.
Sunt datele stocate și disponibile într-o altă locație (centru de date) pentru a îndeplini cerințele de recuperare în caz de dezastru?
Da. Toate datele sunt replicate într-un al doilea centru de date, care diferă în funcție de locația geografică, precum și de faptul că datele de rezervă sunt stocate pe Dropbox Cloud Storage. .
Este procesul de failover un proces de comutare activ/activ, automat?
Eșecul unei instanțe de server în cadrul centrului de date primar este gestionat de către echilibrul de sarcină Azure WAG, instanța cu probleme fiind reciclată și/sau eliminată și înlocuită cu o nouă instanță.
În cazul în care întregul centru de date ar suferi o defecțiune critică, atunci trecerea la centrul secundar este un proces manual, deoarece trebuie să efectuăm mai întâi o evaluare completă a problemei pentru a ne asigura că nu există soluții simple pentru a menține disponibilă prezența centrului primar existent. În cazul în care se stabilește că este necesară o mutare la centrul secundar, atunci comutarea va fi inițiată manual pentru a îndeplini obiectivele de recuperare.
