Utilitzeu Bookafy amb confiança i uneix-te a més de 15.000 empreses que confien en Bookafy a tot el món.
Quan es connecta a una aplicació de tercers (icloud, google cal, outlook, exchange), Bookafy només importa la línia d’assumpte del calendari, la data, l’hora i la durada per bloquejar l’hora a Bookafy per evitar reserves dobles. No importem, emmagatzemem ni guardem cap informació personal o identificable.
Bookafy no accedeix a cap informació del vostre calendari connectat o compte de correu electrònic, inclosos els contactes, l’adreça de correu electrònic o els correus electrònics. Les adreces de correu electrònic es poden utilitzar per autenticar la propietat del compte a Bookafy, però no recollim cap informació relacionada amb les vostres dades personals.
Totes les integracions de tercers es fan mitjançant l’autenticació Oath. Això permet a Bookafy connectar-se amb proveïdors de tercers sense veure, recopilar o emmagatzemar els vostres noms d’usuari o contrasenyes. Bookafy es connecta mitjançant un codi d’autenticació que es proporciona quan us connecteu mitjançant Oath.
Azure
Bookafy està allotjat a Azure. Podeu llegir sobre les disposicions de seguretat exhaustives d’Azure i AWS al seu lloc.
Bookafy aprofita totes les funcions de seguretat, privadesa i redundància integrades a la plataforma. Azure supervisa contínuament els seus centres de dades per detectar riscos i se sotmet a avaluacions per garantir el compliment dels estàndards del sector. Les operacions del centre de dades d’Azure s’han acreditat sota: ISO 27001, SOC 1 i SOC 2/SSAE 16/ISAE 3402 (anteriorment SAS 70 Tipus II), PCI Nivell 1, FISMA Moderat i Sarbanes-Oxley (SOX).
AWS
Bookafy utilitza AWS CDN per a imatges. Bookafy aprofita totes les funcions de seguretat, privadesa i redundància integrades a la plataforma. AWS supervisa contínuament els seus centres de dades per detectar riscos i se sotmet a avaluacions per garantir el compliment dels estàndards del sector. Les operacions del centre de dades d’AW estan acreditades sota: ISO 27001, SOC 1 i SOC 2/SSAE 16/ISAE 3402 (anteriorment SAS 70 tipus II), PCI Nivell 1, FISMA Moderat i Sarbanes-Oxley (SOX).
Còpies de seguretat
Bookafy fa una còpia de seguretat de totes les dades i la base de codi diàriament en servidors redundants en 2 geografies diferents. A més, les còpies de seguretat de codi i dades estan allotjades a Dropbox Cloud Storage.
Xifratge
Les dades que passen per Bookafy estan xifrades, tant en trànsit com en repòs. Totes les connexions del navegador a la plataforma Bookafy es xifren en trànsit mitjançant TLS SHA-256 amb xifratge RSA. Bookafy requereix HTTPS per a tots els serveis.
Per a les dades sensibles on no es necessiten els valors originals, com ara les nostres pròpies contrasenyes, fem un hash de les dades mitjançant l’algoritme BCrypt. Quan es necessiten els valors originals, com ara els detalls d’autenticació per accedir als calendaris, els valors es xifren mitjançant l’algorisme AES-256-GCM mitjançant una sal única generada aleatòriament per a cada conjunt de dades sensibles.
Transferència segura als servidors
Bookafy ha emprat un servei de seguretat de dades per autenticar les transferències de dades entre el nostre equip de desenvolupament i les màquines virtuals. Totes les dades estan xifrades i protegides.
Compartició de dades i accés de tercers
Bookafy no ven dades dels clients a ningú. No compartim dades amb finalitats de màrqueting multicanal. Bookafy no concedeix accés a cap proveïdor de tercers tret que es connecti al compte mitjançant l’autenticació Oath o la clau API. Tots dos es poden desconnectar en qualsevol moment des de Bookafy o des de l’aplicació de tercers. En cas contrari, no hi ha tercers que rebin dades, dades venudes o compartides per qualsevol motiu.
Comprovacions d’antecedents
Tots els empleats de Bookafy passen per una revisió exhaustiva dels antecedents abans de contractar-los.
Formació
Tot i que conservem una quantitat mínima de dades dels clients i limitem l’accés intern segons la necessitat de saber-ho, tots els empleats estan formats en seguretat i tractament de dades per garantir que compleixen el nostre estricte compromís amb la privadesa i la seguretat de les vostres dades.
Confidencialitat
Tots els empleats han signat un acord de confidencialitat i un acord de confidencialitat abans de la contractació.
Accés a les dades
Només els empleats autoritzats tenen accés a la nostra infraestructura de producció i l’ús de gestors de contrasenyes per garantir contrasenyes segures i l’autorització de dos factors quan estigui disponible és obligatori a tota l’empresa.
Desastre
Tenim plans de continuïtat del negoci i recuperació de desastres que repliquen la nostra base de dades i fan còpies de seguretat de les dades en diversos servidors en núvol en diferents geografies i centres de dades per garantir una alta disponibilitat en cas de desastre.
Fiabilitat
Bookafy té un historial de temps d’activitat del 99,3%
Noves característiques
Bookafy desenvolupa noves funcions en sprints de 3 setmanes. Els nostres desplegaments comencen en un servidor de desenvolupament, després es posen en escena i després per viure. El desplegament del servidor en directe es produeix diumenge al matí PST.
QA i proves
Bookafy realitza proves automatitzades juntament amb proves manuals abans de cada desplegament.
Control de qualitat del servidor de desenvolupament i de prova
Abans que Bookafy s’alliberi als servidors en directe, el codi es desplega als servidors de desenvolupament i de preparació durant el procés de control de qualitat. Un cop finalitzada la prova, el codi s’afegeix a un repositori per al desplegament del servidor en directe a la línia de temps del cicle d’esprint.
Seguiment en directe
Una vegada que el codi s’allibera al nostre servidor de producció, el nostre equip de control de qualitat realitza proves automatitzades, proves manuals i utilitza programari extern per supervisar els nostres serveis. El programari extern s’executa les 24 hores del dia, els 7 dies de la setmana, amb alertes que s’envien automàticament al nostre equip de desenvolupament amb qualsevol problema. Aquestes alertes es controlen les 24 hores del dia i s’envien per missatge de text i correu electrònic al nostre equip.
Tallafoc
Bookafy està allotjat als servidors Azure i utilitza el servei de tallafocs de nova generació d’Azure, que es troba darrere del servei de passarel·la d’aplicacions web d’Azure. Aquest servei inclou protecció contra coses, com ara injeccions SQL o sol·licituds HTTP amb format incorrecte.
Prevenció de programari maliciós i virus
Tots els nostres empleats treballen des de màquines propietat de l’empresa que executen programari de protecció contra programari maliciós i virus. El nostre servidor d’oficina està protegit per un tallafoc per a la protecció de penetració externa.
Escaneig
El nostre servidor intern, les màquines dels empleats i l’allotjament de dades executen contínuament programari d’escaneig de vulnerabilitats.
Protecció de credencials d’inici de sessió
Per a les nostres aplicacions externes que funcionen amb Bookafy, Bookafy no emmagatzema ni recull contrasenyes. Tota l’autenticació de Bookafy utilitza una connexió segura Oath per concedir accés a Bookafy amb un testimoni segur utilitzat per al compte de cada usuari individual. Alguns exemples inclouen: Zoom, Stripe, Authorize.net, Google calendar, Exchange, Office365, Outlook.com, Icloud, mailchimp i molt més. Tot 3a part
Desconnectant
Quan un compte es cancel·la o es redueix a gratuït, totes les connexions Oath es desconnecten automàticament de Bookafy a les teves aplicacions de tercers.
Accés a l’API
Tot l’accés a les dades mitjançant Bookafy s’aprova explícitament mitjançant un mecanisme d’autorització OAuth que atorga testimonis d’accés que es poden revocar en qualsevol moment.
GDPR
Hem incorporat els estàndards GDPR a les pràctiques de dades per assegurar-nos que tots els nostres clients tenen suport i compleixen amb GDPR. Més informació sobre Bookafy GDPR .
Preguntes freqüents sobre seguretat
S’han produït incidents o infraccions de seguretat importants en els darrers 5 anys?
No.
L’accés al compte genèric i privilegiat està estretament controlat i revisat, almenys periòdicament
anualment?
Sí.
Quines dades s’estan recopilant sobre l’usuari?
El programari recopila dades sobre el propietari del compte i el client final. Ambdues dades de configuració es basen en les dades proporcionades pel propietari del compte i el client final. No recollim cap dada fora de les dades voluntàries proporcionades per l’usuari final o el propietari del compte.
El propietari del compte pot crear camps de text per recollir diferents punts de dades en fer la reserva, però el client és plenament conscient de les dades que s’estan recopilant, ja que l’usuari final escriuria les dades als camps. L’usuari final o el propietari del compte pot sol·licitar una supressió de dades en qualsevol moment enviant un correu electrònic a data@bookafy.com
Amb quines finalitats l’aplicació utilitza les dades?
Les dades de l’aplicació només s’utilitzen per a la transacció a la qual s’ha registrat el client final. Si utilitzeu una aplicació de tercers per iniciar sessió amb SSO, com ara Facebook o Google, només fem servir aquesta connexió per accedir al compte. No fem servir dades del compte, com ara contactes, esdeveniments, missatges de correu electrònic i no publiquem en nom vostre ni participem en cap activitat dins del vostre compte. Només s’utilitza per iniciar sessió.
Quins són els drets dels usuaris per a la supressió de dades i com pot sol·licitar l’usuari que s’eliminin les dades?
Utilitzem les dades recollides del propietari del compte (el nostre client) per oferir una millor experiència al propietari del compte. Això inclou qualsevol lloc on l’AO s’hagi enganxat, visitat moltes vegades, on pugui tenir preguntes o un error. Utilitzem aquestes dades per comunicar-nos amb els nostres clients (propietari del compte) en el moment adequat amb el missatge correcte.
Per a l’usuari final, el client del nostre client… només fem servir aquestes dades per a la transacció (reserva) amb el propietari del compte. No comercialitzem a aquests clients ni fem servir les seves dades de cap altra manera. Les seves dades no es venen ni es prenen en préstec… es queden al nostre sistema.
Tant en el cas de l’AO com del client final, les seves dades es poden esborrar en qualsevol moment. L’AO pot enviar un correu electrònic a data@bookafy.com i sol·licitar que s’eliminin el seu compte i les seves dades. El client final pot sol·licitar que les seves dades siguin eliminades per l’AO.
Els comptes d’usuari compartits estan prohibits per als empleats? Què passa amb els clients?
Els empleats tenen els seus propis comptes dedicats. Els clients també tenen els seus propis comptes dedicats, només amb accés a les seves dades.
La construcció de la vostra contrasenya requereix múltiples requisits de seguretat, és a dir, contrasenyes fortes i utilitza una seqüència aleatòria de caràcters alfa, numèrics i especials?
Necessitem un mínim de 6 caràcters en contrasenyes al nivell bàsic de gestió de contrasenyes. Les opcions de política de contrasenyes OWASP i NIST SP 800-63-3 poden estar disponibles l’any que ve.
El límit de la xarxa està protegit amb un tallafoc amb filtratge d’entrada i sortida?
Sí. Tots els tallafocs i les instal·lacions d’equilibri de càrrega els proporcionen Azure i Amazon AWS.
Els servidors públics estan en una zona desmilitaritzada (DMZ) ben definida?
Sí, això s’hereta de la zonificació d’infraestructura predeterminada d’Azure i Bookafy té servidors regionals repartits per tot el món.
S’utilitza la segmentació de la xarxa interna per aïllar encara més els recursos de producció sensibles, com ara les dades PCI?
Les dades PCI no s’emmagatzemen, ja que només estan emmarcades per Bookafy de proveïdors de tercers com Stripe i Authorize.net. Bookafy no recopila ni emmagatzema dades.
S’ha implementat i supervisat la detecció o prevenció d’intrusions a la xarxa?
Un ampli espectre d’eines de supervisió, complementades amb notificacions i alertes proporcionades per Azure, es mantenen constantment activades. Això inclou la detecció d’intrusions i les confirmacions per correu electrònic de l’accés a la xarxa.
Tots els ordinadors de sobretaula estan protegits mitjançant virus, cucs, programari espia i programari de codi maliciós actualitzats periòdicament?
Sí.
Els servidors estan protegits mitjançant pràctiques d’enduriment de la indústria? Les pràctiques estan documentades?
Els serveis de seguretat s’utilitzen regularment per oferir auditories de seguretat del sistema.
Hi ha una gestió activa de pedaços de proveïdors per a tots els sistemes operatius, dispositius de xarxa i aplicacions?
Sí. Això ho proporciona Azure automàticament mitjançant el seu servei.
Es registren i es conserven tots els errors del sistema de producció i els esdeveniments de seguretat?
Els registres es conserven durant un mínim d’1 mes, i alguns romanen fins a 6 mesos, depenent de la gravetat i de l’acció requerida.
Els esdeveniments de seguretat i les dades de registre es revisen regularment?
Sí. Els registres es revisen diàriament, setmanalment i mensualment, depenent de la naturalesa dels esdeveniments de registre.
Hi ha un programa de privadesa documentat amb garanties per garantir la protecció de la informació confidencial del client?
Sí.
Hi ha un procés establert per notificar als clients si es produeix alguna violació de la privadesa?
Sí.
Emmagatzemeu, processeu, transmeteu (és a dir, “manegeu”) informació d’identificació personal (PII)?
Sí.
A quin país o països s’emmagatzema la PII?
La majoria de les nostres dades de PII s’emmagatzemen als EUA. Tanmateix, podem emmagatzemar les dades del compte dels nostres clients empresarials en un centre regional específic. Exemple. L’organització australiana podria optar per emmagatzemar les seves dades a la nostra ubicació de Canberra Azure. O els països europeus poden emmagatzemar al centre de dades europeu.
Els registres del sistema estan protegits de l’alteració i la destrucció?
Això el proporciona Azure i es fa una còpia de seguretat a Dropbox Cloud Storage.
Els punts d’entrada de límit i VLAN estan protegits per dispositius de protecció i detecció d’intrusions que proporcionen alertes quan s’atac?
Sí. Aquests serveis s’inclouen al nostre tallafocs Azure que protegeix contra intrusions i envia alertes automatitzades al nostre equip de desenvolupament.
Els registres i els esdeveniments estan correlacionats amb una eina que proporciona avisos d’un atac en curs?
Sí, el nostre servei de seguretat inclou registre i alertes d’atacs en temps real.
Com es separen les dades d’altres clients dins de la solució, incloses les xarxes, les interfícies, l’emmagatzematge de fons i les còpies de seguretat?
Cada compte de client està separat lògicament d’altres clients mitjançant l’ús d’un identificador d’inquilí persistent obligatori a tots els registres de la base de dades.
A més, tot el codi d’aplicació requereix aquest identificador d’inquilí per a totes les operacions, tant de lectura com d’escriptura. També hi ha un règim de proves automatitzades per protegir els canvis de codi de regressió i possible contaminació de dades entre arrendataris.
L’identificador de l’inquilí està “vinculat dur” a cada compte d’usuari i s’aplica lògicament mitjançant clàusules fixes “ON” a les consultes de bases de dades i mesures equivalents per a l’accés als fitxers. Un usuari de la plataforma no pot canviar ni desenllaçar la seva sessió o compte d’aquest identificador d’inquilí. Per tant, no hi ha cap possibilitat lògica que un usuari tingui autorització d’inici de sessió amb un identificador d’inquilí diferent. Fins i tot si intentessin accedir a les pàgines amb un ID d’inquilí diferent, el sistema rebutjaria la sol·licitud perquè el compte d’usuari no estava registrat a l’ID d’inquilí sol·licitat.
Teniu un pla de resposta a incidents?
Sí, es manté un “document viu” que descriu la resposta a desastres i incidents
llistes de verificació, dades de contacte i instal·lacions clau del sistema per comprendre i respondre a les incidències.
Quin nivell de protecció de xarxa s’implementa?
Utilitzem la passarel·la d’aplicacions web d’Azure (equilibrador de càrrega) i el tallafocs de nova generació per protegir la nostra xarxa de màquines virtuals que s’executen a Azure Cloud.
La plataforma proporciona informes per mesurar el rendiment de la qualitat del servei (QOS) (utilització de recursos, rendiment, disponibilitat, etc.)?
Aquestes mètriques no es proporcionen als clients, a part de la disponibilitat i els temps de resposta segons la nostra pàgina d’estat a status.pingdom.com
El programa de recuperació de desastres es prova almenys una vegada a l’any?
Sí, controls de recuperació i realitzats i provats anualment.
Quin és l’objectiu de temps de recuperació (RTO) i l’objectiu de punt de recuperació (RPO) del sistema?
El RTO és de 4 hores, amb RPO d’1 hora.
Proporcioneu plans de còpia de seguretat i restauració per a clients individuals?
Tots els aspectes són multiarrendataris, de manera que les còpies de seguretat es fan a tota la base de clients. Les còpies de seguretat de fitxers completes s’executen cada 24 hores i es beneficien de les còpies de seguretat puntuals de la base de dades d’Azure cada 5 minuts. Les còpies de seguretat s’emmagatzemen a Dropbox Cloud, així com a màquines virtuals d’Azure redundants.
Quin és el temps màxim que es conserven les còpies de seguretat?
Les còpies de seguretat puntuals de la base de dades es conserven durant 30 dies, amb còpies de seguretat de fitxers generals durant un mínim de 90 dies.
Quin és el temps de resposta previst per a una restauració de dades?
Qualsevol restauració del client en qualsevol escenari que no sigui un desastre s’ha de sol·licitar i programar amb nosaltres. El termini d’execució és d’entre 1 i 2 dies laborables.
Es pot restaurar un sol compte d’entitat sense afectar tota la plataforma?
Si un client requereix la restauració d’un registre o artefacte específic, es pot realitzar en línia mitjançant una sol·licitud per sol·licitud i és un treball amb càrrec. No hi ha cap impacte a la plataforma o al compte del client.
S’ofereix alta disponibilitat: i. e. quan una instància del servidor no està disponible, n’hi ha una altra?
S’estan executant diverses instàncies de servidor a tots els nivells del sistema a través de la màquina virtual d’Azure, amb la passarel·la d’aplicacions web que gestiona l’equilibri de càrrega. Azure WAG gestiona la fallada d’una instància de servidor dins del centre de dades, amb la instància problema reciclada i/o eliminada i substituïda per una nova instància.
Les dades s’emmagatzemen i estan disponibles en una altra ubicació (centre de dades) per complir els requisits de recuperació de desastres?
Sí. Totes les dades es reprodueixen en un segon centre de dades que difereix per la ubicació geogràfica, així com per tenir dades de còpia de seguretat emmagatzemades a Dropbox Cloud Storage. .
El procés de commutació per error és un procés de canvi automàtic actiu/actiu?
Els equilibradors de càrrega d’Azure WAG gestionen els errors d’una instància de servidor dins del centre de dades principal, amb la instància problema reciclada i/o eliminada i substituïda per una nova instància.
En el cas que tot el centre de dades tingués una fallada crítica, el canvi al centre secundari és un procés manual, ja que primer hem de realitzar una avaluació completa del problema per assegurar-nos que no hi ha solucions senzilles per mantenir el principal existent. presència del centre disponible. Si es determina que cal traslladar-se al centre secundari, s’iniciarà el canvi manualment per assolir els objectius de recuperació.
