Безпека ваших даних
Рахунки, банківські рахунки та дані працівників потребують належного захисту. Ось як ми це робимо.
Дані в Європейському Союзі
Застосунок працює в центрі обробки даних Hetzner у Гельсінкі, який має сертифікат ISO/IEC 27001. Резервні копії зберігаються в іншого постачальника, OVHcloud, у Варшаві.
Шифрування
З’єднання із застосунком завжди зашифроване (HTTPS). У базі ми додатково шифруємо токени KSeF, деталі банківських операцій, файли переказів, завантажені рахунки та дані працівників. Ключа немає ні в базі, ні в резервних копіях.
Резервна копія щоночі
Щоночі ми робимо зашифровану резервну копію в іншому центрі обробки даних, в іншого постачальника. Відновлення даних із копії перевірене.
Безпечний вхід
Паролі ми зберігаємо як хеші Argon2. Новий пароль, який колись витік з іншого сайту, ми не приймемо, а якщо ви входите з таким паролем, попросимо його змінити. Ми перевіряємо це в базі Pwned Passwords сервісу Have I Been Pwned, надсилаючи лише перші 5 символів хешу SHA-1 пароля, з яких його неможливо відновити. Сам пароль ніколи не залишає нашого сервера. Після кількох невдалих спроб обліковий запис блокується на 15 хвилин. Сеанс завершується після години бездіяльності, а одним натисканням ви виходите на всіх пристроях. У налаштуваннях облікового запису можна увімкнути двоетапний вхід (2FA): ключ доступу (passkey), тобто відбиток пальця, обличчя або PIN-код, які ви вже використовуєте на телефоні чи комп’ютері, без встановлення застосунку, або код із застосунку-автентифікатора в телефоні, одноразові резервні коди на випадок втрати телефона і довірені пристрої, які 30 днів не питають коду.
Кожен бачить лише своє
Доступ залежить від ролі в кожній компанії. Входи, експорти та завантажені файли переказів потрапляють до журналу безпеки, який бачать власник і бухгалтерія компанії.
Гроші залишаються у вашому банку
Ми не просимо доступу до банківського рахунку. Księguś готує файл переказів, а надсилаєте його ви самі, у своєму банку.
Актуальні бібліотеки
Під час кожної зміни коду й раз на тиждень ми автоматично перевіряємо всі бібліотеки, які використовуємо, на відомі вразливості.
Ваші права за GDPR
У налаштуваннях облікового запису ви можете завантажити свої дані та видалити обліковий запис. Дані, які ми більше не мусимо зберігати, видаляються автоматично.
Хто обробляє дані від нашого імені
Ми користуємося лише постачальниками з Європейського Союзу, і дані залишаються в ЄС.
| Постачальник | Для чого | Де |
|---|---|---|
| Hetzner | Сервер застосунку та база даних | Фінляндія |
| OVHcloud | Зашифровані резервні копії | Польща |
| Brevo | Надсилання листів із застосунку | ЄС |
Сертифікат ISO/IEC 27001 належить Hetzner і стосується його центрів обробки даних, а не самого застосунку Księguś.
Повідомити про проблему безпеки
Якщо ви знайшли вразливість у Księguś, напишіть на kontakt@twojksiegus.pl. Будь ласка, не публікуйте подробиць, доки ми її не виправимо. Контактні дані також є у файлі security.txt.