Securitate și incidente

Pe scurt: cum protejăm datele magazinelor și ale vizitatorilor lor și ce facem dacă ceva nu merge bine. Detaliile despre ce date prelucrăm sunt în Politica de confidențialitate.

1. Cum protejăm datele

• Criptare în tranzit — toate legăturile sunt HTTPS (TLS): între browser și serverele noastre și între serverele noastre și platformele conectate (Shopify, WordPress, Meta, Google).
• Criptare pe disc — datele stau pe infrastructura Cloudflare, criptată în repaus (AES-256). Tokenurile de acces primite de la platforme (de exemplu Shopify și Google) sunt criptate în plus la nivel de aplicație, cu AES-256-GCM și o cheie păstrată separat de baza de date.
• Chei niciodată în browser — tokenurile și cheile de acces nu sunt afișate în nicio interfață și nu ajung în browserul vizitatorului sau al comerciantului.
• Acces restrâns — accesul la panou se face cu cont și parolă, cu permisiuni pe roluri. Accesul la sistemele de producție îl are doar administratorul FELIX ONLINE CONCEPT SRL.
• Date de test separate — magazinele și conturile de test sunt separate de cele reale.
• Protecție împotriva abuzului — botul răspunde doar pe domeniul clientului, traficul este limitat pe vizitator și pe magazin, iar textul introdus de vizitatori este tratat ca nesigur și filtrat.
• Minimizare — din Shopify citim doar ce e nevoie pentru răspunsuri (produse, pagini, stadiul comenzilor) și, pentru contacte, doar numele, e-mailul și telefonul. Datele nu sunt vândute și nu sunt folosite pentru antrenarea modelelor de inteligență artificială.
• Copii de siguranță — zilnice, păstrate cel mult 30 de zile; tokenurile de acces sunt excluse din ele.
• Jurnale — păstrăm jurnale tehnice ale cererilor, ca să putem detecta și investiga probleme.

2. Ce facem dacă apare un incident

Un incident înseamnă orice acces neautorizat, pierdere sau divulgare de date, ori o vulnerabilitate care le poate expune. Pașii noștri:

1. Detectare și evaluare — verificăm imediat semnalarea sau alerta și stabilim ce date și ce magazine sunt afectate.
2. Oprire — izolăm problema: revocăm și rotim cheile și tokenurile afectate, blocăm accesul compromis, oprim temporar funcția implicată dacă e nevoie.
3. Investigare și remediere — găsim cauza, o reparăm și restaurăm datele din copiile de siguranță acolo unde e cazul.
4. Notificare — anunțăm fără întârziere, în cel mult 24 de ore de la confirmarea incidentului, comercianții afectați și, pentru magazinele Shopify, Shopify. Spunem ce s-a întâmplat, ce date sunt implicate și ce am făcut. Unde GDPR o cere, notificăm ANSPDCP în cel mult 72 de ore, iar comercianții primesc informațiile de care au nevoie ca să-și anunțe la rândul lor clienții.
5. Analiză după incident — documentăm incidentul și schimbăm ce trebuie ca să nu se repete.

3. Raportează o problemă de securitate

Dacă ai găsit o vulnerabilitate sau crezi că datele tale sunt expuse, scrie-ne la contact@moonchat.ro cu subiectul „Securitate”. Confirmăm primirea în cel mult 2 zile lucrătoare. Te rugăm să nu accesezi date care nu îți aparțin și să ne lași timp să reparăm înainte de a face problema publică.