Securitate și controale

Toate comunicațiile au loc prin TLS. Datele în repaus sunt criptate de furnizorii de infrastructură (Convex, Vercel).

Detalii privind cheile și gestionarea criptării în repaus: datele în repaus sunt criptate cu algoritmi standard din industrie (AES-256) de către furnizorii de infrastructură, care gestionează și cheile; OneSpec nu are acces la chei și nu păstrează nicio copie a acestora.

Acces bazat pe roluri (proprietar, administrator, membru) cu verificare pe server la fiecare operațiune. Fiecare înregistrare sensibilă este asociată organizației, iar interogările sunt izolate pe organizație.

Un singur super-administrator al platformei este definit printr-o listă de adrese de e-mail într-o variabilă de mediu.

Gestionarea sesiunilor cu posibilitatea de a revoca dispozitive individuale și de a vă deconecta de pe toate dispozitivele.

Cheile și secretele sunt gestionate prin variabile de mediu ale platformei de implementare și nu sunt prezente în cod, în jurnale sau în răspunsurile de eroare.

Aplicația aplică HSTS, X-Content-Type-Options, Referrer-Policy, Permissions-Policy și o Content-Security-Policy care interzice încorporarea zonei rezervate. Widgetul folosește o CSP dedicată, cu lista domeniilor autorizate pentru fiecare organizație.

Limite aplicate pentru: autentificare, trimiterea ofertelor din widget (pe IP și pe configurator), exporturile de date. Verificare anti-bot Cloudflare Turnstile la trimiterile din widget.

Acțiunile administrative și operațiunile sensibile (publicarea cataloagelor, schimbările de stare, exporturile, cererile de ștergere) sunt înregistrate cu autorul, obiectul și momentul.

Backupurile și restaurarea sunt gestionate de furnizorul bazei de date. Politica de backup, obiectivele RPO/RTO și testele periodice de restaurare: furnizorul efectuează backupul infrastructurii, iar OneSpec poate exporta datele; în prezent nu sunt garantate obiective contractuale RPO/RTO; acestea sunt verificate periodic și comunicate la cerere.

Scanarea dependențelor și a secretelor, actualizări și revizuire de securitate înainte de lansări.

Procedura de răspuns la incidente și termenele de notificare: în cazul unei încălcări a securității datelor cu caracter personal, OneSpec inițiază procedura internă de limitare și analiză și informează Clientul fără întârzieri nejustificate și în orice caz în 72 de ore de la descoperire, pentru ca acesta să-și poată îndeplini obligațiile prevăzute de art. 33 GDPR.

Pentru semnalări de securitate: hello@onespec.eu.

Pentru aspecte contractuale, contestații sau comunicări juridice privind prezentul document: office@core829.net.

Pentru solicitări comerciale: sales@core829.net. Pentru asistență privind serviciul și solicitări de planuri Enterprise personalizate: hello@onespec.eu.