1. Jak chronimy dane
- Połączenie: Serwis działa wyłącznie przez HTTPS (TLS), z nagłówkiem HSTS, więc przeglądarka nie połączy się z nim bez szyfrowania.
- Hasła: przechowujemy wyłącznie ich skrót (bcrypt), nigdy samo hasło. Logowanie i rejestracja mają limity prób.
- Oferty w zapytaniach ofertowych: ceny, wartości kryteriów i uwagi są zapisywane w bazie w postaci zaszyfrowanej (AES-256). Do upływu terminu składania ofert zamawiający widzi tylko liczbę ofert, bez nazw firm i cen; dziennik zdarzeń też ich nie ujawnia.
- Pliki: przyjmujemy tylko wskazane formaty (PDF, dokumenty, arkusze, ZIP, obrazy) do 10 MB. Każdy plik sprawdzamy programem antywirusowym ClamAV, zanim trafi na serwer; plik z zagrożeniem albo taki, którego nie udało się sprawdzić, odrzucamy. Pliki ofert są dostępne tylko dla firmy, która je złożyła, a zamawiającemu dopiero po terminie.
- Serwer: serwer w Unii Europejskiej, zapora przepuszczająca tylko ruch WWW i SSH, logowanie administracyjne wyłącznie kluczem SSH (bez haseł), automatyczne blokowanie prób odgadnięcia dostępu i automatyczne poprawki bezpieczeństwa systemu.
- Kopie zapasowe: baza danych i pliki są kopiowane codziennie. Kopie przechowujemy 14 dni na serwerze i 7 dni poza nim; każdą kopię sprawdzamy, zanim ją zapiszemy.
- Dostęp pracowników: do danych Klientów mają dostęp tylko osoby, które utrzymują Serwis, w zakresie potrzebnym do tej pracy.
2. Zgłaszanie podatności
Jeśli znajdziesz błąd bezpieczeństwa w Serwisie, napisz na hello@jirasoft.pl z tematem „Bezpieczeństwo”. Opisz, czego dotyczy błąd, jak go odtworzyć i jakie mogą być jego skutki. Odpowiemy w ciągu 5 dni roboczych i poinformujemy Cię, kiedy błąd zostanie usunięty.
Prosimy, aby przy szukaniu błędów:
- nie pobierać, nie zmieniać i nie usuwać danych innych użytkowników (wystarczy pokazać, że jest to możliwe);
- nie obciążać Serwisu (bez testów odmowy usługi i masowego skanowania);
- nie stosować socjotechniki wobec naszych pracowników ani użytkowników;
- nie ujawniać błędu publicznie, zanim go usuniemy.
Wobec osób, które zgłaszają błędy w dobrej wierze i zgodnie z tymi zasadami, nie podejmiemy kroków prawnych. Dane kontaktowe dla badaczy są też w pliku security.txt.
3. Incydenty
Jeśli dojdzie do naruszenia ochrony danych osobowych, zgłosimy je Prezesowi Urzędu Ochrony Danych Osobowych w ciągu 72 godzin od jego wykrycia, a osoby, których dane dotyczą, powiadomimy bez zbędnej zwłoki, gdy naruszenie może powodować wysokie ryzyko dla ich praw lub wolności (art. 33 i 34 RODO).
4. Więcej informacji
Zasady przetwarzania danych osobowych opisuje Polityka prywatności, a zasady korzystania z Serwisu, w tym zapytań ofertowych, Regulamin.