§01Поверителност
Контрол на влизането
• Офис помещения в сграда с охрана; без достъп за неоправомощени лица.
• Работните помещения се заключват; документите се съхраняват в заключващи се шкафове.
• Без собствени сървърни помещения: обработването се извършва единствено при хостинг доставчици с центрове за данни в ЕС, които разполагат със собствен сертифициран контрол на влизането.
Контрол на достъпа
• Всички фирмени акаунти и администраторски достъпи са защитени с двуфакторна автентикация.
• Крайните устройства са със защита с парола или биометрично удостоверяване (пръстов отпечатък/лицево разпознаване); автоматично заключване на екрана най-късно след 20 минути.
• Паролите се управляват единствено в мениджъри на пароли.
• Защитни фолиа за екрани при мобилна работа; защитната стена и защитните механизми на операционните системи са активни; актуализациите по сигурността се инсталират автоматично.
• Достъпите на напускащи служители се блокират незабавно.
Контрол на правата за достъп
• Концепция за роли и права: достъп до клиентски данни само за собственика и лицата, ангажирани с експлоатацията и разработката; търговските представители са само с ограничени права.
• Изолация на клиентите на ниво база данни (Row-Level-Security): всеки клиент вижда единствено данните в собствения си акаунт.
• API достъпи само със собствени за клиента, отменяеми ключове; ключовете се съхраняват само като хеш стойност.
Контрол на разделянето
• Логическо разделяне на данните за всеки клиент (tenant).
Псевдонимизация / свеждане на данните до минимум
• lead.box идентифицира компании, а не отделни лица; не се създават профили на частни лица.
§02Цялостност
Контрол на предаването
• Предаване единствено в криптиран вид (TLS/HTTPS); Webhooks се изпращат с HMAC подпис.
Контрол на въвеждането
• Регистриране на промените и административните достъпи (одитен дневник).
§03Наличност и устойчивост
• Ежедневно автоматично създаване на резервни копия на данните при хостинг доставчика в ЕС.
• Хостинг на резервирана облачна инфраструктура в ЕС; наблюдение за прекъсвания и грешки.
§04Процедура за редовна проверка
• Редовни проверки на сигурността на приложението (вкл. автоматизирани сканирания за сигурност, проверка на правилата за достъп).
• Защита на данните чрез дизайн и щадящи данните настройки по подразбиране.
Контрол на възлагането
• Подизпълнителите на обработването се избират внимателно и се ангажират само въз основа на договор за обработване на данни. Доколкото данните се обработват извън ЕС/ЕИП, това се извършва само въз основа на решение за адекватност на Европейската комисия (напр. EU-US Data Privacy Framework) или на стандартните договорни клаузи на ЕС (чл. 46 от ОРЗД).
• Служителите и търговските партньори се задължават договорно да спазват поверителност.
Управление на инциденти
• Нарушенията на сигурността на личните данни се съобщават на Клиента незабавно, но не по-късно от 72 часа след узнаването им.
Концепция за изтриване
• Прекратяването на тарифния план спира събирането на данни; акаунтът се запазва до постъпване на заявка за изтриване.
• При заявка от страна на Клиента, акаунтът и всички свързани с него данни се изтриват в срок от 30 дни.