§01Εμπιστευτικότητα
Έλεγχος φυσικής πρόσβασης
• Γραφεία σε κτίριο με υπηρεσία φύλαξης· δεν επιτρέπεται η είσοδος σε μη εξουσιοδοτημένα άτομα.
• Οι χώροι εργασίας κλειδώνουν· τα έγγραφα φυλάσσονται σε ερμάρια που κλειδώνουν.
• Δεν υπάρχουν ιδιόκτητοι χώροι διακομιστών: η επεξεργασία διενεργείται αποκλειστικά σε παρόχους φιλοξενίας με κέντρα δεδομένων στην ΕΕ, οι οποίοι διαθέτουν τους δικούς τους πιστοποιημένους ελέγχους φυσικής πρόσβασης.
Έλεγχος πρόσβασης σε συστήματα
• Όλοι οι εταιρικοί λογαριασμοί και οι λογαριασμοί διαχειριστή προστατεύονται με έλεγχο ταυτότητας δύο παραγόντων.
• Τερματικές συσκευές με κωδικό πρόσβασης ή βιομετρική ταυτοποίηση (δακτυλικό αποτύπωμα/αναγνώριση προσώπου)· αυτόματο κλείδωμα οθόνης το αργότερο μετά από 20 λεπτά.
• Οι κωδικοί πρόσβασης αποθηκεύονται αποκλειστικά σε διαχειριστές κωδικών πρόσβασης.
• Μεμβράνες προστασίας ιδιωτικότητας κατά την απομακρυσμένη εργασία· ενεργά τείχη προστασίας (firewall) και μηχανισμοί προστασίας των λειτουργικών συστημάτων· οι ενημερώσεις ασφαλείας εγκαθίστανται αυτόματα.
• Η πρόσβαση των αποχωρούντων προσώπων απενεργοποιείται αμέσως.
Έλεγχος δικαιωμάτων πρόσβασης
• Σύστημα ρόλων και δικαιωμάτων: πρόσβαση στα δεδομένα πελατών μόνο για τον κάτοχο και τα πρόσωπα που είναι επιφορτισμένα με τη λειτουργία και την ανάπτυξη· οι υπάλληλοι πωλήσεων μόνο με περιορισμένα δικαιώματα.
• Απομόνωση μισθωτών σε επίπεδο βάσης δεδομένων (Row-Level-Security): κάθε Πελάτης βλέπει αποκλειστικά τα δεδομένα του δικού του λογαριασμού.
• Πρόσβαση στο API μόνο με κλειδιά που ανήκουν στον πελάτη και είναι ανακλητά· τα κλειδιά αποθηκεύονται μόνο ως hash.
Έλεγχος διαχωρισμού
• Λογικός διαχωρισμός των δεδομένων ανά πελάτη (μισθωτή).
Ψευδωνυμοποίηση / Ελαχιστοποίηση δεδομένων
• Το lead.box αναγνωρίζει εταιρείες, όχι μεμονωμένα πρόσωπα· δεν δημιουργούνται προφίλ φυσικών προσώπων.
§02Ακεραιότητα
Έλεγχος διαβίβασης
• Η μεταφορά γίνεται αποκλειστικά με κρυπτογράφηση (TLS/HTTPS)· τα Webhooks αποστέλλονται με υπογραφή HMAC.
Έλεγχος καταχώρισης
• Καταγραφή των αλλαγών και των προσβάσεων διαχειριστή (αρχείο καταγραφής ελέγχου).
§03Διαθεσιμότητα και ανθεκτικότητα
• Καθημερινή αυτόματη δημιουργία αντιγράφων ασφαλείας στον πάροχο φιλοξενίας στην ΕΕ.
• Φιλοξενία σε πλεονάζουσα υποδομή cloud στην ΕΕ· παρακολούθηση για διακοπές λειτουργίας και σφάλματα.
§04Διαδικασία τακτικής επανεξέτασης
• Τακτικοί έλεγχοι ασφαλείας της εφαρμογής (μεταξύ άλλων, αυτοματοποιημένες σαρώσεις ασφαλείας, έλεγχος των κανόνων πρόσβασης).
• Προστασία των δεδομένων εκ σχεδιασμού και εξ ορισμού.
Έλεγχος αναθέσεων
• Οι υποεκτελούντες την επεξεργασία επιλέγονται προσεκτικά και απασχολούνται μόνο με σύμβαση επεξεργασίας δεδομένων. Όπου τα δεδομένα υποβάλλονται σε επεξεργασία εκτός της ΕΕ/του ΕΟΧ, αυτό γίνεται μόνο βάσει απόφασης επάρκειας της Ευρωπαϊκής Επιτροπής (π.χ. EU-US Data Privacy Framework) ή των τυποποιημένων συμβατικών ρητρών της ΕΕ (άρθρο 46 ΓΚΠΔ).
• Οι εργαζόμενοι και οι συνεργάτες πωλήσεων δεσμεύονται συμβατικά για την τήρηση της εμπιστευτικότητας.
Διαχείριση περιστατικών
• Οι παραβιάσεις δεδομένων προσωπικού χαρακτήρα γνωστοποιούνται στον Πελάτη αμελλητί, το αργότερο εντός 72 ωρών από τη στιγμή που περιέρχονται σε γνώση μας.
Πολιτική διαγραφής
• Η λύση του προγράμματος χρέωσης τερματίζει τη συλλογή δεδομένων· ο λογαριασμός παραμένει μέχρι να υποβληθεί αίτημα διαγραφής.
• Κατόπιν αιτήματος του Πελάτη, ο λογαριασμός και όλα τα σχετικά δεδομένα διαγράφονται εντός 30 ημερών.