§01Bizalmasság
Belépés-ellenőrzés
• Irodahelyiségek biztonsági szolgálattal ellátott épületben; illetéktelenek számára a belépés nem engedélyezett.
• A munkahelyiségek zárhatók; a dokumentumok zárható szekrényekben.
• Nincsenek saját szervertermek: az adatfeldolgozás kizárólag EU-n belüli adatközpontokkal rendelkező tárhelyszolgáltatóknál történik, amelyek saját tanúsított belépés-ellenőrzéssel rendelkeznek.
Hozzáférés-ellenőrzés
• Minden vállalati fiók és adminisztrátori hozzáférés kétfaktoros hitelesítéssel védett.
• Végponti eszközök jelszóval, illetve biometrikus bejelentkezéssel (ujjlenyomat/arcfelismerés); automatikus képernyőzár legkésőbb 20 perc után.
• A jelszavak kezelése kizárólag jelszókezelőkben történik.
• Betekintésvédő fóliák mobil munkavégzés során; a tűzfal és az operációs rendszerek védelmi mechanizmusai aktívak; a biztonsági frissítések automatikusan települnek.
• A távozó személyek hozzáférései azonnal letiltásra kerülnek.
Hozzáférési jogosultságok ellenőrzése
• Szerepkör- és jogosultságkoncepció: az ügyféladatokhoz csak a tulajdonos és az üzemeltetéssel és fejlesztéssel megbízott személyek férhetnek hozzá; az értékesítési munkatársak csak korlátozott jogosultságokkal.
• Bérlői elkülönítés adatbázis szinten (Row-Level-Security): minden ügyfél kizárólag a saját fiókjának adatait látja.
• API-hozzáférések csak ügyfélspecifikus, visszavonható kulcsokkal; a kulcsok csak hash formájában kerülnek tárolásra.
Elkülönítés-ellenőrzés
• Az adatok logikai elkülönítése ügyfelenként (bérlőnként).
Álnevesítés / Adattakarékosság
• A lead.box vállalatokat azonosít, nem magánszemélyeket; magánszemélyekről nem készül profil.
§02Integritás
Továbbítás-ellenőrzés
• Az átvitel kizárólag titkosítva (TLS/HTTPS) történik; a webhookok HMAC-aláírással kerülnek elküldésre.
Bevitel-ellenőrzés
• A változtatások és az adminisztratív hozzáférések naplózása (auditnapló).
§03Rendelkezésre állás és terhelhetőség
• Napi automatikus adatmentés az EU-s tárhelyszolgáltatónál.
• Tárhelyszolgáltatás redundáns felhőinfrastruktúrán az EU-ban; a kiesések és hibák felügyelete.
§04Eljárás a rendszeres felülvizsgálathoz
• Az alkalmazás rendszeres biztonsági ellenőrzése (többek között automatizált biztonsági vizsgálatok, a hozzáférési szabályok ellenőrzése).
• Beépített és alapértelmezett adatvédelem.
Megbízás-ellenőrzés
• Az al-adatfeldolgozókat gondosan választjuk ki, és csak adatfeldolgozási szerződéssel vesszük igénybe. Amennyiben az adatok feldolgozása az EU-n/EGT-n kívül történik, ez csak az Európai Bizottság megfelelőségi határozata (pl. EU-US Data Privacy Framework) vagy az EU általános adatvédelmi kikötései (GDPR 46. cikke) alapján lehetséges.
• A munkavállalók és az értékesítési partnerek szerződésben kötelezettek a titoktartásra.
Incidenskezelés
• Az adatvédelmi incidenseket haladéktalanul, de legkésőbb a tudomásszerzéstől számított 72 órán belül jelentjük az Ügyfélnek.
Törlési koncepció
• A díjcsomag felmondása megszünteti az adatgyűjtést; a fiók a törlési kérelemig megmarad.
• Az Ügyfél kérésére a fiók és minden kapcsolódó adat 30 napon belül törlésre kerül.