§01Konfidencialumas
Patekimo kontrolė
• Biuro patalpos pastate su apsaugos tarnyba; neleistina prieiga neįgaliotiems asmenims.
• Darbo patalpos rakinamos; dokumentai laikomi rakinamose spintose.
• Nuosavų serverių patalpų nėra: duomenys tvarkomi tik pas prieglobos paslaugų teikėjus, turinčius duomenų centrus ES, kurie taiko savo sertifikuotas patekimo kontrolės priemones.
Prieigos kontrolė
• Visos įmonės paskyros ir administratorių prieigos yra apsaugotos dviejų veiksnių autentifikavimu.
• Galiniai įrenginiai su slaptažodžiu arba biometriniu prisijungimu (pirštų atspaudų / veido atpažinimas); automatinis ekrano užrakinimas vėliausiai po 20 minučių.
• Slaptažodžiai tvarkomi išskirtinai slaptažodžių tvarkyklėse.
• Ekrano privatumo filtrai dirbant nuotoliniu būdu; ugniasienė ir operacinių sistemų apsaugos mechanizmai aktyvūs; saugos naujiniai diegiami automatiškai.
• Išeinančių asmenų prieigos nedelsiant blokuojamos.
Prisijungimo kontrolė
• Vaidmenų ir teisių koncepcija: prieiga prie klientų duomenų suteikiama tik savininkui ir asmenims, atsakingiems už eksploatavimą ir plėtrą; pardavimų darbuotojai turi tik ribotas teises.
• Nuomininkų izoliavimas duomenų bazės lygmeniu (Row-Level-Security): kiekvienas klientas mato tik savo paskyros duomenis.
• API prieigos tik su kliento nuosavais, atšaukiamais raktais; raktai saugomi tik kaip maišos (hash) reikšmės.
Atskyrimo kontrolė
• Loginis duomenų atskyrimas pagal klientą (nuomininką).
Pseudonimizavimas / Duomenų kiekio mažinimas
• lead.box atpažįsta įmones, o ne pavienius asmenis; privatūs asmenų profiliai nekuriami.
§02Vientisumas
Perdavimo kontrolė
• Perdavimas vykdomas tik šifruotai (TLS/HTTPS); „Webhook“ siunčiami su HMAC parašu.
Įvesties kontrolė
• Pakeitimų ir administracinių prisijungimų registravimas (audito žurnalas).
§03Prieinamumas ir atsparumas
• Kasdienis automatinis duomenų atsarginių kopijų darymas pas ES prieglobos paslaugų teikėją.
• Priegloba perteklinėje debesijos infrastruktūroje ES; gedimų ir klaidų stebėjimas.
§04Reguliaraus tikrinimo procedūros
• Reguliarūs programos saugumo patikrinimai (be kita ko, automatiniai saugumo nuskaitymai, prieigos taisyklių tikrinimas).
• Pritaikytoji duomenų apsauga ir privatumui palankūs numatytieji nustatymai.
Pavedimų kontrolė
• Pagalbiniai duomenų tvarkytojai atidžiai atrenkami ir pasitelkiami tik sudarius duomenų tvarkymo sutartį. Jei duomenys tvarkomi už ES / EEE ribų, tai daroma tik remiantis ES Komisijos sprendimu dėl tinkamumo (pvz., EU-US Data Privacy Framework) arba ES standartinėmis sutarčių sąlygomis (BDAR 46 straipsnis).
• Darbuotojai ir pardavimo partneriai sutartimi įpareigojami laikytis konfidencialumo.
Incidentų valdymas
• Apie duomenų apsaugos pažeidimus klientui pranešama nedelsiant, bet ne vėliau kaip per 72 valandas nuo sužinojimo.
Ištrynimo koncepcija
• Nutraukus plano prenumeratą, duomenų rinkimas nutraukiamas; paskyra išlieka iki bus pateikta užklausa ją ištrinti.
• Klientui paprašius, paskyra ir visi susiję duomenys ištrinami per 30 dienų.