Bezpieczeństwo

Nasza infrastruktura korzysta z Railway do hostingu aplikacji i z Supabase do usług bazodanowych. Systemy produkcyjne są odizolowane od środowisk deweloperskich i testowych.

Stosujemy obronę w głąb, czyli warstwowe zabezpieczenia na poziomie sieci, aplikacji, tożsamości i danych, aby ograniczyć skutki pojedynczej awarii lub naruszenia.

Dane przesyłane między Państwem a usługą są chronione protokołem TLS 1.2 lub nowszym. Dane przechowywane w naszych bazach danych i magazynie obiektów są szyfrowane algorytmem AES-256 lub równoważnym algorytmem uznanym w branży.

Kluczami szyfrującymi zarządzają usługi zarządzania kluczami naszych dostawców chmury, ze ścisłą kontrolą dostępu i rejestrowaniem audytowym.

Dostęp do systemów produkcyjnych mają wyłącznie upoważnione osoby, którym jest on potrzebny do pełnienia ich funkcji. Wymagamy silnego uwierzytelniania, w tym uwierzytelniania wieloskładnikowego, i stosujemy zasadę najmniejszych uprawnień.

Każdy dostęp do danych produkcyjnych jest rejestrowany. Logi są regularnie przeglądane i przechowywane przez okres wymagany przez obowiązujące przepisy.

Stosujemy praktyki bezpiecznego wytwarzania oprogramowania, w tym przegląd kodu, skanowanie zależności i testy automatyczne. Biblioteki zewnętrzne są na bieżąco aktualizowane i monitorowane pod kątem znanych podatności.

Integrujemy się z Google APIs przy użyciu OAuth 2.0 i prosimy wyłącznie o zakresy uprawnień niezbędne do działania usługi. Nigdy nie przechowujemy haseł do kont Google.

Przy połączeniu z Google Rank Pilot występuje o zakres OAuth Google https://www.googleapis.com/auth/business.manage oraz openid, email i profile, które identyfikują Państwa konto Google. Zakres business.manage pozwala Rank Pilot odczytywać Państwa Profil Firmy w Google i zarządzać nim.

Rank Pilot nie widzi Państwa hasła do Google. Logują się Państwo bezpośrednio w Google, a my nigdy nie przechowujemy haseł do kont Google.

Nic nie zostanie opublikowane w Państwa Profilu Firmy, dopóki Państwo tego nie zapiszą.

Ten dostęp można w każdej chwili cofnąć: rozłączając Google w ustawieniach Rank Pilot, co unieważnia token Google, albo usuwając dostęp na stronie bezpieczeństwa swojego konta Google.

Nasze systemy są stale monitorowane pod kątem dostępności, wydajności i zdarzeń związanych z bezpieczeństwem. Anomalie uruchamiają alerty, które nasz zespół inżynierów analizuje.

Utrzymujemy procedurę reagowania na incydenty bezpieczeństwa. W przypadku potwierdzonego naruszenia dotyczącego Państwa danych powiadomimy klientów, których ono dotyczy, zgodnie z obowiązującym prawem.

Dane klientów są regularnie archiwizowane. Kopie zapasowe są szyfrowane i przechowywane oddzielnie od systemów produkcyjnych. Okresowo testujemy procedury odtwarzania, aby mieć pewność, że w razie poważnego incydentu przywrócimy działanie usługi.

Jeżeli uważają Państwo, że wykryli podatność w zabezpieczeniach naszej usługi, prosimy o odpowiedzialne zgłoszenie jej na adres hello@rankonmaps.app. Prosimy podać tyle szczegółów, ile potrzeba do odtworzenia problemu, ale nie dołączać sekretów, danych klientów ani destrukcyjnych kroków typu proof of concept. Cenimy odpowiedzialne ujawnianie i współpracujemy z badaczami w dobrej wierze.