Securitate

Securitatea în cadrul Easy Life Tech SRL, compania care dezvoltă și operează platforma Aopy (aopy.com și app.aopy.com), este responsabilitatea lui Ioan Alexandru Busuioc, Chief Technology Officer (CTO). El răspunde de securitatea aplicației, a bazelor de date și a infrastructurii și este persoana de contact pentru problemele de securitate.

Contact pentru securitate: security@aopy.com.

Dacă ați găsit o vulnerabilitate de securitate în Aopy, scrieți-ne la security@aopy.com. Vă rugăm să includeți:

• adresa, endpoint-ul sau funcționalitatea afectată;
• pașii necesari pentru a reproduce problema și ce ar putea obține un atacator;
• cum vă putem contacta dacă avem întrebări.

Citim fiecare raport, confirmăm primirea, îl investigăm și vă spunem ce am constatat. Vă rugăm să ne acordați un timp rezonabil pentru remediere înainte de a face problema publică.

Nu avem un program de bug bounty plătit.

În aria de acoperire: aopy.com, app.aopy.com și serviciile pe care le operăm în spatele lor.

În afara ariei: magazinele și site-urile clienților noștri și sistemele subîmputerniciților noștri, care au propriile canale de raportare.

Când testați, vă rugăm:

• folosiți doar conturi și date care vă aparțin;
• opriți-vă și raportați imediat ce puteți vedea date care aparțin altcuiva; nu le copiați, nu le păstrați și nu le distribuiți;
• nu afectați serviciul: fără teste de tip denial-of-service, fără trimiteri în masă, fără scanări automate la volum mare;
• nu folosiți inginerie socială sau acces fizic împotriva echipei, a clienților sau a furnizorilor noștri.

Măsurile de mai jos le includ pe cele descrise în Acordul de prelucrare a datelor și în Politica de confidențialitate:

• Izolarea clienților — fiecare tabel din baza de date este legat de organizația unui client și protejat prin PostgreSQL Row-Level Security, cu context de acces bazat pe JWT;
• Criptare în tranzit — TLS pe toate conexiunile, HTTPS impus prin HTTP Strict Transport Security;
• Criptare în repaus — la nivel de infrastructură; credențialele integrărilor și tokenurile OAuth sunt criptate suplimentar la nivel de aplicație cu AES-256-GCM;
• Autentificare — parolele sunt păstrate doar ca hash-uri cu salt de un serviciu dedicat de autentificare, iar codul aplicației noastre nu le stochează niciodată; autentificarea în doi pași (TOTP) poate fi activată din setările contului, iar formularul de autentificare este protejat împotriva abuzului automatizat;
• Controlul accesului — permisiuni pe roluri în fiecare organizație și o listă de permisiuni pentru accesul administrativ;
• Webhook-uri semnate — webhook-urile primite de la platformele de plăți și de e-commerce sunt acceptate doar după verificarea semnăturii;
• Jurnal de audit — schimbările de rol, acțiunile administrative, exporturile și ștergerile de date sunt înregistrate într-un jurnal pe care utilizatorii nu îl pot modifica;
• Limite împotriva abuzului — limitare distribuită a ratei de cereri pe API-urile noastre publice;
• Protecții în browser — paginile nu pot fi încorporate în cadrul altui site;
• Găzduire — baza de date principală rulează în Uniunea Europeană. Furnizorii pe care îi folosim sunt enumerați pe pagina Subîmputerniciți.

Niciun sistem nu este perfect sigur, de aceea vrem să aflăm despre orice slăbiciune pe care o găsiți.

Dacă aflăm despre o încălcare a securității datelor cu caracter personal care afectează datele pe care le prelucrăm pentru un client, îl notificăm pe acel client fără întârzieri nejustificate, conform secțiunii 11 din Acordul de prelucrare a datelor, și acționăm conform obligațiilor noastre din GDPR.

Dacă sunteți client și bănuiți un acces neautorizat la contul dumneavoastră, scrieți imediat la support@aopy.com.