Ασφάλεια
Κωδικοί και πρόσβαση
- Οι κωδικοί των χρηστών αποθηκεύονται μόνο ως κατακερματισμός (scrypt). Δεν μπορούμε να τους διαβάσουμε.
- Οι κωδικοί των πηγών των πελατών (π.χ. Taxisnet, ΕΡΓΑΝΗ) αποθηκεύονται κρυπτογραφημένοι και δεν εμφανίζονται στις φόρμες. Η εμφάνισή τους απαιτεί δικαίωμα επεξεργασίας του μητρώου πελατών.
- Ο πρώτος κωδικός ενός νέου γραφείου είναι προσωρινός: ο χρήστης υποχρεούται να τον αλλάξει στην πρώτη σύνδεση πριν χρησιμοποιήσει την εφαρμογή.
- Κάθε γραφείο βλέπει μόνο τα δικά του δεδομένα. Μέσα στο γραφείο, κάθε στέλεχος βλέπει μόνο τους πελάτες που επιβλέπει, αν έτσι οριστεί, σε μητρώο, εκκρεμότητες, επικοινωνίες, ειδοποιήσεις, αντλήσεις και προγράμματα.
- Κάθε ενέργεια καταγράφεται ανά χρήστη, με ώρα και πελάτη.
- Η σύνδεση κλειδώνει για 15 λεπτά μετά από 5 λανθασμένες προσπάθειες. Η συνεδρία λήγει σε 12 ώρες και το cookie είναι HttpOnly και secure.
- Δεν προσφέρεται σήμερα δεύτερος παράγοντας ταυτοποίησης (2FA).
Πληρωμές
Τα στοιχεία κάρτας εισάγονται στη σελίδα του Stripe και δεν περνούν από τους δικούς μας servers (το Stripe είναι πιστοποιημένο κατά PCI DSS). Οι μονάδες και οι συνδρομές ενεργοποιούνται μόνο όταν το Stripe επιβεβαιώσει την πληρωμή με υπογεγραμμένο μήνυμα που ελέγχουμε, και ποτέ από στοιχεία που στέλνει ο browser.
Ορθότητα των στοιχείων
- Τα PDF της ΑΑΔΕ ελέγχονται με το ΑΦΜ που γράφουν μέσα. Αν η άντληση έγινε με ΑΦΜ άλλης οντότητας, ειδοποιούνται οι διαχειριστές.
- Η πύλη πελάτη χρησιμοποιεί προσωπικό σύνδεσμο που λήγει σε 7 ημέρες, εκτός αν οριστεί «Χωρίς λήξη».
Αντίγραφα ασφαλείας και διατήρηση
Η βάση δεδομένων αντιγράφεται κάθε νύχτα, με κρυπτογράφηση AES-256 και διατήρηση 14 ημερών. Τα αρχεία καταγραφής του server διατηρούνται έως 30 ημέρες. Τα αντίγραφα φυλάσσονται στον ίδιο server. Αντίγραφο εκτός server δεν υπάρχει προς το παρόν.
Φιλοξενία και δίκτυο
Η εφαρμογή φιλοξενείται σε server της Hetzner Online GmbH (Γερμανία), datacenter Falkenstein. Η κίνηση προστατεύεται με HTTPS (πιστοποιητικά Let's Encrypt, HSTS). Το DNS του domain διαχειρίζεται το Cloudflare.
Υπεργολάβοι
| Πάροχος | Σκοπός | Τοποθεσία |
|---|---|---|
| Hetzner Online GmbH (Γερμανία) | Φιλοξενία του server, της βάσης δεδομένων και των αντιγράφων ασφαλείας | ΕΕ· datacenter Falkenstein, Γερμανία |
| Cloudflare, Inc. | DNS και προστασία δικτύου του domain | ΗΠΑ / παγκόσμιο δίκτυο· εγγυήσεις Κεφαλαίου V ΓΚΠΔ |
| Stripe Payments Europe, Ltd (Ιρλανδία) και Stripe, Inc. | Εισπράξεις συνδρομών και αγορών μονάδων. Τα στοιχεία κάρτας δίνονται απευθείας στο Stripe· δεν τα βλέπουμε ούτε τα αποθηκεύουμε | ΕΕ / ΗΠΑ· εγγυήσεις Κεφαλαίου V ΓΚΠΔ |
| Anthropic, PBC | Βοηθός επεξήγησης μέσα στην εφαρμογή και ανάγνωση δημόσιων προσκλήσεων προγραμμάτων. Στέλνονται οι ερωτήσεις του χρήστη προς τον βοηθό και τα κείμενα των προσκλήσεων, όχι ο κατάλογος πελατών | ΗΠΑ· εγγυήσεις Κεφαλαίου V ΓΚΠΔ |
| Functional Software, Inc. (Sentry) | Αναφορά τεχνικών σφαλμάτων. Δεν στέλνονται προσωπικά δεδομένα χρηστών ή πελατών | Περιοχή ΕΕ (Γερμανία)· εταιρεία ΗΠΑ· εγγυήσεις Κεφαλαίου V ΓΚΠΔ |
| Techinfinity (υπηρεσία email) | Αποστολή μηνυμάτων της πλατφόρμας (στοιχεία σύνδεσης, ειδοποιήσεις) | ΕΕ (Γερμανία) |
| Google Ireland Ltd / Google LLC | Gmail για την αποστολή μηνυμάτων σχολίων και αναφοράς προβλημάτων προς την Εταιρεία· και, μόνο αν ο χρήστης συνδέσει το Google Calendar του, συγχρονισμός ραντεβού και προθεσμιών | ΕΕ / ΗΠΑ· εγγυήσεις Κεφαλαίου V ΓΚΠΔ |
Διαχείριση περιστατικών
Αν διαπιστώσουμε παραβίαση που αφορά δεδομένα γραφείου, το ενημερώνουμε χωρίς αδικαιολόγητη καθυστέρηση και το αργότερο εντός 48 ωρών από τη στιγμή που το αντιληφθούμε, ώστε να εκπληρώσει τις δικές του υποχρεώσεις ως υπεύθυνος επεξεργασίας (βλ. Συμφωνία Επεξεργασίας Δεδομένων).
Αναφορά ευπάθειας
Αν εντοπίσατε πρόβλημα ασφαλείας, γράψτε στο rodos@aplan.gr. Περιγράψτε το πρόβλημα και τα βήματα αναπαραγωγής και μην αποκαλύπτετε δεδομένα τρίτων. Θα επιβεβαιώσουμε τη λήψη και δεν θα προβούμε σε νομικές ενέργειες για καλόπιστη αναφορά που τηρεί τα παραπάνω. Δείτε και το security.txt.