Seguretat
El que demanem als nostres proveïdors, aplicat a nosaltres
Aquesta pàgina està escrita perquè la pugui fer servir un departament de compres. Si falta alguna cosa que necessites per completar un qüestionari, demana-ho i t’ho donem.
Arquitectura
Com està construïda
-
Residència de dades per contracte
El processament i l’emmagatzematge tenen lloc a la regió que fa constar el DPA, amb el proveïdor concret identificat. La llista de subencarregats és curta i es lliura amb l’acord.
-
Aïllament per tenant
Separació per esquema a Postgres amb Row-Level Security. La frontera entre clients s’aplica a la capa de dades, no a la d’aplicació.
-
Xifratge en trànsit i en repòs
TLS modern en totes les connexions i xifratge en repòs amb claus segregades per tenant.
-
Control d’accés
Permisos per rol, principi de mínim privilegi i SSO/SAML amb el teu proveïdor d’identitat als plans que l’inclouen.
-
Registre d’activitat
Cada acció rellevant queda registrada amb actor, objecte i marca de temps. El registre el pot consultar el client mateix.
-
Desenvolupament segur
Revisió de codi, anàlisi estàtica i de dependències al pipeline, i proves de seguretat abans de cada desplegament rellevant.
Certificacions
On som, amb honestedat
Preferim dir la veritat sobre el nostre estat de certificació a penjar una insígnia que encara no ens correspon.
- En curs
ISO/IEC 27001
Sistema de gestió implantat; procés de certificació en curs.
- En curs
SOC 2 Tipus II
En preparació. Sense atestació emesa a data d’avui.
- En curs
Conformitat GDPR
DPA disponible. Registre d’activitats de tractament i, si escau, avaluació d’impacte, en elaboració.
- Vigent
Marcs admesos al producte
NIS2, DORA, ENS, ISO 27001, NIST CSF, CIS, SOC 2, PCI DSS i més, com a marcs d’avaluació dels teus propis controls.
Divulgació responsable
Has trobat alguna cosa?
Si creus que has trobat una vulnerabilitat als nostres sistemes, escriu-nos abans de fer-ho públic. Responem en 72 hores laborables i no emprenem accions legals contra qui investigui de bona fe dins l’abast publicat.
Documentació per a compres
DPA, llista de subencarregats i qüestionari de seguretat emplenat es lliuren a petició, sense haver de signar res previ. El resum d’arquitectura, sota NDA.