Adapty to warstwa infrastruktury subskrypcyjnej dla tysięcy aplikacji mobilnych, przetwarzająca w imieniu naszych klientów transakcje subskrypcyjne o wartości miliardów dolarów.
Taka pozycja wiąże się z jasnym obowiązkiem: dane, które Państwo i Państwa użytkownicy nam powierzają, muszą być traktowane z należytą starannością, audytowane przez osoby, które dla nas nie pracują, i chronione przez mechanizmy kontrolne, które nie zależą od żadnej pojedynczej osoby.
Na tej stronie opisujemy, jak to robimy.
Certyfikaty
SOC 2 Type II
Niezależna firma biegłych rewidentów (CPA) bada nasze mechanizmy kontrolne w zakresie bezpieczeństwa, dostępności i poufności oraz wydaje poświadczenie SOC 2 Type II obejmujące skuteczność działania tych mechanizmów w okresie sprawozdawczym. Aktualny raport jest udostępniany klientom i potencjalnym klientom na podstawie umowy NDA. Mogą Państwo poprosić o niego swój zespół obsługi konta lub napisać na adres [email protected].
Regulacje dotyczące prywatności
Adapty przetwarza dane użytkowników końcowych wyłącznie jako podmiot przetwarzający, działając jedynie na podstawie udokumentowanych poleceń naszych klientów, zgodnie z naszą Umową powierzenia przetwarzania danych. Nasze praktyki w zakresie przetwarzania danych zostały zaprojektowane tak, aby spełniać wymogi:
- RODO (UE i Wielka Brytania);
- LGPD (Brazylia).
Jeżeli w Państwa jurysdykcji obowiązują szczególne wymogi niewymienione powyżej, prosimy o kontakt – zazwyczaj możemy je uwzględnić.
Jak chronimy dane
Szyfrowanie
Wszystkie dane klientów są szyfrowane podczas przesyłania (TLS 1.2+) i w spoczynku przy użyciu standardowych w branży algorytmów szyfrowania.
Sieć i infrastruktura
Środowisko produkcyjne działa w utwardzonych środowiskach zgodnych ze standardami branżowymi, z segmentacją sieci między usługami, ograniczonym ruchem przychodzącym i wychodzącym oraz dostępem na zasadzie minimalnych uprawnień dla niewielkiej grupy inżynierów, którzy w ogóle mają dostęp do środowiska produkcyjnego. Dostęp do środowiska produkcyjnego wymaga uwierzytelniania wieloskładnikowego i jest rejestrowany.
Ciągłe monitorowanie
Logi z naszej infrastruktury i aplikacji są gromadzone centralnie, anomalie uruchamiają automatyczne alerty, a dyżurny inżynier jest dostępny 24/7, aby reagować na incydenty.
Bezpieczne wytwarzanie oprogramowania
Każda zmiana w kodzie, zanim trafi do środowiska produkcyjnego, przechodzi przegląd przez innego programistę, automatyczną analizę statyczną i kontrole bezpieczeństwa w CI. Zależności są monitorowane i aktualizowane według ustalonego harmonogramu, a nasz przejrzysty proces wdrażania rejestruje, kto, co i kiedy wdrożył.
Praktyki operacyjne
Personel
Wszyscy pracownicy przechodzą szkolenie z zakresu świadomości bezpieczeństwa przy zatrudnieniu, a następnie co roku. MFA jest obowiązkowe w każdym systemie firmowym, który je obsługuje. Dostęp do danych klientów jest ograniczony, rejestrowany i regularnie weryfikowany.
Dostawcy
Każdy podmiot zewnętrzny, na którym polegamy w zakresie infrastruktury, przetwarzania danych lub bezpieczeństwa, przechodzi udokumentowaną weryfikację przed rozpoczęciem współpracy i jest okresowo ponownie oceniany. Od kluczowych dostawców wymagamy posiadania równoważnych certyfikatów (zazwyczaj SOC 2 Type II lub ISO 27001).
Odporność
Wykonujemy szyfrowane kopie zapasowe według ustalonego harmonogramu, utrzymujemy redundancję naszych kluczowych usług i testujemy procedury odtwarzania po awarii, tak aby odtworzenie systemów było czymś, co faktycznie przećwiczyliśmy, a nie czymś, co zamierzamy wymyślać pod presją.
Reagowanie na incydenty
Utrzymujemy udokumentowany plan reagowania na incydenty z określonymi poziomami ważności, protokołami komunikacji i przeglądem poincydentalnym.
Zgłaszanie podatności
Jeżeli uważają Państwo, że znaleźli Państwo problem z bezpieczeństwem w Adapty, prosimy o wiadomość e-mail na adres [email protected]. Analizujemy każde wiarygodne zgłoszenie, współpracujemy ze zgłaszającym przy usuwaniu problemu i wymieniamy z nazwiska badaczy, którzy przestrzegają zasad odpowiedzialnego ujawniania (chyba że wolą pozostać anonimowi).
Przeglądy bezpieczeństwa dla przedsiębiorstw
Klienci i potencjalni klienci Enterprise mogą zwrócić się pod adres [email protected] o następujące dokumenty:
- Aktualny raport SOC 2 Type II (na podstawie umowy NDA);
- Wypełniony kwestionariusz bezpieczeństwa (CAIQ, SIG lub w Państwa własnym formacie);
- Podsumowanie Polityki bezpieczeństwa informacji;
- Podsumowanie testu penetracyjnego.
