Adapty — це інфраструктурний рівень підписок для тисяч мобільних застосунків, який від імені наших клієнтів обробляє транзакції за підписками на мільярди доларів.
Таке становище покладає на нас чіткий обов’язок: дані, які ви та ваші користувачі нам довіряєте, мають оброблятися дбайливо, перевірятися людьми, які не працюють на нас, і захищатися засобами контролю, що не залежать від жодної окремої особи.
На цій сторінці описано, як ми це забезпечуємо.
Сертифікації
SOC 2 Type II
Незалежна аудиторська фірма CPA перевіряє наші засоби контролю безпеки, доступності та конфіденційності та видає висновок SOC 2 Type II щодо операційної ефективності цих засобів контролю протягом звітного періоду. Чинний звіт доступний клієнтам і потенційним клієнтам за умови укладення угоди про нерозголошення (NDA). Ви можете запросити його у своєї команди з обслуговування облікового запису або за адресою [email protected].
Нормативні вимоги щодо конфіденційності
Adapty обробляє дані кінцевих користувачів виключно як обробник даних, діючи лише відповідно до задокументованих інструкцій наших клієнтів згідно з нашою Угодою про обробку даних. Наші практики обробки розроблено так, щоб відповідати вимогам:
- GDPR (ЄС і Велика Британія);
- LGPD (Бразилія).
Якщо у вашій юрисдикції діють особливі вимоги, не зазначені вище, зв’яжіться з нами — зазвичай ми можемо їх задовольнити.
Як ми захищаємо дані
Шифрування
Усі дані клієнтів шифруються під час передавання (TLS 1.2+) і під час зберігання із застосуванням шифрів галузевого стандарту.
Мережа та інфраструктура
Продуктивна інфраструктура працює в захищених середовищах галузевого стандарту із сегментацією мережі між сервісами, обмеженим вхідним і вихідним трафіком та доступом за принципом найменших привілеїв для невеликої групи інженерів, які взагалі мають доступ до продуктивного середовища. Доступ до продуктивного середовища потребує багатофакторної автентифікації та реєструється в журналах.
Безперервний моніторинг
Журнали нашої інфраструктури та застосунків централізовано збираються, аномалії автоматично запускають сповіщення, а черговий інженер доступний у режимі 24/7 для реагування на інциденти.
Безпечна розробка
Кожна зміна коду проходить рецензування колегами, автоматизований статичний аналіз і перевірки безпеки в CI, перш ніж потрапити в продуктивне середовище. Залежності відстежуються та оновлюються за визначеним графіком, і ми підтримуємо чіткий конвеєр розгортання, який фіксує, хто, що і коли випустив.
Операційні практики
Персонал
Усі працівники проходять навчання з питань безпеки під час прийняття на роботу та щороку. Багатофакторна автентифікація (MFA) є обов’язковою в усіх корпоративних системах, що її підтримують. Доступ до даних клієнтів обмежений, реєструється в журналах і регулярно переглядається.
Постачальники
Кожна третя сторона, на яку ми покладаємося щодо інфраструктури, обробки даних або безпеки, проходить задокументовану перевірку перед початком співпраці та періодично оцінюється повторно. Критично важливі постачальники зобов’язані мати рівнозначні сертифікації (як правило, SOC 2 Type II або ISO 27001).
Відмовостійкість
Ми створюємо зашифровані резервні копії за визначеним графіком, забезпечуємо резервування наших критично важливих сервісів і тестуємо процедури аварійного відновлення, щоб відновлення було тим, що ми справді відпрацювали, а не тим, що ми плануємо з’ясовувати під тиском обставин.
Реагування на інциденти
Ми підтримуємо задокументований план реагування на інциденти з визначеними рівнями серйозності, протоколами комунікації та аналізом після інциденту.
Повідомлення про вразливість
Якщо ви вважаєте, що знайшли проблему безпеки в Adapty, напишіть на адресу [email protected]. Ми розслідуємо кожне обґрунтоване повідомлення, співпрацюємо з автором повідомлення над усуненням проблеми та відзначаємо дослідників, які дотримуються принципів відповідального розкриття інформації (якщо вони не бажають залишитися анонімними).
Для перевірок безпеки клієнтами Enterprise
Клієнти Enterprise та потенційні клієнти можуть запросити за адресою [email protected] такі матеріали:
- Чинний звіт SOC 2 Type II (за умови укладення NDA);
- Заповнений опитувальник з безпеки (CAIQ, SIG або у вашому власному форматі);
- Стислий виклад Політики інформаційної безпеки;
- Стислий виклад результатів тестування на проникнення.
