Segurança

A proteção dos dados dos clientes é uma prioridade máxima no Delighted. Entendemos que você está nos confiando seus dados e assumimos a responsabilidade de protegê-los com extrema seriedade.

Infra-estrutura

Arquitetura do sistema

A arquitetura do Delighted é projetada para ser segura e confiável. Utilizamos uma arquitetura n-tier com firewalls entre cada camada e adicionalmente dentro de certas camadas entre os serviços. Os serviços são acessíveis somente por outros serviços que requerem acesso. As chaves de acesso são giradas regularmente e armazenadas separadamente de nosso código e dados.

Failout e recuperação de desastres

O encanto é construído com capacidade de tolerância a falhas. Cada um de nossos serviços é totalmente redundante com replicação e failover. Os serviços são distribuídos em múltiplas zonas de disponibilidade AWS. Essas zonas são hospedadas em centros de dados fisicamente separados, protegendo os serviços contra falhas de um único centro de dados.

Centros de dados

Nossa aplicação é hospedada e gerenciada dentro dos centros de dados seguros da Amazon Web Services (AWS). Estes centros de dados foram credenciados sob:

  • ISO 27001
  • SOC 1 e SOC 2/SSAE 16/ISAE 3402 (Anteriormente SAS 70 - Tipo II)
  • PCI Nível 1
  • FISMA Moderado
  • Sarbanes-Oxley (SOX)

Fazemos amplo uso das capacidades e serviços fornecidos pela AWS para aumentar a privacidade e controlar o acesso à rede em todo o nosso sistema. Os documentos que fornecem mais detalhes sobre a segurança AWS estão disponíveis nos Whitepapers da AWS.

Vulnerabilidade e pentestesting

Encantado utiliza ferramentas de segurança para procurar continuamente por vulnerabilidades. Além disso, as vulnerabilidades em bibliotecas e ferramentas de terceiros são monitoradas e o software é remendado ou atualizado prontamente quando novos problemas são relatados.

O sistema passa regularmente por revisões de segurança de terceiros e testes de penetração para identificar possíveis vulnerabilidades e garantir que elas sejam abordadas.

Firewall

Nossos servidores são protegidos por firewalls e não estão diretamente expostos à Internet.

Rede corporativa

A Delighted administra uma rede corporativa de confiança zero-trust. Não há recursos corporativos ou privilégios adicionais de pertencer à rede corporativa do Delighted.

Dados

Armazenamento de dados

Armazéns de dados deliciosos são acessíveis somente por servidores que requerem acesso. As chaves de acesso são armazenadas separadamente de nosso repositório de código fonte e só estão disponíveis para os sistemas que necessitam delas. Além disso, os ambientes de produção são sandboxed de ambientes de teste.

Cópias de segurança

Mantemos backups criptografados seguros de dados importantes por um mínimo de 30 dias. Não removemos retroativamente os dados excluídos dos backups, pois podemos precisar restaurá-los, caso sejam removidos acidentalmente. Os dados de backup são totalmente expurgados após 90 dias.

Logs

Nós agregamos logs para garantir o armazenamento criptografado. Todas as informações sensíveis (incluindo senhas, chaves API e questões de segurança) são filtradas de nossos logs do servidor. Os dados dos logs são totalmente expurgados após 90 dias.

Autenticação

Senhas

Nunca armazenamos senhas em uma forma que possa ser recuperada. Ao invés disso, armazenamos um hash criptográfico irreversível usando uma função especificamente projetada para este fim. As sessões de autenticação são invalidadas quando os usuários mudam informações-chave e as sessões expiram automaticamente após um período de inatividade.

Autenticação de dois fatores

Fornecemos autenticação opcional de dois fatores (chamamos isso de segurança em duas etapas) para todas as contas. A segurança em duas etapas proporciona maior proteção em sua conta. Uma vez ativado, será solicitado um código que enviamos para seu telefone celular, além de seu nome de usuário e senha, quando você se conectar ao Delighted.

Monitoramento

Monitoramos e classificamos as tentativas de autenticação de limites em todas as contas.

Funções do usuário

Fornecemos múltiplas funções de usuário com diferentes níveis de permissão dentro do produto. As funções variam de proprietários de conta, a administradores, usuários e funções que limitam a visibilidade das Informações Pessoais Identificáveis (IPI).

Criptografia

HTTPS

Todo o tráfego da web é servido sobre HTTPS. Nós forçamos HTTPS para todos os recursos web, incluindo nosso REST API, aplicativo web e site público. Também usamos HSTS para garantir que os navegadores se comuniquem com nossos serviços usando exclusivamente HTTPS. Além disso, usamos apenas conjuntos de cifras fortes.

Criptografia

Nossas bases de dados primárias, incluindo backups, estão totalmente criptografadas em repouso. Além disso, todos os arquivos e registros são totalmente criptografados em repouso. Utilizamos algoritmos de criptografia padrão da indústria.

Políticas

Políticas

Delicioso desenvolveu um conjunto abrangente de políticas de segurança cobrindo uma gama de tópicos. Essas políticas são atualizadas com freqüência e compartilhadas com os funcionários.

Resposta ao incidente

O Delighted tem um protocolo definido para responder a eventos de segurança.

Treinamento de segurança

Todos os funcionários completam o treinamento de segurança quando aderem e são continuamente atualizados.

Verificação dos empregados

Delicioso realiza verificações de antecedentes em todos os novos funcionários, de acordo com as leis locais. A verificação de antecedentes inclui verificação de emprego e verificações criminais para funcionários americanos.

Confidencialidade

Todos os funcionários assinaram um acordo de confidencialidade com a Delighted.

Conformidade com PCI

Todos os pagamentos por cartão de crédito pagos a Delighted passam por nosso parceiro de processamento de pagamentos, Stripe. Detalhes sobre sua postura de segurança e conformidade com PCI podem ser encontrados na página de Segurança da Stripe.

Divulgação

Se você tiver alguma preocupação ou descobrir algum problema de segurança, favor compartilhar os detalhes usando o formulário de envio. Nossa equipe de Segurança acusará o recebimento de cada relatório de vulnerabilidade, conduzirá uma investigação completa e, em seguida, tomará as medidas apropriadas para a resolução. Solicitamos que você não divulgue publicamente nenhum problema que tenha descoberto até que o tenhamos abordado.