Bezpieczeństwo
Twoje kosztorysy są danymi Twojej firmy
Opisujemy zabezpieczenia, które działają w architekturze eastibeam. Tam, gdzie coś wymaga jeszcze potwierdzenia, piszemy to wprost.
Zabezpieczenia w aplikacji
Najważniejsze mechanizmy, które chronią dane Twojej firmy na co dzień.
Izolacja firm
Każda firma ma odrębną przestrzeń. Zakres firmy jest częścią zapytania do bazy — zanim jakikolwiek dokument zostanie odczytany.
- Ta sama izolacja w wyszukiwaniu, zadaniach w tle, eksportach i kanałach na żywo
- Uprawnienia sprawdzane na serwerze dla każdego zasobu
- Ceny ukryte dla ról, które nie mają ich widzieć
Konta i logowanie
Hasła przechowujemy wyłącznie w postaci skrótu. Logowanie chronią limity prób i weryfikacja dwuetapowa.
- Weryfikacja dwuetapowa TOTP z kodami zapasowymi
- Obowiązkowa dla właścicieli, administratorów i rozliczeń firmy
- Ponowne potwierdzenie przy operacjach wrażliwych, np. zmianie hasła lub płatnościach
- Lista aktywnych sesji i wylogowanie innych urządzeń
Szyfrowanie
Dane przesyłamy wyłącznie szyfrowanymi połączeniami, a baza danych działa w usłudze z szyfrowaniem danych w spoczynku.
- HTTPS (TLS) między przeglądarką a aplikacją
- Szyfrowane połączenia z bazą danych MongoDB Atlas
- Szyfrowanie danych w spoczynku po stronie dostawcy bazy
- Ciasteczka sesji niedostępne dla skryptów strony
Pliki i dokumentacja
Pliki udostępniamy przez aplikację dopiero po sprawdzeniu uprawnień. Importy przechodzą kontrolę, zanim dotkną Twoich danych.
- Rozpoznanie typu pliku po zawartości, nie po rozszerzeniu
- Blokada makr i limity rozmiaru
- Kwarantanna i podgląd przed publikacją importu
Płatności
Płatności obsługuje Stripe. Dane kart nie trafiają na serwery eastibeam.
- Uprawnienia planu dopiero po potwierdzeniu płatności przez Stripe
- Osobne środowiska i klucze testowe oraz produkcyjne
- Zmiany planu tylko dla osób z uprawnieniem do rozliczeń
Dostęp pomocy technicznej
Operator platformy nie ma domyślnego wglądu w kosztorysy firm.
- Dostęp tylko czasowy i uzasadniony
- Każdy dostęp zapisany w historii
- Obowiązkowa weryfikacja dwuetapowa dla operatorów
Audyt i monitoring
Zapisujemy zmiany uprawnień, cen, norm, zatwierdzeń i konfiguracji. Każde żądanie ma identyfikator, który pomaga w diagnozie.
- Historia zmian z autorem i czasem
- Limity dla logowania, wyszukiwania, importu, eksportu i SMS
- Treści kosztorysów nie trafiają do narzędzi diagnostycznych
AI pod kontrolą
Asystent AI (w przygotowaniu) działa w granicach Twoich uprawnień i licencji.
- Propozycje zmian wymagają akceptacji
- Do dostawcy modelu trafia tylko niezbędny kontekst
- Nie zbieramy danych do trenowania modeli
Ciągłość i dane
Kopie zapasowe, lokalizacja i usuwanie danych
Tu rozróżniamy to, co działa, od celów, które potwierdzamy testem.
Kopie zapasowe i odtwarzanie
Przyjęte cele: utrata najwyżej 15 minut danych (RPO) i odtworzenie rdzenia w 4 godziny (RTO). To cele, nie gwarancje — potwierdzimy je testem odtworzenia przed startem sprzedaży i dopiero wtedy wpiszemy do umowy.
Lokalizacja danych
Region przechowywania danych i listę podmiotów przetwarzających wskazujemy w umowie powierzenia przetwarzania danych. Przed zakupem możesz o nie zapytać.
Eksport i usunięcie
Dokumenty firmy możesz wyeksportować. Usunięcie danych firmy przebiega zgodnie z polityką retencji: najpierw wstrzymujemy zadania i dajemy czas na eksport, potem usuwamy dane, indeksy, pliki i pamięć podręczną. Kopie zapasowe mają osobną retencję.
Minimalizacja danych
Nie zbieramy danych „na zapas”. Do dostawców przekazujemy tylko to, co potrzebne do działania usługi.
Widzisz problem z bezpieczeństwem?
Napisz do nas przez formularz kontaktowy i wybierz temat „Pomoc techniczna”. Prosimy nie testować zabezpieczeń na danych innych firm.
Potrzebujesz dokumentów dla działu IT lub prawnego?
Przygotujemy informacje o przetwarzaniu danych i odpowiemy na pytania ankiety bezpieczeństwa.