Langkah teknis dan organisasi

1. Ruang lingkup dan struktur layanan

• Perusahaan: CreatorFlow Labs S.L., Madrid, Spanyol. Tim kecil yang seluruhnya bekerja secara jarak jauh. Kami tidak mengoperasikan server, ruang server, atau jaringan kantor perusahaan milik sendiri, dan tidak ada data pribadi yang disimpan di lokasi perusahaan.
• Hosting: Seluruh layanan berjalan di Amazon Web Services (AWS) di Uni Eropa, wilayah eu-west-1 (Irlandia). Aplikasi, database, cache, penyimpanan objek, dan backup semuanya berada di wilayah tersebut.
• Data yang diproses: Username Instagram dan pengenal profil publik, teks komentar dan direct message yang memicu automation atau yang dihasilkan oleh automation, alamat email yang dikumpulkan melalui automation, peristiwa klik link, serta data akun dan penagihan pelanggan. Kami tidak bermaksud memproses kategori khusus data pribadi menurut Pasal 9 GDPR.
• Tanggung jawab bersama: AWS menyediakan keamanan fisik dan lingkungan pusat data. CreatorFlow mengoperasikan semua lapisan mulai dari sistem operasi ke atas. Setiap bagian di bawah ini menyebutkan apakah sebuah kontrol berada di sisi AWS atau di sisi CreatorFlow.

2. Kontrol akses fisik (Zutrittskontrolle)

• Lokasi perusahaan: Tidak berlaku. Tidak ada server, perangkat jaringan, atau media penyimpanan berisi data pribadi di lokasi CreatorFlow. Karena itu, ruang server yang dapat dikunci, rak server, pengelolaan kunci, catatan pengunjung, sistem alarm, dan aturan untuk petugas kebersihan atau pemeliharaan tidak berlaku bagi kami.
• Pusat data (AWS): Diwarisi dari AWS. Pusat data AWS menerapkan keamanan perimeter, kontrol akses dengan kartu akses dan biometrik, pendampingan pengunjung, CCTV, dan pencatatan akses. Kontrol ini diaudit berdasarkan ISO 27001 dan SOC 2. Laporannya tersedia bagi pelanggan atas permintaan melalui kami, atau langsung melalui AWS Artifact.
• Listrik darurat dan proteksi kebakaran: Diwarisi dari AWS. Pusat data menggunakan jalur pasokan listrik yang redundan, catu daya tak terputus (UPS) dan generator, serta deteksi dan pemadaman kebakaran otomatis. Semua ini tercakup dalam laporan audit yang sama.

3. Kontrol akses sistem (Zugangskontrolle)

• Autentikasi pelanggan: Pelanggan masuk dengan alamat email dan kata sandi, atau melalui fitur Masuk dengan Google. Formulir pendaftaran mewajibkan kata sandi minimal 8 karakter. Saat ini batas minimum tersebut hanya diterapkan di browser, tidak di sisi server. Kata sandi disimpan dalam bentuk hash dengan salt, tidak pernah dalam bentuk teks biasa. Migrasi ke algoritma hashing kata sandi yang modern (bcrypt atau argon2) dicatat sebagai butir yang belum selesai. Akun baru dibuat setelah pemeriksaan reCAPTCHA. Saat ini konfirmasi email sebelum penggunaan pertama tidak diwajibkan.
• Sesi: Sesi disimpan di sisi server dan dirujuk melalui cookie yang ditandatangani dan memiliki flag HttpOnly. Cookie ini terbatas pada domain kami dan kedaluwarsa setelah 7 hari. Flag Secure belum dipasang pada cookie ini. Penambahan flag tersebut termasuk dalam peta jalan keamanan kami. Penggantian kata sandi mengakhiri sesi yang sedang berjalan dan mencabut token remember-me, tetapi saat ini tidak mengakhiri sesi aktif lain di perangkat lain. Jika administrator mengubah alamat email akun, semua sesi pengguna tersebut menjadi tidak berlaku.
• Penguncian akun: Penguncian akun otomatis setelah upaya login gagal yang berulang belum diterapkan. Perlindungan tambahan terhadap penyalahgunaan login termasuk dalam peta jalan keamanan kami. Link reset kata sandi hanya dikirim ke alamat email yang terdaftar pada akun tersebut.
• Akses Instagram: Kami tidak pernah meminta atau menyimpan kata sandi Instagram. Akun Instagram dihubungkan melalui alur OAuth 2.0 resmi dari Meta, dan token akses yang dihasilkan dienkripsi di tingkat aplikasi (AES-256) sebelum disimpan.
• Akses staf dan infrastruktur: Akses ke konsol AWS, server, dan fungsi administratif dibatasi untuk personel yang ditunjuk dengan kredensial individual. Akses server menggunakan SSH dengan kunci individual. Fungsi administratif di dalam aplikasi dibatasi untuk satu akun administrator yang masuk daftar izin (allow-list), dan fungsi tersebut dikenai batas laju (rate limit).

4. Kontrol akses data (Zugriffskontrolle)

• Pembatasan per tenant: Setiap catatan data pelanggan (automation, kontak, aktivitas, analitik) disimpan bersama pengenal workspace pemiliknya, dan aplikasi hanya menampilkan workspace tempat pengguna menjadi anggota. Pemeriksaan keanggotaan workspace di sisi server sudah diterapkan pada sebagian API dan sedang diperluas ke setiap endpoint yang terikat pada workspace. Sampai proses itu selesai, kami tidak menyatakan bahwa pemisahan tenant sudah diterapkan sepenuhnya di lapisan API.
• Prinsip need-to-know: Hanya personel yang ditunjuk dan mengoperasikan layanan yang dapat mengakses data produksi, dan hanya untuk dukungan, penanganan insiden, dan pemeliharaan.
• Perlindungan kredensial: Token akses Instagram dienkripsi saat disimpan dan dikecualikan dari pembacaan database bawaan, sehingga tidak ikut muncul dalam kueri atau ekspor biasa.
• Data pembayaran: Stripe menangani detail kartu sepenuhnya. CreatorFlow tidak pernah menerima atau menyimpan nomor kartu secara lengkap.

5. Kontrol transfer data (Weitergabekontrolle)

• Enkripsi saat transit: Koneksi antara pengguna dan layanan, serta antara layanan dengan Meta, Stripe, dan penyedia layanan email dan pencatatan log kami, dienkripsi dengan TLS.
• Sub-prosesor: Data pribadi hanya dibagikan kepada sub-prosesor yang tercantum dalam Pasal 5 Perjanjian Pemrosesan Data (DPA), berdasarkan ketentuan pemrosesan data. Data di-hosting dan dicatat dalam log di Uni Eropa. Transfer ke sub-prosesor di luar Uni Eropa didasarkan pada Standard Contractual Clauses atau EU-US Data Privacy Framework, sebagaimana diatur dalam DPA.
• Ekspor: Pelanggan dapat mengekspor kontak yang mereka kumpulkan sebagai file CSV. Setelah diekspor, data tersebut berada di bawah kendali dan tanggung jawab pelanggan.
• Media penyimpanan portabel: Tidak berlaku. Tidak ada media penyimpanan portabel (flashdisk USB, hard disk eksternal, pita backup) yang digunakan untuk data pribadi, sehingga inventaris media penyimpanan tidak diperlukan.

6. Pencatatan log dan kontrol input (Eingabekontrolle)

• Log aplikasi: Aplikasi menulis log terstruktur untuk setiap webhook yang diproses, setiap eksekusi automation, setiap pengiriman pesan, dan setiap permintaan API. Setiap log memuat pengenal korelasi, sehingga satu peristiwa dapat dilacak dari awal sampai akhir.
• Log akses: Lapisan HTTP mencatat satu baris log akses untuk setiap permintaan.
• Penyimpanan terpusat dan retensi: Semua log dikirim ke platform pencatatan log yang di-hosting di Uni Eropa (New Relic, wilayah data UE) dan disimpan selama 30 hari. Pengguna aplikasi tidak dapat mengedit log.
• Log audit administratif: Tindakan yang dilakukan staf CreatorFlow pada akun pelanggan melalui antarmuka administrasi, termasuk penghapusan akun dan perubahan email akun, dicatat dalam log audit beserta administrator yang melakukannya, stempel waktu, dan hasilnya.
• Login yang gagal: Saat ini upaya login pelanggan yang gagal tidak dicatat dalam log keamanan khusus. Pencatatan ini termasuk dalam peta jalan keamanan kami.

7. Kontrol pemisahan data (Trennungskontrolle)

• Pemisahan pelanggan: Data pelanggan dipisahkan secara logis berdasarkan pengenal workspace di lapisan data (multi-tenancy). Pelanggan tidak dapat melihat data milik workspace lain melalui aplikasi.
• Pemisahan fungsional: Data akun dan autentikasi disimpan di database yang terpisah dari data aplikasi (automation, kontak, analitik).
• Lingkungan sistem: Pengujian otomatis dijalankan pada database in-memory yang terisolasi dan tidak pernah menyentuh data produksi. Pengembangan sehari-hari menggunakan database lokal. Personel yang ditunjuk juga menjalankan kueri langsung ke data produksi untuk dukungan, debugging, dan investigasi insiden. Hanya ada satu lingkungan produksi, tanpa lingkungan staging terpisah. Perubahan diverifikasi secara lokal dan melalui rangkaian pengujian otomatis sebelum dirilis, dan dapat dikembalikan ke versi sebelumnya (rollback).
• Pemisahan fisik: Tidak berlaku di luar batas akun AWS. Semua beban kerja berjalan di akun AWS khusus milik CreatorFlow.

8. Ketersediaan dan ketahanan (Verfügbarkeitskontrolle)

• Infrastruktur: Layanan berjalan di satu wilayah AWS (eu-west-1) di dalam grup Auto Scaling yang secara otomatis mengganti host komputasi yang gagal. Data disimpan di volume penyimpanan persisten yang tetap utuh saat host diganti.
• Snapshot: Snapshot volume dibuat sebelum perubahan infrastruktur dan disimpan di wilayah AWS yang sama. Snapshot yang mungkin berisi data pribadi dihapus sesuai rotasi.
• Ketahanan webhook: Meta mengirim ulang webhook Instagram selama periode tertentu setelah gangguan sementara, dan Stripe mencoba ulang webhook penagihan selama beberapa hari, sehingga gangguan singkat tidak menyebabkan peristiwa hilang.
• Pemantauan: Kesehatan aplikasi, throughput, dan tingkat kesalahan dipantau melalui platform pencatatan log kami. Setiap deployment diamati dengan membandingkannya terhadap acuan (baseline) sebelum deployment.
• Batasan: Tidak ada failover multi-wilayah, dan tidak ada target waktu pemulihan (recovery time objective) maupun target titik pemulihan (recovery point objective) yang dijanjikan secara resmi. Layanan ini tidak ditujukan untuk kasus penggunaan yang memerlukan jaminan ketersediaan tanpa henti.
• Ketahanan pusat data: Diwarisi dari AWS (listrik, pendinginan, dan jaringan yang redundan, serta pemadaman kebakaran), lihat Bagian 2.

9. Manajemen patch dan perubahan

• Proses perubahan: Perubahan yang tidak sepele dimulai dengan spesifikasi tertulis dan rencana implementasi. Kode diuji dengan rangkaian pengujian otomatis yang berjalan pada database pengujian yang terisolasi. Setiap rilis melalui proses build dan pemeriksaan tipe (type-check) sebelum deployment.
• Rilis: Aplikasi di-deploy sebagai image container berversi. Image sebelumnya dapat di-deploy ulang untuk mengembalikan aplikasi ke rilis sebelumnya (rollback). Perilaku yang berisiko lebih tinggi dirilis di balik feature flag yang dapat dimatikan tanpa deploy ulang, dan dapat diaktifkan lebih dulu untuk sebagian workspace.
• Verifikasi: Metrik utama dicatat sebelum deployment dan dibandingkan sesudahnya untuk mendeteksi regresi sejak dini.
• Dependensi dan sistem operasi: Dependensi pihak ketiga dan image dasar container diperbarui melalui proses rilis biasa, dan sistem operasi host diperbarui saat host komputasi diganti. Tidak ada jadwal patch tetap menurut kalender. Pembaruan yang terkait keamanan diprioritaskan berdasarkan tingkat keparahannya.
• Register keamanan: Temuan dari audit keamanan yang kami lakukan sendiri dicatat dalam register internal dengan skor tingkat keparahan, lalu diperbaiki sesuai urutan risikonya.

10. Penanganan insiden dan pelanggaran data

• Kontak: Masalah keamanan dapat dilaporkan ke security@creatorflow.so. Kami mengonfirmasi penerimaan laporan dan menyelidikinya. Kami tidak menjalankan program bug bounty berbayar.
• Penanganan: Insiden diselidiki menggunakan log terpusat, dibatasi dampaknya, didokumentasikan beserta kronologi dan akar penyebabnya, lalu diperbaiki. Pelajaran yang diperoleh dimasukkan kembali ke dalam register keamanan.
• Pemberitahuan kepada pelanggan: Jika pelanggaran data pribadi memengaruhi data pelanggan, kami memberi tahu pelanggan tersebut tanpa penundaan yang tidak semestinya setelah kami mengetahuinya, dengan informasi yang dijelaskan dalam Pasal 8 DPA, agar pelanggan dapat memenuhi kewajibannya sendiri berdasarkan Pasal 33 dan 34 GDPR.

11. Langkah organisasi

• Kerahasiaan: Personel yang memiliki akses ke data pribadi terikat oleh kewajiban kerahasiaan berdasarkan kontrak atau undang-undang.
• Siklus hidup akses: Akses ke infrastruktur dan fungsi administratif diberikan secara individual dan dicabut saat seseorang keluar atau berganti peran.
• Perangkat dan kerja jarak jauh: Tim bekerja secara jarak jauh. Data produksi hanya diakses dengan kredensial individual melalui koneksi terenkripsi (TLS, SSH), dan sesuai praktik kerja kami tidak disimpan di perangkat lokal. Tidak ada jaringan kantor perusahaan, sehingga VPN tidak digunakan. Setiap koneksi administratif diautentikasi secara individual dan dienkripsi.
• Meja bersih (clean desk) dan dokumen kertas: Tidak berlaku dalam pengertian klasik. Data pribadi yang diproses melalui layanan hanya ada dalam bentuk elektronik di AWS, dan tidak ada catatan data pelanggan dalam bentuk kertas yang disimpan.
• Pihak ketiga dan pemeliharaan: Tidak ada staf pemeliharaan, kebersihan, atau dukungan eksternal yang memiliki akses ke sistem produksi. Kami tidak menggunakan pemeliharaan jarak jauh oleh pihak ketiga. Infrastruktur hanya dioperasikan oleh personel CreatorFlow.
• Perlindungan endpoint pada server: Beban kerja produksi berjalan sebagai container Linux dengan pengguna non-root, di host yang hanya membuka HTTPS untuk akses publik. Komputer kerja karyawan bukan bagian dari jaringan produksi.

12. Penghapusan dan retensi data

• Penghapusan akun: Atas permintaan, akun dihapus bersama semua workspace, automation, kontak, catatan aktivitas, status automation yang tertunda, dan koneksi Instagram miliknya. Kontak email pemasaran yang terkait juga dihapus. Setiap penghapusan dicatat dalam log audit.
• Penghapusan kontak: Pelanggan dapat menghapus kontak secara individual (alamat email yang dikumpulkan), sehingga mendukung permintaan penghapusan dari subjek data.
• Kedaluwarsa otomatis: Catatan sementara yang digunakan saat automation menunggu tindakan pengguna (misalnya balasan berisi email atau follow) menjadi tidak dapat digunakan dalam waktu 24 hingga 48 jam, tergantung jenis automation. Catatan tersebut dihapus secara fisik dari database dalam waktu 48 jam.
• Log: Log aplikasi dan log akses disimpan selama 30 hari.
• Snapshot: Lihat Bagian 8. Snapshot hanya digunakan untuk memulihkan layanan dari kegagalan sistem. Data pribadi yang sudah dihapus sebelum pemulihan seperti itu harus dihapus lagi sesudahnya. Tidak ada rekonsiliasi otomatis untuk hal ini, sehingga kami menjalankan ulang penghapusan secara manual atas permintaan.

13. Peninjauan langkah-langkah ini