Środki techniczne i organizacyjne

1. Zakres i środowisko przetwarzania

• Spółka: CreatorFlow Labs S.L., Madryt, Hiszpania. Mały zespół pracujący w pełni zdalnie. Nie utrzymujemy własnych serwerów, serwerowni ani firmowej sieci biurowej, a w pomieszczeniach spółki nie są przechowywane żadne dane osobowe.
• Hosting: cała usługa działa na infrastrukturze Amazon Web Services (AWS) w Unii Europejskiej, w regionie eu-west-1 (Irlandia). Aplikacja, bazy danych, pamięci podręczne, magazyn obiektów i kopie zapasowe znajdują się w całości w tym regionie.
• Przetwarzane dane: nazwy użytkowników na Instagramie i publiczne identyfikatory profili, treść komentarzy i wiadomości prywatnych, które uruchamiają automatyzacje lub powstają w ich wyniku, adresy e-mail zebrane za pomocą automatyzacji, zdarzenia kliknięć w linki oraz dane kont i dane rozliczeniowe klientów. Nie przewiduje się przetwarzania szczególnych kategorii danych osobowych w rozumieniu art. 9 RODO.
• Wspólna odpowiedzialność: bezpieczeństwo fizyczne i środowiskowe centrów danych zapewnia AWS; wszystkim od systemu operacyjnego w górę zarządza CreatorFlow. Każda z poniższych sekcji wskazuje, po której stronie leży dany środek.

2. Kontrola dostępu fizycznego (Zutrittskontrolle)

• Pomieszczenia spółki: nie dotyczy. W pomieszczeniach CreatorFlow nie ma żadnych serwerów, urządzeń sieciowych ani nośników danych zawierających dane osobowe. Dlatego nie dotyczą nas zamykane serwerownie, szafy serwerowe, gospodarka kluczami, rejestry gości, systemy alarmowe ani zasady dla personelu sprzątającego lub serwisowego.
• Centra danych (AWS): środki zapewniane przez AWS. Centra danych AWS stosują ochronę obwodową, kontrolę dostępu z użyciem identyfikatorów i biometrii, eskortowanie odwiedzających, monitoring CCTV i rejestrowanie dostępu. Środki te podlegają audytom ISO 27001 i SOC 2, a raporty z nich są dostępne dla klientów na żądanie za naszym pośrednictwem lub bezpośrednio w AWS Artifact.
• Zasilanie awaryjne i ochrona przeciwpożarowa: środki zapewniane przez AWS. Centra danych mają redundantne linie zasilania, zasilacze bezprzerwowe i generatory oraz automatyczne systemy wykrywania i gaszenia pożarów; obejmują je te same raporty z audytów.

3. Kontrola dostępu do systemów (Zugangskontrolle)

• Uwierzytelnianie klientów: klienci logują się adresem e-mail i hasłem albo przez Google. Formularz rejestracji wymaga hasła o długości co najmniej 8 znaków; to minimum jest obecnie wymuszane wyłącznie w przeglądarce, a nie po stronie serwera. Hasła są przechowywane w postaci skrótów kryptograficznych z solą, nigdy jako jawny tekst; przejście na nowoczesny algorytm haszowania haseł (bcrypt lub argon2) figuruje jako otwarty punkt do realizacji. Nowe konta są tworzone po weryfikacji reCAPTCHA; potwierdzenie adresu e-mail przed pierwszym użyciem nie jest obecnie wymagane.
• Sesje: sesje są przechowywane po stronie serwera i wskazywane przez podpisany plik cookie z flagą HttpOnly, ograniczony do naszej domeny, który wygasa po 7 dniach. Ten plik cookie nie ma jeszcze ustawionej flagi Secure; jej dodanie jest ujęte w naszym planie działań w zakresie bezpieczeństwa. Zmiana hasła kończy bieżącą sesję i unieważnia tokeny „zapamiętaj mnie”, ale obecnie nie kończy innych aktywnych sesji na innych urządzeniach. Zmiana adresu e-mail konta przeprowadzona przez administratora unieważnia wszystkie sesje tego użytkownika.
• Blokada konta: automatyczna blokada konta po wielokrotnych nieudanych próbach logowania nie jest jeszcze wdrożona; dodatkowe zabezpieczenia przed nadużyciami przy logowaniu są ujęte w naszym planie działań w zakresie bezpieczeństwa. Linki do resetowania hasła są wysyłane wyłącznie na adres e-mail przypisany do konta.
• Dostęp do Instagrama: nigdy nie prosimy o hasła do Instagrama ani ich nie przechowujemy. Konta na Instagramie są łączone za pośrednictwem oficjalnego przepływu OAuth 2.0 firmy Meta, a uzyskane w ten sposób tokeny dostępu są przed zapisaniem szyfrowane na poziomie aplikacji (AES-256).
• Dostęp personelu do infrastruktury: dostęp do konsoli AWS, serwerów i funkcji administracyjnych mają wyłącznie imiennie wskazane osoby z indywidualnymi danymi uwierzytelniającymi; dostęp do serwerów odbywa się przez SSH z indywidualnymi kluczami. Funkcje administracyjne w aplikacji są dostępne wyłącznie dla jednego konta administratora z listy dozwolonych i objęte limitem częstotliwości żądań.

4. Kontrola dostępu do danych (Zugriffskontrolle)

• Przypisanie danych do przestrzeni roboczych: każdy rekord klienta (automatyzacje, kontakty, aktywność, analityka) jest przechowywany z identyfikatorem przestrzeni roboczej, do której należy, a aplikacja pokazuje użytkownikowi tylko te przestrzenie robocze, których jest członkiem. Sprawdzanie członkostwa w przestrzeni roboczej po stronie serwera działa w części API i jest rozszerzane na każdy punkt końcowy powiązany z przestrzenią roboczą; dopóki nie zostanie to zakończone, nie określamy rozdzielenia dzierżawców (przestrzeni roboczych) jako w pełni wymuszonego na poziomie API.
• Zasada wiedzy koniecznej: dostęp do danych produkcyjnych mają wyłącznie imiennie wskazane osoby obsługujące usługę i tylko w celu wsparcia, obsługi incydentów i konserwacji.
• Ochrona danych uwierzytelniających: tokeny dostępu do Instagrama są szyfrowane w spoczynku i wyłączone z domyślnych odczytów bazy danych, więc nie zwracają ich zwykłe zapytania ani eksporty.
• Dane płatnicze: danymi kart w całości zajmuje się Stripe; CreatorFlow nigdy nie otrzymuje ani nie przechowuje pełnych numerów kart.

5. Kontrola przekazywania danych (Weitergabekontrolle)

• Szyfrowanie podczas przesyłania: połączenia między użytkownikami a usługą oraz między usługą a Meta, Stripe i naszymi dostawcami usług e-mail i obsługi logów są szyfrowane za pomocą TLS.
• Podmioty podprzetwarzające: dane osobowe są udostępniane wyłącznie podmiotom podprzetwarzającym wymienionym w sekcji 5 DPA, na podstawie warunków przetwarzania danych. Hosting danych i gromadzenie logów odbywają się w Unii Europejskiej; transfery do podmiotów podprzetwarzających spoza UE opierają się na standardowych klauzulach umownych lub na unijno-amerykańskich ramach ochrony danych (EU-US Data Privacy Framework), jak określono w DPA.
• Eksport: klienci mogą eksportować zebrane kontakty do pliku CSV. Po eksporcie dane te znajdują się pod kontrolą klienta, który ponosi za nie odpowiedzialność.
• Nośniki wymienne: nie dotyczy. Do danych osobowych nie używamy żadnych wymiennych nośników danych (pamięci USB, dysków zewnętrznych, taśm z kopiami zapasowymi), dlatego ewidencja nośników danych nie jest wymagana.

6. Rejestrowanie zdarzeń i kontrola wprowadzania danych (Eingabekontrolle)

• Logi aplikacji: aplikacja zapisuje ustrukturyzowane logi każdego przetworzonego webhooka, uruchomienia automatyzacji, wysłania wiadomości i żądania API, a każdy wpis zawiera identyfikator korelacji, dzięki któremu pojedyncze zdarzenie można prześledzić od początku do końca.
• Logi dostępu: warstwa HTTP zapisuje jeden wiersz logu dostępu dla każdego żądania.
• Centralne gromadzenie i okres przechowywania: wszystkie logi są przesyłane na hostowaną w UE platformę do obsługi logów (New Relic, region danych UE) i przechowywane przez 30 dni. Użytkownicy aplikacji nie mogą edytować logów.
• Dziennik audytu działań administracyjnych: działania wykonywane przez pracowników CreatorFlow na kontach klientów za pomocą interfejsu administracyjnego, w tym usunięcia kont i zmiany adresów e-mail kont, są zapisywane w dzienniku audytu wraz z informacją o administratorze, który je wykonał, znacznikiem czasu i wynikiem.
• Nieudane logowania: nieudane próby logowania klientów nie są obecnie zapisywane w osobnym dzienniku bezpieczeństwa; zmiana ta jest ujęta w naszym planie działań w zakresie bezpieczeństwa.

7. Kontrola rozdzielenia danych (Trennungskontrolle)

• Rozdzielenie danych klientów: dane klientów są logicznie rozdzielone w warstwie danych za pomocą identyfikatora przestrzeni roboczej (wielodzierżawność). Klienci nie mogą w aplikacji zobaczyć danych należących do innych przestrzeni roboczych.
• Rozdzielenie funkcjonalne: dane kont i dane uwierzytelniające są przechowywane w bazie danych oddzielnej od danych aplikacji (automatyzacje, kontakty, analityka).
• Środowiska: testy automatyczne działają na odizolowanej bazie danych w pamięci i nigdy nie operują na danych produkcyjnych. Bieżące prace programistyczne odbywają się na lokalnych bazach danych; imiennie wskazane osoby wykonują też bezpośrednie zapytania do danych produkcyjnych w celu wsparcia, debugowania i badania incydentów. Istnieje jedno środowisko produkcyjne i nie ma osobnego środowiska przedprodukcyjnego; przed wydaniem zmiany są weryfikowane lokalnie oraz za pomocą zestawu testów automatycznych i można je wycofać.
• Rozdzielenie fizyczne: nie dotyczy w zakresie wykraczającym poza granicę konta AWS; wszystkie obciążenia robocze działają na odrębnym koncie AWS należącym do CreatorFlow.

8. Dostępność i odporność (Verfügbarkeitskontrolle)

• Infrastruktura: usługa działa w jednym regionie AWS (eu-west-1), w grupie automatycznego skalowania, która automatycznie zastępuje niesprawny host obliczeniowy. Dane znajdują się na trwałych woluminach pamięci masowej, które nie są tracone przy wymianie hosta.
• Migawki: migawki woluminów są tworzone przed zmianami w infrastrukturze i przechowywane w tym samym regionie AWS. Migawki, które mogą zawierać dane osobowe, są usuwane w ramach rotacji.
• Odporność webhooków: Meta przez pewien czas po tymczasowej przerwie w działaniu usługi ponownie dostarcza webhooki z Instagrama, a Stripe ponawia webhooki rozliczeniowe przez kilka dni, więc krótkie przerwy nie powodują utraty zdarzeń.
• Monitorowanie: stan aplikacji, przepustowość i wskaźniki błędów są monitorowane za pomocą naszej platformy do obsługi logów; wdrożenia są obserwowane w porównaniu ze stanem bazowym sprzed wdrożenia.
• Ograniczenia: nie ma przełączania awaryjnego między regionami ani formalnego zobowiązania do określonego docelowego czasu odtworzenia lub docelowego punktu odtworzenia. Usługa nie jest przeznaczona do zastosowań, które wymagają gwarantowanej ciągłej dostępności.
• Odporność centrów danych: środki zapewniane przez AWS (redundantne zasilanie, chłodzenie i sieć, gaszenie pożarów), zob. sekcję 2.

9. Zarządzanie poprawkami i zmianami

• Proces wprowadzania zmian: zmiany inne niż drobne zaczynają się od pisemnej specyfikacji i planu implementacji. Kod jest objęty zestawem testów automatycznych, które działają na odizolowanych testowych bazach danych, a przed wdrożeniem każde wydanie jest budowane i sprawdzane pod kątem zgodności typów.
• Wydania: aplikacja jest wdrażana jako wersjonowane obrazy kontenerów. Aby wycofać wydanie, można ponownie wdrożyć poprzedni obraz. Zmiany w działaniu aplikacji obarczone wyższym ryzykiem są udostępniane za flagami funkcji, które można wyłączyć bez ponownego wdrożenia i które można najpierw włączyć dla części przestrzeni roboczych.
• Weryfikacja: kluczowe wskaźniki są rejestrowane przed wdrożeniem i porównywane po nim, aby wcześnie wykryć regresje.
• Zależności i system operacyjny: zewnętrzne zależności i bazowe obrazy kontenerów są aktualizowane w ramach standardowego procesu wydawania, a system operacyjny hosta jest odświeżany przy wymianie hosta obliczeniowego. Nie ma stałego, kalendarzowego harmonogramu instalowania poprawek; aktualizacjom istotnym dla bezpieczeństwa nadajemy priorytet według ich wagi.
• Rejestr bezpieczeństwa: ustalenia z naszych własnych audytów bezpieczeństwa ewidencjonujemy w wewnętrznym rejestrze wraz z oceną wagi, a stwierdzone problemy usuwamy w kolejności wynikającej z poziomu ryzyka.

10. Obsługa incydentów i naruszeń ochrony danych

• Kontakt: problemy dotyczące bezpieczeństwa można zgłaszać na adres security@creatorflow.so. Potwierdzamy otrzymanie zgłoszeń i je badamy; nie prowadzimy płatnego programu bug bounty.
• Postępowanie: incydenty badamy z wykorzystaniem centralnych logów, ograniczamy ich zasięg, dokumentujemy wraz z osią czasu i przyczyną źródłową, a następnie podejmujemy działania naprawcze. Wnioski wyciągnięte z incydentów trafiają do rejestru bezpieczeństwa.
• Powiadamianie klientów: jeśli naruszenie ochrony danych osobowych dotyczy danych klienta, powiadamiamy tego klienta bez zbędnej zwłoki po stwierdzeniu naruszenia i przekazujemy mu informacje opisane w sekcji 8 DPA, aby mógł wypełnić własne obowiązki wynikające z art. 33 i 34 RODO.

11. Środki organizacyjne

• Poufność: osoby mające dostęp do danych osobowych są związane umownymi lub ustawowymi obowiązkami zachowania poufności.
• Nadawanie i odbieranie dostępu: dostęp do infrastruktury i funkcji administracyjnych jest przyznawany indywidualnie i odbierany, gdy dana osoba odchodzi lub zmienia rolę.
• Urządzenia i praca zdalna: zespół pracuje zdalnie. Dostęp do danych produkcyjnych odbywa się wyłącznie z użyciem indywidualnych danych uwierzytelniających przez szyfrowane połączenia (TLS, SSH), a zgodnie z przyjętą praktyką dane te nie są przechowywane na urządzeniach lokalnych. Nie ma firmowej sieci biurowej, więc nie używamy VPN; każde połączenie administracyjne jest indywidualnie uwierzytelniane i szyfrowane.
• Polityka czystego biurka i dokumentacja papierowa: nie dotyczy w klasycznym rozumieniu: dane osobowe przetwarzane w ramach usługi istnieją wyłącznie w formie elektronicznej w AWS i nie prowadzimy papierowej dokumentacji danych klientów.
• Podmioty trzecie i konserwacja: żaden zewnętrzny personel konserwacyjny, sprzątający ani pomocy technicznej nie ma dostępu do systemów produkcyjnych. Nie korzystamy ze zdalnej konserwacji przez podmioty trzecie; infrastrukturę obsługuje wyłącznie personel CreatorFlow.
• Ochrona punktów końcowych na serwerach: obciążenia produkcyjne działają jako kontenery linuksowe na kontach użytkowników innych niż root, na hoście, który publicznie udostępnia wyłącznie HTTPS; stacje robocze pracowników nie są częścią sieci produkcyjnej.

12. Usuwanie i przechowywanie danych

• Usunięcie konta: na żądanie konto jest usuwane wraz ze wszystkimi jego przestrzeniami roboczymi, automatyzacjami, kontaktami, zapisami aktywności, oczekującymi stanami automatyzacji i połączeniami z Instagramem, a odpowiadający mu kontakt na liście e-maili marketingowych jest usuwany. Każde usunięcie jest odnotowywane w dzienniku audytu.
• Usuwanie kontaktów: klient może usuwać poszczególne kontakty (zebrane adresy e-mail), co pomaga w realizacji żądań usunięcia danych składanych przez osoby, których dane dotyczą.
• Automatyczne wygasanie: tymczasowe rekordy używane, gdy automatyzacja czeka na działanie użytkownika (na przykład odpowiedź z adresem e-mail lub zaobserwowanie konta), przestają nadawać się do użycia w ciągu 24 do 48 godzin, zależnie od rodzaju automatyzacji, i są fizycznie usuwane z bazy danych w ciągu 48 godzin.
• Logi: logi aplikacji i logi dostępu są przechowywane przez 30 dni.
• Migawki: zob. sekcję 8. Migawki są odtwarzane wyłącznie w celu przywrócenia działania usługi po awarii systemu. Dane osobowe usunięte przed takim odtworzeniem musiałyby zostać po nim ponownie usunięte; nie ma do tego automatycznego mechanizmu uzgadniania, dlatego na żądanie ręcznie ponownie przeprowadzamy usunięcia.

13. Przegląd niniejszych środków