Securitatea platformei

Cum funcționează azi privacy.ro ca să protejeze datele. Obligațiile față de firmele-client sunt în acordul de prelucrare.

Conexiunea și paginile

Paginile se servesc doar prin HTTPS, iar browserul e instruit să nu mai folosească HTTP pentru privacy.ro (HSTS).
Paginile publice nu setează cookie-uri și nu încarcă nimic de pe alte domenii: fără fonturi, scripturi sau statistici ale altor furnizori. Se verifică automat la fiecare versiune.
O politică strictă de securitate a conținutului (CSP) permite doar resursele privacy.ro, iar paginile nu pot fi încadrate în alte site-uri.

Fiecare cont are o parolă de cel puțin 12 caractere și autentificare în doi pași (cod TOTP), obligatorie, cu 10 coduri de rezervă.
Parolele se păstrează doar ca amprentă bcrypt, nu în clar.
După 5 încercări greșite, contul se blochează temporar: 15 minute, apoi tot mai mult la fiecare încercare greșită, până la 24 de ore.
O sesiune se închide după 12 ore sau după o oră fără activitate. Contul firmei și panoul personalului au sesiuni și cookie-uri separate.

Ce scriu firmele (registrul prelucrărilor, cererile persoanelor vizate, acordurile, breșele, evidența responsabilului cu protecția datelor) se păstrează criptat cu AES-256-GCM, cu chei proprii fiecărei firme.
Cheile firmelor sunt la rândul lor criptate cu o cheie principală care nu se află în baza de date.
O valoare criptată copiată în alt rând sau la altă firmă nu se mai poate deschide.
La ștergerea unei firme, cheile ei se distrug.

Orice citire a datelor unei firme trece printr-un filtru al firmei; o verificare automată respinge codul care ar ocoli filtrul.
Testele deschid fiecare pagină și fiecare formular al unei firme cu sesiunea alteia și cer răspunsul „nu există”.
Personalul privacy.ro vede datele unei firme doar cât timp firma îi acordă acces, iar fiecare vizualizare apare în jurnalul firmei.

Acțiunile importante (conectări, modificări, aprobări, ștergeri) se scriu într-un jurnal în care fiecare rând conține amprenta celui precedent: un rând modificat, șters sau adăugat ulterior se observă.
Jurnalul reține ce câmpuri s-au schimbat, nu valorile lor.
Jurnalele de funcționare ale serverului nu conțin adresele IP ale vizitatorilor, parole sau chei.

Scannerul deschide site-urile într-un browser izolat, într-un proces separat de restul platformei, fără acces la datele firmelor.
Conexiunile browserului trec printr-un filtru care refuză adresele interne ale serverului și rețelele private.
Răspunsurile din generatorul de documente nu se păstrează: documentul se face în memorie și se trimite.