Saugumas
Saugu, nes kaupiame mažiau
Saugiausi duomenys – tie, kurių niekada nerenkame. Tai, ką Nvivio vis dėlto saugo, lieka ES, keliauja šifruotai ir pasiekiama tik tiems, kam to reikia. Šiame puslapyje rašome, kaip tai daroma ir ko dar neturime.
- 0saugomų IP adresų
- 0slaptažodžių, kuriuos būtų galima pavogti: prisijungiate per nuorodą el. paštu
- ESjūsų duomenys lieka Frankfurte
Trumpai
- IP adresai ir visos user agent eilutės niekada nesaugomi, o pagal numatytuosius nustatymus jūsų lankytojo įrenginyje nieko nesaugoma.
- Duomenų bazė ir prisijungimai veikia Frankfurte; įvykių eilė ir nustatymai saugomi Cloudflare pagal ES jurisdikciją.
- Viskas veikia per HTTPS: paprastas HTTP nukreipiamas, o nvivio.com nurodo naršyklėms nenaudoti nieko kito.
- Jokių slaptažodžių: prisijungiate per vienkartinę nuorodą el. paštu.
- API raktai parodomi vieną kartą ir saugomi tik kaip maišos reikšmė; DI asistentai jungiasi per OAuth.
- Viešosios duomenų bazės sąsajos nepasiekia jokių duomenų, o kiekviena lentelė turi eilučių lygio saugą.
- Mūsų administravimo sistema yra už Cloudflare Access ir kiekvieną pakeitimą su priežastimi įrašo į audito žurnalą.
- Ištrinkite svetainę ar organizaciją, ir jos duomenys bus ištrinti per 24 val.
- Radote pažeidžiamumą? Rašykite security@nvivio.com; atsakome per penkias darbo dienas.
Jūsų duomenys
Renkame mažiau
IP adresas naudojamas tik atmintyje, tą akimirką, kai užfiksuojamas apsilankymas, ir niekada nepatenka nei į eilę, nei į duomenų bazę. Privatumo režimu lankytojas atpažįstamas pagal kodą, kuris keičiasi kasdien; už jo esantis dienos raktas ištrinamas po 26 valandų. Iš user agent eilutės išsaugoma tik naršyklė, sistema ir įrenginio tipas, o adresai išvalomi dar prieš ką nors išsaugant.
ES, be žurnalų
Duomenų bazė ir prisijungimai veikia Supabase Frankfurte (AWS eu-central-1). Įvykių eilė, svetainių nustatymai ir DI asistentų ryšiai saugomi Cloudflare pagal ES jurisdikciją. Skydelis, API ir MCP serveris veikia šalia duomenų bazės Frankfurte. Užklausų rezultatai nekaupiami podėlyje, o mūsų kodas nefiksuoja užklausų žurnalų. Apsilankymas pirmiausia patenka į arčiausiai lankytojo esantį Cloudflare duomenų centrą; ES lankytojams jis yra ES.
Šifruojama perdavimo metu
Scenarijus, įvykių rinkimas, svetainė, skydelis, API ir MCP serveris teikiami per HTTPS; užklausa per paprastą HTTP nukreipiama į HTTPS. Kiekvienas nvivio.com atsakymas nurodo naršyklėms metus naudoti tik HTTPS, taip pat ir subdomenuose (HSTS). Ryšys tarp mūsų kodo ir duomenų bazės šifruojamas, o mūsų tiekėjai šifruoja saugomus duomenis ir jų atsargines kopijas.
Jūsų duomenys – jūsų sprendimas
Duomenys saugomi tiek, kiek numato jūsų planas, o senesni ištrinami kas naktį. Eksportuokite apsilankymus ir dienos sumas į CSV – nuo plano Starter. Ištrinkite svetainę ar visą organizaciją, ir jos duomenys bus ištrinti per 24 val., o tai patvirtinsime el. laišku.
Kas turi prieigą
Prisijungimas be slaptažodžio
Prisijungiate per vienkartinę nuorodą, kurią siunčiame jūsų el. pašto adresu, todėl nėra slaptažodžio, kurį būtų galima atspėti, panaudoti pakartotinai ar nutekinti. Nvivio tą laišką parengia ir išsiunčia pats, ir tik tada, kai prisijungimo paslauga to paprašo su galiojančiu parašu.
Prieiga jūsų komandai
Kiekvienas jūsų organizacijos narys turi vaidmenį: savininkas, administratorius, redaktorius ar skaitytojas – visoms svetainėms arba tik vienai. Kvietimas veikia tik tuo tiksliu el. pašto adresu, kuriuo buvo išsiųstas, ir nebegalioja po 30 dienų.
API raktai ir DI asistentai
API raktas parodomas vieną kartą ir saugomas tik kaip maišos reikšmė. Jis gali būti tik skaitymo, ir bet kada galite jį panaikinti. Be galiojančio rakto API atmeta kiekvieną užklausą, išskyrus viešąją demonstraciją su išgalvotais duomenimis. DI asistentai prie MCP serverio jungiasi per OAuth, o jų prieigos raktai saugomi tik kaip maišos reikšmės. MCP serveris neturi prieigos prie duomenų bazės: jis kreipiasi į API jūsų vardu.
Uždara duomenų bazė
Jūsų duomenys pasiekiami tik per paties Nvivio kodą, kuris kiekvienos užklausos metu tikrina, kas jūs esate ir ką galite matyti. Viešosios duomenų bazės sąsajos (REST ir GraphQL) nepasiekia jokios lentelės: viešieji vaidmenys neturi jokių teisių, GraphQL išjungtas, o kiekviena lentelė turi eilučių lygio saugą.
Mūsų pačių prieiga
Mūsų administravimo sistema (admin.nvivio.com) yra už Cloudflare Access, o mūsų kodas kiekvienos užklausos metu dar kartą tikrina Access prieigos raktą ir trumpą įvardytų žmonių sąrašą. Joje nerodoma jokia jūsų statistika, tik apsilankymų skaičius kiekvienoje svetainėje, ir ji negali atidaryti jūsų skydelio. Kiekvienam joje atliekamam pakeitimui reikia nurodyti priežastį, o pakeitimas įrašomas į audito žurnalą, kurio negalima pakeisti ar ištrinti.
Kaip valdome Nvivio
Apsauga naršyklėje
Kiekvienas nvivio.com atsakymas turi saugumo antraštes. Nė vieno puslapio negalima parodyti kitoje svetainėje, todėl niekas negali apgaule priversti jūsų ką nors spustelėti skydelyje. Failai niekada neskaitomi kaip kito tipo, adresas su keliu niekada nepatenka į kitą svetainę, o kamera, mikrofonas, vieta ir reklamos temos išjungtos. Kitų svetainių piktogramas Nvivio parsisiunčia pats ir pateikia su griežta politika, todėl piktograma niekada negali vykdyti kodo.
Niekas neprarandama, niekas nesidubliuoja
Kiekvienas įvykis gavimo metu gauna unikalų identifikatorių, todėl pakartotinis pristatymas niekada nesuskaičiuojamas dukart. Įvykiai laukia eilėje su automatiniais pakartotiniais bandymais ir neapdorotų pranešimų eile (dead-letter queue), todėl trumpas duomenų bazės sutrikimas nieko nepraranda. Scenarijus įkeliamas asinchroniškai, todėl jūsų puslapis niekada nelaukia Nvivio. Be to, mūsų duomenų bazės tiekėjas kasdien daro atsarginę duomenų bazės kopiją; tai, ką ištrinate, lieka tose kopijose, kol jos nebegalioja.
Kaip kuriame
Kiekvienam pakeitimui paleidžiami tipų patikrinimai ir automatiniai testai, o į gamybinę aplinką diegiama tik iš pagrindinės šakos. Slaptieji duomenys laikomi atskirai nuo kodo ir suteikiami tik tai paslaugai, kuriai jų reikia.
Mokėjimai
Mokėjimai vyksta per Mollie Amsterdame. Kortelės ar banko duomenis įvedate paties Mollie puslapyje, todėl jie niekada nepasiekia Nvivio.
Mūsų tiekėjai ir jų auditai
Pats Nvivio neturi jokio saugumo sertifikato, pvz., ISO 27001 ar SOC 2. Remiamės tiekėjais, kurie yra nepriklausomai audituojami ir skelbia savo sertifikatus: Cloudflare – tinklui ir mūsų kodui, Supabase (Amazon Web Services infrastruktūroje) – duomenų bazei. Už fizinę duomenų centrų apsaugą atsako jie. Kiekvieną iš jų saisto duomenų tvarkymo sutartis su įsipareigojimais, ne mažiau griežtais nei mūsų.
Kai kas nors nutinka
Jei asmens duomenų saugumo pažeidimas paliečia jūsų duomenis, pranešame jums per 48 valandas nuo tada, kai apie jį sužinome, kaip įsipareigojame duomenų tvarkymo sutartyje, ir registruojame kiekvieną incidentą.
Ko dar neturime
Geriau išgirskite tai iš mūsų:
- Antrasis prisijungimo žingsnis Nvivio. Kas gali skaityti jūsų pašto dėžutę, gali ir prisijungti, todėl apsaugokite ją patvirtinimu dviem veiksmais.
- Prisijungimas per jūsų įmonės tapatybės teikėją (single sign-on).
- Savas sertifikatas, pvz., ISO 27001 ar SOC 2.
- Atlygis už rastas klaidas (bug bounty): dėkojame paminėdami jūsų vardą, o ne pinigais.
- Viešas būsenos puslapis.
Radote pažeidžiamumą?
Rašykite security@nvivio.com anglų arba nyderlandų kalba. Jūsų pranešimą patvirtiname per penkias darbo dienas, informuojame, kol taisome, ir nesiimame teisinių veiksmų prieš tyrimus, atliekamus pagal mūsų politiką.
Išsamiai ir raštu
Mūsų saugumo priemonės yra duomenų tvarkymo sutarties 2 priedas; kartu su toliau pateiktais dokumentais jos yra tai, ką įsipareigojame daryti.
Pamatykite savo svetainę Nvivio jau šiandien
Įveskite el. pašto adresą, spustelėkite nuorodą, pridėkite svetainę ir įklijuokite vieną eilutę. Tai viskas.
Pro nemokamai 30 d. · be kredito kortelės · prisijungimas per nuorodą el. paštu