Securitate
Sigur, pentru că păstrăm mai puțin
Cele mai sigure date sunt cele pe care nu le colectăm niciodată. Ce păstrează totuși Nvivio rămâne în UE, circulă criptat și este accesibil doar celor care au nevoie de el. Această pagină vă spune cum și ce nu avem încă.
- 0adrese IP stocate
- 0parole de furat: vă conectați cu un link primit pe e-mail
- UEdatele dvs. rămân în Frankfurt
Pe scurt
- Adresele IP și user agenții compleți nu sunt stocați niciodată, iar implicit nu se stochează nimic pe dispozitivul vizitatorului.
- Baza de date și autentificarea rulează în Frankfurt; coada de evenimente și setările sunt stocate la Cloudflare, sub jurisdicție UE.
- Totul trece prin HTTPS: HTTP-ul simplu este redirecționat, iar nvivio.com le cere browserelor să nu folosească altceva.
- Fără parole: vă conectați cu un link de unică folosință, primit pe e-mail.
- Cheile API sunt afișate o singură dată și stocate doar ca hash; asistenții AI se conectează prin OAuth.
- Interfețele publice ale bazei de date nu au acces la niciun fel de date, iar fiecare tabel are securitate la nivel de rând.
- Administrarea noastră se află în spatele Cloudflare Access și înregistrează fiecare modificare, cu motivul ei, într-un jurnal de audit.
- Ștergeți un site sau organizația, iar datele aferente sunt șterse în cel mult 24 de ore.
- Ați găsit o vulnerabilitate? Scrieți la security@nvivio.com; răspundem în cinci zile lucrătoare.
Datele dvs.
Colectăm mai puțin
Adresa IP este folosită doar în memorie, în momentul în care sosește o vizită, și nu ajunge niciodată în coadă sau în baza de date. În modul confidențialitate, un vizitator este recunoscut după un cod care se schimbă zilnic; cheia zilnică din spatele lui se șterge după 26 de ore. Din user agent se păstrează doar browserul, sistemul și tipul de dispozitiv, iar adresele sunt curățate înainte să se stocheze ceva.
În UE, fără jurnale
Baza de date și autentificarea rulează la Supabase, în Frankfurt (AWS eu-central-1). Coada de evenimente, setările site-urilor și conexiunile asistenților AI sunt stocate la Cloudflare, sub jurisdicție UE. Panoul, API-ul și serverul MCP rulează lângă baza de date, în Frankfurt. Rezultatele interogărilor nu sunt puse în cache, iar codul nostru nu păstrează jurnale ale cererilor. O vizită ajunge mai întâi în centrul de date Cloudflare cel mai apropiat de vizitator; pentru vizitatorii din UE, acesta se află în UE.
Criptat pe drum
Scriptul, colectarea evenimentelor, site-ul, panoul, API-ul și serverul MCP sunt servite prin HTTPS; o cerere prin HTTP simplu este redirecționată către HTTPS. Fiecare răspuns al nvivio.com le cere browserelor să folosească doar HTTPS timp de un an, inclusiv pe subdomenii (HSTS). Conexiunea dintre codul nostru și baza de date este criptată, iar furnizorii noștri criptează datele stocate și copiile lor de rezervă.
Datele dvs., decizia dvs.
Datele se păstrează cât prevede planul dvs., iar cele mai vechi se șterg în fiecare noapte. Exportați vizitele și totalurile zilnice în CSV, de la planul Starter. Ștergeți un site sau întreaga organizație, iar datele aferente sunt șterse în cel mult 24 de ore, cu un e-mail de confirmare.
Cine are acces
Conectare fără parolă
Vă conectați cu un link de unică folosință pe care îl trimitem la adresa dvs. de e-mail, așa că nu există nicio parolă care să poată fi ghicită, refolosită sau divulgată. Nvivio scrie și trimite singur acel e-mail, și doar atunci când serviciul de autentificare îl cere cu o semnătură validă.
Acces pentru echipa dvs.
Fiecare persoană din organizație are un rol: proprietar, administrator, editor sau cititor, pentru toate site-urile sau doar pentru unul. O invitație funcționează doar pentru adresa de e-mail exactă la care a fost trimisă și expiră după 30 de zile.
Chei API și asistenți AI
O cheie API este afișată o singură dată și stocată doar ca hash. Poate fi doar pentru citire și o puteți revoca oricând. Fără o cheie validă, API-ul refuză orice cerere, cu excepția demo-ului public cu date inventate. Asistenții AI se conectează la serverul MCP prin OAuth, iar tokenurile lor sunt stocate doar ca hash-uri. Serverul MCP nu are acces la baza de date: apelează API-ul în numele dvs.
O bază de date închisă
Datele dvs. sunt accesibile doar prin codul propriu al Nvivio, care verifică la fiecare cerere cine sunteți și ce aveți voie să vedeți. Interfețele publice ale bazei de date (REST și GraphQL) nu ajung la niciun tabel: rolurile publice nu au drepturi, GraphQL este dezactivat, iar fiecare tabel are securitate la nivel de rând.
Propriul nostru acces
Administrarea noastră (admin.nvivio.com) se află în spatele Cloudflare Access, iar propriul nostru cod verifică din nou, la fiecare cerere, tokenul Access și o listă scurtă de persoane nominalizate. Nu arată nimic din statisticile dvs., doar numărul de vizite per site, și nu vă poate deschide panoul. Orice modificare făcută acolo necesită un motiv și intră într-un jurnal de audit care nu poate fi modificat sau șters.
Cum operăm Nvivio
Protecție în browser
Fiecare răspuns al nvivio.com conține antete de securitate. Nicio pagină nu poate fi afișată în interiorul altui site, așa că nimeni nu vă poate păcăli să dați un clic în panou. Fișierele nu sunt interpretate niciodată ca alt tip, o adresă cu cale nu ajunge niciodată la alt site, iar camera, microfonul, locația și subiectele publicitare sunt dezactivate. Pictogramele altor site-uri sunt descărcate de Nvivio și servite cu o politică strictă, așa că o pictogramă nu poate rula niciodată cod.
Nimic pierdut, nimic dublat
Fiecare eveniment primește un identificator unic la sosire, așa că o livrare repetată nu se numără niciodată de două ori. Evenimentele așteaptă într-o coadă cu reîncercări automate și o coadă pentru mesaje eșuate (dead-letter queue), așa că o scurtă întrerupere a bazei de date nu pierde nimic. Scriptul se încarcă asincron, așa că pagina dvs. nu așteaptă niciodată după Nvivio. În plus, furnizorul nostru de bază de date face zilnic o copie de rezervă a bazei de date; ce ștergeți rămâne în acele copii până când expiră.
Cum construim
La fiecare modificare rulează verificările de tipuri și testele automate, iar producția se publică doar din ramura principală. Secretele stau în afara codului și ajung doar la serviciul care are nevoie de ele.
Plăți
Plățile trec prin Mollie, din Amsterdam. Introduceți datele cardului sau ale contului bancar chiar pe pagina Mollie, așa că ele nu ajung niciodată la Nvivio.
Furnizorii noștri și auditurile lor
Nvivio în sine nu deține nicio certificare de securitate, precum ISO 27001 sau SOC 2. Construim pe furnizori auditați independent, care își publică certificările: Cloudflare pentru rețea și codul nostru și Supabase, pe Amazon Web Services, pentru baza de date. Securitatea fizică a centrelor de date ține de ei. Fiecare este obligat printr-un acord de prelucrare a datelor, cu obligații cel puțin la fel de stricte ca ale noastre.
Când ceva nu merge bine
Dacă o încălcare a securității datelor cu caracter personal vă afectează datele, vă anunțăm în cel mult 48 de ore de când aflăm, așa cum promite acordul nostru de prelucrare a datelor, și ținem o evidență a fiecărui incident.
Ce nu avem încă
Mai bine aflați de la noi:
- Un al doilea pas de conectare în Nvivio. Cine vă poate citi căsuța de e-mail se poate conecta, așa că protejați-vă căsuța de e-mail cu verificare în doi pași.
- Conectare prin furnizorul de identitate al firmei dvs. (single sign-on).
- O certificare proprie, precum ISO 27001 sau SOC 2.
- Un program de bug bounty: vă mulțumim nominal, nu cu bani.
- O pagină publică de status.
Ați găsit o vulnerabilitate?
Scrieți la security@nvivio.com, în engleză sau neerlandeză. Vă confirmăm raportul în cinci zile lucrătoare, vă ținem la curent cât timp îl rezolvăm și nu luăm măsuri legale împotriva cercetărilor care respectă politica noastră.
Detaliile, în scris
Măsurile noastre de securitate sunt anexa 2 a acordului de prelucrare a datelor; împreună cu documentele de mai jos, ele reprezintă angajamentul nostru.
Vedeți propriul site în Nvivio chiar azi
Introduceți adresa de e-mail, dați clic pe link, adăugați site-ul și lipiți o linie. Asta e tot.
Pro gratuit 30 de zile · fără card bancar · vă conectați cu un link primit pe e-mail