Dónde
Todos los datos de locales y miembros se guardan en Render en Fráncfort, Alemania, dentro de la UE. La ley británica reconoce que la UE protege los datos personales igual que el Reino Unido. Las imágenes de las tarjetas y las páginas estáticas se sirven desde el mismo lugar. Apple y Google reciben lo que figura en la propia tarjeta, como responsables independientes de sus servicios Wallet. La lista completa de empresas que tocan datos, con regiones y garantías, está en la página de subencargados.
Cómo
Cada registro pertenece a un local y la capa de datos se niega a responder sin uno. En cada versión, una prueba automática inicia sesión como el local A y llama a todas las rutas con los identificadores del local B.
TLS 1.2 o superior en tránsito, con HSTS. Cifrado de disco en reposo, más cifrado a nivel de aplicación de email, teléfono, cumpleaños, tokens de push y secretos de 2FA, con un índice ciego para las búsquedas.
Sin contraseñas. Código por email, inicio de sesión con Apple o Google y después 2FA para dueños y encargados. El equipo usa un PIN que se guarda con hash. Las sesiones se pueden revocar.
Cada escritura se añade a un registro de auditoría. Nuestro propio personal solo accede a datos de miembros mediante una verificación adicional, con cada consulta registrada.
Recuperación a un momento concreto, con un simulacro de restauración cada trimestre.
Cada dependencia con versión fijada, alertas automáticas de vulnerabilidades, actualizaciones semanales.
Lo que aún no está hecho
- No tenemos informe SOC 2 propio; nuestros proveedores de alojamiento tienen el suyo.
- Hay una prueba de penetración externa programada antes del lanzamiento público; el resumen se publicará aquí con la fecha.
- Hay una evaluación de impacto en protección de datos en borrador, que se enlazará aquí cuando esté terminada.
- ISO 27001 no está previsto para el primer año.
Cómo informar de una vulnerabilidad
Escribe a admin@storewallet.co.uk, o consulta /.well-known/security.txt. Confirmamos la recepción en dos días laborables, te mantenemos informado y te damos el crédito si lo deseas. Por favor, no accedas a datos de otras personas mientras haces pruebas.
Si algo sale mal
Avisamos a los locales afectados en las 48 horas siguientes a tener conocimiento de una brecha de datos personales, con lo que sabemos y lo que estamos haciendo, y apoyamos la notificación del propio local al ICO dentro de las 72 horas que permite la ley.