Dove
Tutti i dati dei locali e degli iscritti sono conservati su Render a Francoforte, in Germania, all'interno dell'UE. La legge britannica riconosce all'UE lo stesso livello di protezione dei dati personali del Regno Unito. Le immagini delle carte e le pagine statiche sono servite dallo stesso luogo. Apple e Google ricevono ciò che è sulla carta stessa, come titolari autonomi dei loro servizi Wallet. L'elenco completo delle aziende che accedono ai dati, con regioni e garanzie, è nella pagina dei sub-responsabili.
Come
Ogni record appartiene a un locale e il livello dati si rifiuta di rispondere senza. A ogni build, un test automatico accede come locale A e chiama ogni percorso con gli identificativi del locale B.
TLS 1.2 o superiore in transito con HSTS. Crittografia del disco a riposo, più crittografia a livello applicativo di email, telefono, compleanno, token push e segreti 2FA, con un indice cieco per le ricerche.
Niente password. Codice via email, accesso con Apple o Google, poi 2FA per titolari e responsabili. Il personale usa un PIN salvato come hash. Le sessioni si possono revocare.
Ogni scrittura viene aggiunta a un registro di audit. Il nostro personale accede ai dati degli iscritti solo con un'autenticazione rafforzata e ogni visualizzazione viene registrata.
Ripristino a un punto nel tempo, con una prova di ripristino ogni trimestre.
Ogni dipendenza con versione fissata, avvisi automatici sulle vulnerabilità, aggiornamenti settimanali.
Non ancora fatto
- Nessun report SOC 2 nostro; i nostri fornitori di hosting hanno il loro.
- Test di penetrazione esterno previsto prima del lancio pubblico; il riepilogo sarà pubblicato qui con la data.
- Una valutazione d'impatto sulla protezione dei dati è in bozza e sarà indicata qui una volta completata.
- ISO 27001 non è prevista per il primo anno.
Segnalare una vulnerabilità
Scrivi a admin@storewallet.co.uk, oppure consulta /.well-known/security.txt. Confermiamo la ricezione entro due giorni lavorativi, ti teniamo aggiornato e, se lo desideri, ti citiamo. Ti chiediamo di non accedere ai dati di altre persone durante i test.
Se qualcosa va storto
Avvisiamo i locali interessati entro 48 ore dal momento in cui veniamo a conoscenza di una violazione dei dati personali, con ciò che sappiamo e ciò che stiamo facendo, e supportiamo la notifica del locale all'ICO entro le 72 ore previste dalla legge.