Projekts, stāvoklis uz 2026. gada 19. oktobri. Šis tulkojums ir sniegts tikai informācijai; saistoša ir versija vācu valodā. Pirms publicēšanas papildināt un nodot juridiskai pārbaudei.
1. Darbība un infrastruktūra
KI.ordo darbojas vienā mūsu pārvaldītā serverī [atrašanās vieta vai mitināšanas pakalpojumu sniedzējs un valsts]. Plānā Enterprise KI.ordo darbojas klienta serverī; klients ir atbildīgs par tā fizisko drošību un operētājsistēmu, ja vien nav panākta cita vienošanās.
Viss saturs tiek glabāts datubāzē šajā serverī. Ārējos pakalpojumus mēs izmantojam tikai MI atbildēm un nolūkiem, kas uzskaitīti lapā Apakšapstrādātāji.
2. Šifrēta pārsūtīšana
Mūsu domēnā KI.ordo ir pieejams tikai ar HTTPS (TLS). Pieteikšanās sīkdatnes tad tiek sūtītas tikai pa šifrētiem savienojumiem. Savienojums ar MI pakalpojumu sniedzēju vienmēr ir šifrēts.
3. Pieteikšanās un piekļuve
- Paroles mēs glabājam tikai kā jaucējvērtību, izmantojot scrypt metodi ar nejaušu sāli.
- Sesijās tiek izmantota HttpOnly sīkdatne ar SameSite aizsardzību. Serverī mēs glabājam tikai sesijas atslēgas jaucējvērtību. Sesija beidzas pēc 14 dienām vai atsakoties.
- Arī API atslēgas mēs glabājam tikai kā jaucējvērtību. Tās var jebkurā laikā atsaukt; to pēdējā izmantošana ir redzama.
- Lomas katrā darbvietā: Īpašnieks, Administrators, Redaktors un Skatītājs. Katra persona redz tikai tās darbvietas, kuru dalībniece tā ir.
- Svarīgas izmaiņas tiek reģistrētas darbvietas izmaiņu žurnālā.
4. Aizsardzība pret ļaunprātīgu izmantošanu
- Publiskie galapunkti, piemēram, pieteikšanās, kontaktforma, tīmekļa vietnes tērzēšana un webhook, ierobežo pieprasījumu skaitu no vienas adreses minūtē.
- Tīmekļa vietnes tērzēšanu varat ierobežot līdz apstiprinātām tīmekļa vietnēm.
- Tīmekļa pieprasījumi no plūsmām nevar sasniegt iekšējās vai privātās tīkla adreses.
- Ikmēneša tokenu limits katrai darbvietai novērš negaidītas izmaksas.
5. Rezerves kopijas
Datubāzes rezerves kopija tiek veidota katru nakti. Mēs glabājam pēdējo septiņu dienu rezerves kopijas. [Rezerves kopiju atrašanās vieta, piem., papildus šifrēti ārpus objekta]
6. Organizācija
Pirms publicēšanas pielāgot 6. un 7. sadaļu faktiskajai praksei.
- Piekļuve serverim ir tikai [skaits / lomas] personām, kurām ir konfidencialitātes pienākums.
- Mēs piekļūstam klientu saturam tikai tad, ja tas nepieciešams atbalstam vai darbībai vai ja klients to pieprasa.
- Ierīces ar piekļuvi serverim ir šifrētas un aizsargātas ar ekrāna bloķēšanu.
- Datu nesējus, kas vairs nav vajadzīgi, mēs droši dzēšam vai iznīcinām.
7. Atjauninājumi un testēšana
Mēs uzturam operētājsistēmu un programmatūras pakotnes aktuālas un pirms izlaišanas testējam jaunas KI.ordo versijas ar automatizētiem testiem. [Papildināt ar ārējiem drošības auditiem vai sertifikācijām, kad tie būs pieejami]
8. Incidenti
Ja konstatējam personas datu aizsardzības pārkāpumu, mēs bez nepamatotas kavēšanās informējam skartos klientus un atbalstām viņus paziņošanas pienākumu izpildē. Ja paši esam pārzinis, mēs 72 stundu laikā ziņojam par incidentu uzraudzības iestādei (VDAR 33. pants).
9. Ziņošana par ievainojamībām
Vai atradāt ievainojamību? Rakstiet uz [email protected]. Lūdzu, dodiet mums laiku novērst problēmu, pirms to publiskojat, un nepiekļūstiet citu personu datiem.