Biztonsági áttekintés

Tartalom

1. 1. Röviden
2. 2. Hol tároljuk az Ön adatait
3. 3. Titkosítás
4. 4. Az egyes vállalkozások adatainak elkülönítése
5. 5. Bejelentkezési védelem
6. 6. Auditnapló és a manipuláció észlelése
7. 7. Mentések és helyreállítás
8. 8. Fizetések és pénzeszközök
9. 9. Mesterséges intelligencia
10. 10. A csapatunk hozzáférése
11. 11. Felügyelet és incidenskezelés
12. 12. Tanúsítványok
13. 13. Mit tehet Ön
14. 14. Sérülékenység bejelentése

Verzió: 1.2 · Közzétéve: 2026. október 16. · Hatályos: új Munkaterületek esetében az elfogadáskor; a korábbi Verziót elfogadó Munkaterületek esetében azon a napon, amelyet a STAK az ügyfeleknek szóló szolgáltatási feltételek 20. pontja szerinti értesítésében megad · Irányadó szöveg: angol (az ügyfeleknek szóló szolgáltatási feltételek 23.9. pontja)

Kiadó: a STAK Global, LLC, az Amerikai Egyesült Államok Delaware államában létrehozott korlátolt felelősségű társaság (nyilvántartási szám: 10798493), amely a STAK (ستاك) és a Szolgáltatások tulajdonosa. Kapcsolat: [email protected].

Ez a Biztonsági áttekintés közérthető nyelven elmagyarázza, hogyan védjük az Ön vállalkozásának adatait, és hogyan őrizzük azok másolatait, a jelen Verzió Hatálybalépési Dátumán fennálló helyzet szerint. Frissítjük, ha ez megváltozik. Kizárólag tájékoztató jellegű. Szerződéses kötelezettségvállalásaink az Adatfeldolgozási szerződésben találhatók. A STAK ügyfeleknek szóló szolgáltatási feltételeiben meghatározott kifejezések a jelen Biztonsági áttekintésben ugyanazt a jelentést hordozzák.

1. Röviden

• Az Ön adatait titkosítjuk, miközben utaznak, és miközben a rendszereinkben tároljuk őket.
• Az egyes vállalkozások adatait magában az adatbázisban elkülönítjük az összes többiétől.
• Folyamatos Mentéseket készítünk, és a napi és havi másolatokat egy másik országban őrizzük, idő előtti törlés ellen védve.
• Nem tárolunk kártyaszámokat, és az Ön pénzét soha nem fogadjuk és nem őrizzük.
• Minden fontos módosítást egy olyan auditnaplóban rögzítünk, amelyet egyetlen Felhasználó sem módosíthat.
• Jelenleg nem rendelkezünk ISO 27001 tanúsítvánnyal vagy SOC 2 jelentéssel. Ha megszerezzük őket, azt itt közöljük.

2. Hol tároljuk az Ön adatait

2.1 A Szolgáltatások az Amazon Web Services felhőinfrastruktúráján futnak a frankfurti régióban, a Németországi Szövetségi Köztársaságban. A Mentéseket az Amazon Web Services egy különálló, az Ír Köztársaságban található régiójába másoljuk. Ez az elkülönítés azt jelenti, hogy az Ön adatainak egy másolata akkor is megőrizhető, ha az elsődleges tárhelyrégió egésze kiesik.

2.2 A jövőben a tárhelyet másik régióba helyezhetjük át. Erről legalább 30 nappal előre értesítjük Önt. A Szolgáltatásoknak az elsődleges tárhelyrégió kiesését követően az Ír Köztársaságban lévő Mentésekből történő átmeneti üzemeltetése nem minősül áthelyezésnek, és erről haladéktalanul tájékoztatjuk Önt.

2.3 A STAK-ot a STAK Global, LLC, az Amerikai Egyesült Államokban alapított társaság nyújtja. A tárhelyszolgáltatónk és néhány más szolgáltatónk szintén az amerikai jog hatálya alá tartozik. Az Ön adatait bármely kormány jogellenes hozzáférésétől az Adatfeldolgozási szerződés 13. pontjában foglaltak szerint védjük: adatot csak kötelező erejű megkeresésre szolgáltatunk ki, erről értesítjük Önt, kivéve, ha a jog ezt tiltja, a kiszolgáltatást a minimumra korlátozzuk, és megtámadjuk azokat a megkereséseket, amelyeket ésszerűen jogellenesnek tartunk. Az Ön adatait tároláskor és továbbításkor is titkosítjuk.

3. Titkosítás

3.1 A Szolgáltatásokhoz való minden kapcsolatot a TLS 1.2-es vagy újabb verziójával titkosítanak, és az alkalmazás minden kapcsolódáskor ellenőrzi az adatbázis-kiszolgáló identitását.

3.2 Az adatbázisokat, lemezeket, fájlokat, Mentéseket és a titkos adatok tárolóját nyugalmi állapotban AES-256-tal titkosítják, az Amazon kulcskezelő szolgáltatásán keresztül vagy a tárhelyszolgáltató által kezelt kulcsokkal.

3.3 Az Ön munkavállalóinak aktáit és a klinikai nyilvántartásokat az alkalmazáson belül külön kulcsokkal további titkosítással is védik, a Fizetési Szolgáltatókhoz és más szolgáltatókhoz való csatlakozás kulcsait pedig egy különálló, külön kulccsal titkosított titkos adatok tárolójában őrzik.

4. Az egyes vállalkozások adatainak elkülönítése

4.1 Az adatbázisban az egyes vállalkozások adatainak minden rekordja tartalmazza annak a Vállalkozásnak az azonosítóját, amelyhez tartozik. Maga az adatbázis sorszintű biztonsági szabályokat érvényesít, amelyek megakadályozzák, hogy az alkalmazás más Vállalkozás rekordjait olvassa vagy írja. Ez az alkalmazás saját ellenőrzései alatt egy független védelmi réteg.

4.2 Az alkalmazás által használt adatbázisfióknak nincs jogosultsága e szabályok megkerülésére.

5. Bejelentkezési védelem

5.1 A bejelentkezéshez használhatja:

• egy ellenőrzött számra WhatsApp-on küldött ellenőrző kódot;
• egy passkey-t, arc- vagy ujjlenyomat-felismeréssel;
• egy Google-, Apple- vagy Microsoft-fiókot.

A bejelentkezés után egy hitelesítő alkalmazás használható második lépésként. Nem használunk jelszavakat.

5.2 Egyes szerepkörökhöz előírhatja a kétlépéses bejelentkezést, és a Tulajdonosok és a Rendszergazdák riasztást kapnak, ha bárki megváltoztatja az ellenőrzési módszereit. Mindenki riasztást kap, ha a saját Fiókját új eszközről használják. Az azokat tartalmazó Csomagokon beállíthat munkamenet-tétlenségi időkorlátot is, és a Tulajdonosok riasztást kapnak, ha bárki új eszközről jelentkezik be.

5.3 Minden Munkatárs meghatározott szerepkört és jogosultságokat kap, és hozzáférésük meghatározott Telephelyekre korlátozható. A megosztott Eszközöket használó munkatársak hatjegyű személyi azonosító számot (PIN) használnak, és az azzal történő bejelentkezés öt hibás kísérlet után zárolódik.

6. Auditnapló és a manipuláció észlelése

6.1 Minden fontos módosítást egy auditnaplóban rögzítünk, azzal együtt, hogy ki, mikor, honnan és melyik IP-címről hajtotta végre. Ezt a naplót egyetlen Felhasználó sem módosíthatja vagy törölheti, azzal a kivétellel, hogy egy Végügyfél adatainak törlésére irányuló kérés teljesítése eltávolítja az adott személy azonosító adatait a bejegyzésekből, miközben megtartja, hogy mi történt, ki végezte és mikor. A naplót a Feltételek szerinti megszűnéskor az Ügyféladatokkal együtt törlik.

6.2 A könyvelési tételek olyan láncban kapcsolódnak egymáshoz, amely feltár minden későbbi módosítást, és sértetlenségüket a Biztonság oldalról ellenőrizheti.

7. Mentések és helyreállítás

7.1 Az adatbázisokról folyamatos Mentéseket készítünk, amelyek lehetővé teszik azok helyreállítását az elmúlt 35 nap bármely időpontjára. Emellett készítünk:

• napi Mentéseket, amelyeket 35 napig őrzünk;
• havi Mentéseket, amelyeket 12 hónapig őrzünk;
• minden éjjel az adatbázis egy logikai Mentését (adatbázis-dumpot), amelyet 35 napig zárolt tárolóban őrzünk.

7.2 A napi és havi Mentéseket Írországba másoljuk. A frankfurti és az írországi mentési tárolók (backup vault) szabályzata megakadályozza, hogy bárki, ideértve a saját csapatunkat is, a megőrzési idő lejárta előtt töröljön egy Mentést vagy módosítsa ezt az időtartamot. A tárolók emellett a tárhelyszolgáltató megfelelőségi módjában (compliance mode) is zárolva vannak, amelyet úgy terveztek, hogy senki – ideértve azt is, aki esetleg átvenné a tárhelyszolgáltatónál vezetett egyik fiókunk felett az irányítást – ne tudjon törölni egy Mentést az első 35 napban.

7.3 Havonta teszteljük az adatbázis Mentésekből történő helyreállítását. Arra törekszünk, hogy adatbázis-hiba esetén legfeljebb 15 percnyi, az egész tárhelyrégió kiesése esetén legfeljebb 24 órányi adatot veszítsünk, összhangban a Szolgáltatásiszint-megállapodásban foglalt helyreállítási célokkal.

7.4 A Mentéseket a szolgáltatás helyreállítására őrizzük, nem az Ön archívumaként. Ezért kérjük, rendszeresen exportálja az adatait a Csomag és számlázás oldalról vagy az egyes Alkalmazásokból.

8. Fizetések és pénzeszközök

8.1 A Szolgáltatásokat úgy tervezték, hogy a kártyaszámok ne haladjanak át a rendszereinken, és ne kerüljenek tárolásra azokban: a fizetés a Fizetési Szolgáltatók saját oldalain, vagy azok tanúsított kártyaelfogadó terminálain és alkalmazásain történik. A Szolgáltatások képernyői nem tartalmaznak mezőt a kártyaszámokhoz vagy azok biztonsági kódjaihoz, és a Biztonság oldalról kérheti, hogy a szöveges mezőket vizsgálják át tévedésből megadott kártyaszámok után.

8.2 Az Ön pénze közvetlenül a Fizetési Szolgáltatótól az Ön bankszámlájára kerül elszámolásra. Mi soha nem fogadjuk és nem őrizzük.

8.3 A STAK-ban az elszámolások fogadására regisztrált bankszámla módosítása egy további ellenőrzési lépést igényel, és csak 48 óra elteltével lép hatályba. A Tulajdonosok azonnal riasztást kapnak, hogy visszavonhassák.

9. Mesterséges intelligencia

9.1 Az MI-szolgáltatónak csak akkor küldenek adatot, ha egy Felhasználó MI-funkciót kér, dokumentumot, például nyugtát tölt fel annak beolvasására, vagy ha egy Felhasználó által beállított automatizálás MI-lépést futtat, és kizárólag az adott kéréshez vagy lépéshez szükséges adatokat küldik el.

9.2 Az Ön adatait nem használják mesterséges intelligencia modellek betanítására. Az MI-funkciók csak az Ön kifejezett jóváhagyását követően, vagy egy arra jogosult Felhasználó által beállított és bekapcsolt automatizálás keretében módosítanak egy rekordot.

10. A csapatunk hozzáférése

Az éles környezethez való hozzáférés korlátozott számú, megnevezett munkatársra szorítkozik, többtényezős hitelesítést igényel, és minden hozzáférési munkamenet kezdetét naplózzák. A kiszolgálókhoz való adminisztratív hozzáférés kizárólag az Amazon rendszerkezelő szolgáltatásán keresztül történik, a kiszolgálókra való közvetlen bejelentkezés nélkül.

Az Ön adatait kizárólag az alábbi esetekben tekintjük meg:

• az Ön által kért támogatás nyújtásához;
• a Szolgáltatások üzemeltetéséhez, karbantartásához és helyreállításához;
• Biztonsági Incidens vagy az Elfogadható használati szabályzat feltételezett megsértésének kivizsgálásához;
• ha a jog ezt megköveteli.

11. Felügyelet és incidenskezelés

11.1 A felhőinfrastruktúrát éjjel-nappal automatikusan felügyeljük, a csapatunknak szóló azonnali riasztásokkal. A felhőinfrastruktúrán végzett minden adminisztratív műveletet naplózunk, a fenyegetéseket és a túlzott jogosultságokat pedig automatikusan észleljük.

11.2 Ha egy Adatvédelmi Incidens érinti az Ön adatait, indokolatlan késedelem nélkül értesítjük: ha lehetséges, a tudomásszerzéstől számított 24 órán belül, mindenesetre 48 órán belül. Közöljük Önnel, mi történt, és mit tettünk ez ügyben.

12. Tanúsítványok

Jelenleg nem rendelkezünk ISO 27001 tanúsítvánnyal vagy SOC 2 jelentéssel. PCI DSS tanúsítvánnyal sem rendelkezünk, mivel a Szolgáltatásokat úgy tervezték, hogy a kártyaadatok ne haladjanak át a rendszereinken: azokat a Fizetési Szolgáltatók saját oldalain, vagy azok tanúsított terminálain és alkalmazásain dolgozzák fel. Az Ön által a Szolgáltatásokhoz csatlakoztatott Fizetési Szolgáltatók saját tanúsítványokkal rendelkeznek. Minden jövőben megszerzett tanúsítványt itt fogunk felsorolni.

Ha a STAK oldalain keresztül fogad el kártyás fizetést, a vásárlót az Ön Fizetési Szolgáltatójának saját oldalára irányítják, vagy Ön annak tanúsított terminálait és alkalmazásait használja, így a STAK oldalai soha nem gyűjtenek kártyaadatokat. Saját PCI DSS kötelezettségeit egyeztesse a Fizetési Szolgáltatójával; az ilyen átirányítást használó vállalkozás általában a legrövidebb önértékelő kérdőívet (SAQ A) tölti ki. A STAK nem állítja, hogy PCI DSS tanúsítvánnyal rendelkezik.

13. Mit tehet Ön

• Kapcsolja be a kétlépéses bejelentkezést a Tulajdonosok és a Rendszergazdák számára.
• Minden Munkatársnak csak azokat a jogosultságokat adja meg, amelyekre a munkájához szüksége van, és azonnal szüntesse meg annak a hozzáférését, aki távozik.
• Rendszeresen exportálja az adatait, legalább havonta egyszer.
• Az értékesítési pont Eszközeit tartsa csatlakoztatva, amíg az offline rögzített eladások szinkronizálása be nem fejeződik, mielőtt bármely Eszközt törölné vagy kijelentkezne róla.
• Tartsa naprakészen az eszközei rendszereit és böngészőit.
• Haladéktalanul jelezze nekünk a gyanús tevékenységet.

14. Sérülékenység bejelentése

Ha biztonsági sérülékenységet fedez fel, írjon nekünk a [email protected] címre. A bejelentéseket bizalmasan kezeljük. Engedélyezzük a jóhiszemű biztonsági tesztelést az Elfogadható használati szabályzat 10. pontjában foglalt korlátok között, és nem teszünk panaszt, illetve nem támasztunk követelést senkivel szemben, aki e korlátokon belül marad, és haladéktalanul bejelenti nekünk a sérülékenységet.