Prezentare generală a securității

Cuprins

1. 1. Pe scurt
2. 2. Unde sunt păstrate datele dumneavoastră
3. 3. Criptarea
4. 4. Separarea datelor fiecărei afaceri
5. 5. Protecția autentificării
6. 6. Jurnalul de audit și detectarea modificărilor neautorizate
7. 7. Copii de rezervă și recuperare
8. 8. Plăți și bani
9. 9. Inteligența artificială
10. 10. Accesul echipei noastre
11. 11. Monitorizare și răspuns la incidente
12. 12. Certificări
13. 13. Ce puteți face dumneavoastră
14. 14. Raportarea unei vulnerabilități

Versiunea: 1.2 · Publicat: 16 octombrie 2026 · În vigoare: la acceptare pentru Spațiile de lucru noi; pentru Spațiile de lucru care au acceptat o Versiune anterioară, la data pe care STAK o indică în notificarea sa în temeiul clauzei 20 din Condițiile de furnizare a serviciilor pentru clienți · Textul care prevalează: engleză (clauza 23.9 din Condițiile de furnizare a serviciilor pentru clienți)

Emis de: STAK Global, LLC, o societate cu răspundere limitată constituită în Statul Delaware, Statele Unite ale Americii (număr de dosar 10798493), care deține STAK (ستاك) și Serviciile. Contact: [email protected].

Această Prezentare generală a securității explică în limbaj simplu modul în care protejăm datele afacerii dumneavoastră și păstrăm copii ale acestora, în situația existentă la Data intrării în vigoare a acestei Versiuni. O actualizăm atunci când aceasta se schimbă. Are caracter exclusiv informativ. Angajamentele noastre contractuale se găsesc în Acordul privind prelucrarea datelor. Expresiile definite în Condițiile de furnizare a serviciilor pentru clienții STAK au același înțeles în această Prezentare generală a securității.

1. Pe scurt

• Datele dumneavoastră sunt criptate în timpul transmiterii și în timpul stocării în sistemele noastre.
• Datele fiecărei afaceri sunt păstrate separat de toate celelalte în baza de date însăși.
• Realizăm Copii de rezervă continue și păstrăm copii zilnice și lunare într-o altă țară, protejate împotriva ștergerii premature.
• Nu stocăm numerele cardurilor și nu primim și nu deținem niciodată banii dumneavoastră.
• Fiecare modificare importantă este înregistrată într-un jurnal de audit pe care niciun Utilizator nu îl poate modifica.
• În prezent nu deținem certificarea ISO 27001 sau un raport SOC 2. Vom menționa acest lucru aici atunci când le vom obține.

2. Unde sunt păstrate datele dumneavoastră

2.1 Serviciile rulează pe infrastructura cloud Amazon Web Services din regiunea Frankfurt, în Republica Federală Germania. Copiile de rezervă sunt copiate într-o regiune separată a Amazon Web Services din Republica Irlanda. Această separare înseamnă că o copie a datelor dumneavoastră poate fi păstrată chiar dacă întreaga regiune principală de găzduire se defectează.

2.2 Este posibil ca în viitor să mutăm găzduirea într-o altă regiune. Vă vom notifica cu cel puțin 30 de zile în avans. Rularea temporară a Serviciilor din Copiile de rezervă aflate în Republica Irlanda după pierderea regiunii principale de găzduire nu constituie o mutare, și vă vom informa despre aceasta fără întârziere.

2.3 STAK este furnizat de STAK Global, LLC, o societate constituită în Statele Unite ale Americii. Furnizorul nostru de găzduire și o parte dintre furnizorii noștri de servicii sunt, de asemenea, supuși legislației Statelor Unite. Vă protejăm datele împotriva accesului ilegal al oricărui guvern, așa cum se prevede la clauza 13 din Acordul privind prelucrarea datelor: dezvăluim date numai la o solicitare obligatorie, vă informăm cu excepția cazului în care legea interzice acest lucru, limităm dezvăluirea la minim și contestăm solicitările pe care le considerăm în mod rezonabil ilegale. Datele dumneavoastră sunt criptate atât în timpul stocării, cât și în timpul transmiterii.

3. Criptarea

3.1 Fiecare conexiune la Servicii este criptată cu TLS versiunea 1.2 sau o versiune ulterioară, iar aplicația verifică identitatea serverului bazei de date la fiecare conexiune.

3.2 Bazele de date, discurile, fișierele, Copiile de rezervă și depozitul de secrete sunt criptate în repaus cu AES-256, folosind chei gestionate prin serviciul de gestionare a cheilor al Amazon sau de către furnizorul de găzduire.

3.3 Dosarele angajaților dumneavoastră și fișele clinice sunt criptate suplimentar în interiorul aplicației cu chei separate, iar cheile pentru conectarea la Furnizorii de servicii de plată și la alți furnizori sunt păstrate într-un depozit de secrete separat, criptat cu o cheie separată.

4. Separarea datelor fiecărei afaceri

4.1 Fiecare înregistrare a datelor unei afaceri din baza de date poartă identificatorul Afacerii căreia îi aparține. Baza de date însăși aplică reguli de securitate la nivel de rând care împiedică aplicația să citească sau să scrie înregistrările altei Afaceri. Acesta este un strat independent de protecție, aflat sub verificările proprii ale aplicației.

4.2 Contul bazei de date pe care îl folosește aplicația nu are permisiunea de a ocoli aceste reguli.

5. Protecția autentificării

5.1 Vă puteți autentifica cu:

• un cod de verificare trimis prin WhatsApp la un număr verificat;
• o cheie de acces, prin recunoaștere facială sau a amprentei;
• un cont Google, Apple sau Microsoft.

O aplicație de autentificare poate fi utilizată ca al doilea pas după autentificare. Nu folosim parole.

5.2 Puteți impune autentificarea în doi pași pentru anumite roluri, iar Proprietarii și Administratorii sunt alertați atunci când cineva își modifică metodele de verificare. Fiecare persoană este alertată atunci când Contul său propriu este utilizat de pe un dispozitiv nou. Pe Planurile care le includ, puteți seta și un timp de inactivitate al sesiunii, iar Proprietarii sunt alertați atunci când cineva se autentifică de pe un dispozitiv nou.

5.3 Fiecare Membru al personalului primește un rol și permisiuni definite, iar accesul său poate fi limitat la anumite Sucursale. Personalul de pe Dispozitivele partajate folosește un număr personal de identificare (PIN) din șase cifre, iar autentificarea cu acesta se blochează după cinci încercări greșite.

6. Jurnalul de audit și detectarea modificărilor neautorizate

6.1 Fiecare modificare importantă este înregistrată într-un jurnal de audit, cu indicarea autorului, a momentului, a locului și a adresei IP de la care a fost făcută. Niciun Utilizator nu poate modifica sau șterge acest jurnal, cu excepția faptului că, la îndeplinirea unei cereri de ștergere a datelor unui Client final, identitatea acelei persoane este eliminată din înregistrările sale, păstrându-se ce s-a făcut, de către cine și când. Jurnalul este șters împreună cu Datele Clientului la încetarea Contractului în temeiul Condițiilor.

6.2 Înregistrările contabile sunt legate într-un lanț care dezvăluie orice modificare ulterioară a acestora, iar integritatea lor poate fi verificată din pagina „Securitate”.

7. Copii de rezervă și recuperare

7.1 Realizăm Copii de rezervă continue ale bazelor de date, care permit restaurarea lor la orice moment din ultimele 35 de zile. De asemenea, realizăm:

• Copii de rezervă zilnice, păstrate 35 de zile;
• Copii de rezervă lunare, păstrate 12 luni;
• o Copie de rezervă logică a bazei de date (un dump al bazei de date) în fiecare noapte, păstrată 35 de zile într-un depozit blocat.

7.2 Copiile de rezervă zilnice și lunare sunt copiate în Irlanda. Politica depozitelor de copii de rezervă din Frankfurt și din Irlanda împiedică pe oricine, inclusiv propria noastră echipă, să șteargă o Copie de rezervă înainte de încheierea perioadei sale de păstrare sau să modifice această perioadă. Depozitele sunt, de asemenea, blocate în modul de conformitate (compliance mode) al furnizorului de găzduire, conceput astfel încât nimeni, inclusiv oricine ar putea prelua controlul asupra unuia dintre conturile noastre la furnizorul de găzduire, să nu poată șterge o Copie de rezervă în primele sale 35 de zile.

7.3 În fiecare lună testăm restaurarea bazei de date din Copiile de rezervă. Urmărim să pierdem cel mult 15 minute de date dacă o bază de date se defectează și cel mult 24 de ore dacă este pierdută întreaga regiune de găzduire, în conformitate cu obiectivele de recuperare din Acordul privind nivelul serviciilor.

7.4 Păstrăm Copiile de rezervă pentru restabilirea serviciului, nu ca arhivă pentru dumneavoastră. Prin urmare, vă rugăm să vă exportați regulat datele din pagina „Plan și facturare” sau din fiecare Aplicație.

8. Plăți și bani

8.1 Serviciile sunt concepute astfel încât numerele cardurilor să nu treacă prin sistemele noastre și să nu fie stocate în acestea: plata are loc pe paginile proprii ale Furnizorilor de servicii de plată sau pe terminalele și aplicațiile lor certificate de acceptare a cardurilor. Ecranele Serviciilor nu conțin niciun câmp pentru numerele cardurilor sau codurile lor de securitate, iar din pagina „Securitate” puteți solicita scanarea câmpurilor de text pentru numere de card introduse din greșeală.

8.2 Banii dumneavoastră se decontează direct de la Furnizorul de servicii de plată în contul dumneavoastră bancar. Noi nu îi primim și nu îi deținem niciodată.

8.3 Modificarea contului bancar înregistrat în STAK pentru primirea decontărilor necesită un pas suplimentar de verificare și produce efecte numai după 48 de ore. Proprietarii sunt alertați imediat pentru a o putea anula.

9. Inteligența artificială

9.1 Datele sunt trimise furnizorului de AI numai atunci când un Utilizator solicită o Funcție AI, încarcă pentru aceasta un document spre citire, cum ar fi un bon, sau atunci când o automatizare configurată de un Utilizator execută un pas AI, și sunt trimise numai datele necesare pentru solicitarea sau pasul respectiv.

9.2 Datele dumneavoastră nu sunt folosite pentru antrenarea modelelor de inteligență artificială. Funcțiile AI modifică o înregistrare numai după confirmarea dumneavoastră expresă sau în cadrul unei automatizări configurate și activate de un Utilizator autorizat.

10. Accesul echipei noastre

Accesul la Mediul de producție este limitat la un număr restrâns de angajați desemnați nominal și necesită autentificare multifactor, iar începutul fiecărei sesiuni de acces este înregistrat în jurnal. Accesul administrativ la servere se realizează exclusiv prin serviciul de gestionare a sistemelor al Amazon, fără autentificare directă pe servere.

Ne uităm la datele dumneavoastră numai în următoarele cazuri:

• pentru a oferi asistența pe care o solicitați;
• pentru a opera, a întreține și a restaura Serviciile;
• pentru a investiga un Incident de securitate sau o presupusă încălcare a Politicii de utilizare acceptabilă;
• atunci când legea o impune.

11. Monitorizare și răspuns la incidente

11.1 Monitorizăm automat infrastructura cloud non-stop, cu alerte imediate către echipa noastră. Fiecare acțiune administrativă din infrastructura cloud este înregistrată în jurnal, iar amenințările și permisiunile excesive sunt detectate automat.

11.2 Dacă o Încălcare a securității datelor cu caracter personal vă afectează datele, vă notificăm fără întârzieri nejustificate: în termen de 24 de ore de la luarea la cunoștință, atunci când este posibil, și în orice caz în termen de 48 de ore. Vă comunicăm ce s-a întâmplat și ce am făcut în această privință.

12. Certificări

În prezent nu deținem certificarea ISO 27001 sau un raport SOC 2. Nu deținem nici certificarea PCI DSS, deoarece Serviciile sunt concepute astfel încât datele cardurilor să nu treacă prin sistemele noastre: ele sunt prelucrate pe paginile proprii ale Furnizorilor de servicii de plată sau pe terminalele și aplicațiile lor certificate. Furnizorii de servicii de plată pe care îi conectați la Servicii dețin propriile certificări. Vom enumera aici orice certificare pe care o vom obține în viitor.

Dacă încasați plăți cu cardul prin paginile STAK, cumpărătorul este direcționat către pagina proprie a Furnizorului dumneavoastră de servicii de plată sau utilizați terminalele și aplicațiile certificate ale acestuia, astfel încât paginile STAK nu colectează niciodată datele cardurilor. Verificați cu Furnizorul dumneavoastră de servicii de plată obligațiile dumneavoastră în temeiul PCI DSS; o afacere care folosește o astfel de redirecționare completează de obicei cel mai scurt chestionar de autoevaluare (SAQ A). STAK nu pretinde că deține certificarea PCI DSS.

13. Ce puteți face dumneavoastră

• Activați autentificarea în doi pași pentru Proprietari și Administratori.
• Acordați fiecărui Membru al personalului numai permisiunile de care are nevoie munca sa și eliminați imediat accesul celor care pleacă.
• Exportați-vă regulat datele, cel puțin o dată pe lună.
• Mențineți Dispozitivele punct de vânzare conectate până când vânzările înregistrate offline își finalizează sincronizarea, înainte de a șterge datele sau de a vă deconecta de pe orice Dispozitiv.
• Mențineți actualizate sistemele și browserele dispozitivelor dumneavoastră.
• Anunțați-ne imediat despre orice activitate suspectă.

14. Raportarea unei vulnerabilități

Dacă descoperiți o vulnerabilitate de securitate, scrieți-ne la [email protected]. Tratăm raportările în mod confidențial. Autorizăm testarea de securitate cu bună-credință în limitele prevăzute la clauza 10 din Politica de utilizare acceptabilă și nu formulăm nicio plângere sau pretenție împotriva celor care rămân în aceste limite și ne raportează vulnerabilitatea fără întârziere.