Огляд безпеки

Зміст

1. 1. Коротко
2. 2. Де зберігаються ваші дані
3. 3. Шифрування
4. 4. Розділення даних кожного бізнесу
5. 5. Захист входу
6. 6. Журнал аудиту та виявлення втручання
7. 7. Резервні копії та відновлення
8. 8. Платежі та гроші
9. 9. Штучний інтелект
10. 10. Доступ нашої команди
11. 11. Моніторинг та реагування на інциденти
12. 12. Сертифікації
13. 13. Що можете зробити ви
14. 14. Повідомлення про вразливість

Версія: 1.2 · Опубліковано: 16 жовтня 2026 року · Набирає чинності: під час прийняття для нових Робочих просторів; для Робочих просторів, що прийняли ранішу Версію, — у дату, яку STAK указує у своєму повідомленні відповідно до пункту 20 Умов обслуговування клієнтів · Пріоритетний текст: англійська (пункт 23.9 Умов обслуговування клієнтів)

Видавець: STAK Global, LLC, товариство з обмеженою відповідальністю, створене в штаті Делавер, Сполучені Штати Америки (реєстраційний номер 10798493), якому належать STAK (ستاك) і Сервіси. Контакт: [email protected].

Цей Огляд безпеки простою мовою пояснює, як ми захищаємо дані вашого бізнесу та зберігаємо їхні копії, станом на Дату набрання чинності цією Версією. Ми оновлюємо його, коли це змінюється. Він має виключно інформаційний характер. Наші договірні зобов’язання викладено в Угоді про обробку даних. Терміни, визначені в Умовах обслуговування клієнтів STAK, мають те саме значення в цьому Огляді безпеки.

1. Коротко

• Ваші дані шифруються під час передавання та зберігання в наших системах.
• Дані кожного бізнесу зберігаються окремо від усіх інших у самій базі даних.
• Ми ведемо безперервні Резервні копії та зберігаємо щоденні й щомісячні копії в іншій країні, захищені від дострокового видалення.
• Ми не зберігаємо номери карток і ніколи не отримуємо й не утримуємо ваші гроші.
• Кожна важлива зміна фіксується в журналі аудиту, який не може змінити жоден Користувач.
• Наразі ми не маємо сертифікації ISO 27001 чи звіту SOC 2. Ми повідомимо про це тут, коли отримаємо їх.

2. Де зберігаються ваші дані

2.1 Сервіси працюють на хмарній інфраструктурі Amazon Web Services у регіоні Франкфурт, у Федеративній Республіці Німеччина. Резервні копії копіюються до окремого регіону Amazon Web Services у Республіці Ірландія. Таке розділення означає, що копія ваших даних може зберегтися, навіть якщо вийде з ладу весь основний регіон хостингу.

2.2 У майбутньому ми можемо перенести хостинг в інший регіон. Ми повідомимо вас щонайменше за 30 днів. Тимчасовий запуск Сервісів із Резервних копій у Республіці Ірландія після втрати основного регіону хостингу не є перенесенням, і ми без зволікання повідомимо вас про це.

2.3 STAK надається компанією STAK Global, LLC, створеною у Сполучених Штатах Америки. Наш постачальник хостингу та деякі з наших постачальників послуг також підпадають під законодавство США. Ми захищаємо ваші дані від незаконного доступу будь-якого уряду, як викладено в пункті 13 Угоди про обробку даних: ми розкриваємо дані лише за обов’язковим запитом, повідомляємо вас, якщо закон цього не забороняє, обмежуємо розкриття мінімумом і оскаржуємо запити, які розумно вважаємо незаконними. Ваші дані шифруються під час зберігання та передавання.

3. Шифрування

3.1 Кожне з’єднання із Сервісами шифрується за допомогою TLS версії 1.2 або новішої, а застосунок перевіряє ідентичність сервера бази даних під час кожного з’єднання.

3.2 Бази даних, диски, файли, Резервні копії та сховище секретів шифруються під час зберігання за допомогою AES-256 з використанням ключів, керованих через службу керування ключами Amazon або постачальником хостингу.

3.3 Досьє ваших працівників і клінічні записи додатково шифруються всередині застосунку окремими ключами, а ключі для підключення до Постачальників платіжних послуг та інших постачальників зберігаються в окремому сховищі секретів, зашифрованому окремим ключем.

4. Розділення даних кожного бізнесу

4.1 Кожен запис даних бізнесу в базі даних містить ідентифікатор Бізнесу, якому він належить. Сама база даних застосовує правила безпеки на рівні рядків, які не дозволяють застосунку читати чи записувати записи іншого Бізнесу. Це незалежний рівень захисту під власними перевірками застосунку.

4.2 Обліковий запис бази даних, який використовує застосунок, не має дозволу обходити ці правила.

5. Захист входу

5.1 Ви можете входити за допомогою:

• коду підтвердження, надісланого через WhatsApp на підтверджений номер;
• ключа доступу із застосуванням розпізнавання обличчя чи відбитка пальця;
• облікового запису Google, Apple або Microsoft.

Застосунок-автентифікатор можна використовувати як другий крок після входу. Ми не використовуємо паролі.

5.2 Ви можете вимагати двоетапний вхід для певних ролей, а Власники та Адміністратори отримують сповіщення, коли хтось змінює свої способи підтвердження. Кожна особа отримує сповіщення, коли її власний Обліковий запис використовується з нового пристрою. У Тарифах, що їх містять, ви також можете встановити тайм-аут неактивності сеансу, а Власники отримують сповіщення, коли хтось входить з нового пристрою.

5.3 Кожному Співробітнику призначається певна роль і права, а його доступ можна обмежити певними Філіями. Співробітники на спільних Пристроях використовують шестизначний персональний ідентифікаційний номер (PIN), і вхід за ним блокується після п’яти невдалих спроб.

6. Журнал аудиту та виявлення втручання

6.1 Кожна важлива зміна фіксується в журналі аудиту із зазначенням того, хто її вніс, коли, звідки й з якої IP-адреси. Жоден Користувач не може змінити чи видалити цей журнал, за винятком того, що під час виконання запиту на видалення даних Кінцевого клієнта з його записів вилучається ідентичність цієї особи, а відомості про те, що було зроблено, ким і коли, зберігаються. Журнал видаляється разом із Даними Клієнта в разі розірвання відповідно до Умов.

6.2 Бухгалтерські проведення зв’язані в ланцюжок, який виявляє будь-яку подальшу їх зміну, і ви можете перевірити їхню цілісність на сторінці «Безпека».

7. Резервні копії та відновлення

7.1 Ми ведемо безперервні Резервні копії баз даних, що дозволяють відновити їх на будь-який момент за останні 35 днів. Ми також створюємо:

• щоденні Резервні копії, що зберігаються 35 днів;
• щомісячні Резервні копії, що зберігаються 12 місяців;
• логічну Резервну копію бази даних (дамп бази даних) щоночі, що зберігається 35 днів у заблокованому сховищі.

7.2 Щоденні та щомісячні Резервні копії копіюються до Ірландії. Політика сховищ резервних копій у Франкфурті та Ірландії не дозволяє нікому, зокрема нашій власній команді, видалити Резервну копію до завершення строку її зберігання або змінити цей строк. Сховища також заблоковані в режимі відповідності (compliance mode) постачальника хостингу, який розроблено так, щоб ніхто, зокрема той, хто міг би отримати контроль над одним із наших облікових записів у постачальника хостингу, не міг видалити Резервну копію протягом перших 35 днів.

7.3 Щомісяця ми тестуємо відновлення бази даних з Резервних копій. Ми прагнемо втрачати не більше 15 хвилин даних у разі збою бази даних і не більше 24 годин у разі втрати всього регіону хостингу відповідно до цілей відновлення, визначених в Угоді про рівень обслуговування.

7.4 Ми зберігаємо Резервні копії для відновлення сервісу, а не як архів для вас. Тому, будь ласка, регулярно експортуйте свої дані зі сторінки «Тариф і оплата» або з кожного Застосунку.

8. Платежі та гроші

8.1 Сервіси розроблено так, щоб номери карток не проходили через наші системи й не зберігалися в них: оплата відбувається на власних сторінках Постачальників платіжних послуг або на їхніх сертифікованих терміналах і в застосунках для приймання карток. На екранах Сервісів немає полів для номерів карток чи їхніх кодів безпеки, і ви можете зі сторінки «Безпека» запросити сканування текстових полів на предмет номерів карток, уведених помилково.

8.2 Ваші гроші надходять безпосередньо від Постачальника платіжних послуг на ваш банківський рахунок. Ми ніколи не отримуємо й не утримуємо їх.

8.3 Зміна банківського рахунку, зареєстрованого в STAK для отримання розрахункових виплат, вимагає додаткового кроку перевірки й набирає чинності лише через 48 годин. Власники негайно отримують сповіщення, щоб могли скасувати зміну.

9. Штучний інтелект

9.1 Дані надсилаються постачальнику ШІ лише тоді, коли Користувач запитує Функцію ШІ, завантажує для неї документ, наприклад чек, або коли автоматизація, налаштована Користувачем, виконує крок ШІ, і надсилаються лише дані, потрібні для цього запиту або кроку.

9.2 Ваші дані не використовуються для навчання моделей штучного інтелекту. Функції ШІ змінюють запис лише після вашого прямого підтвердження або в рамках автоматизації, налаштованої та ввімкненої уповноваженим Користувачем.

10. Доступ нашої команди

Доступ до Виробничого середовища надається обмеженому числу поіменно визначених працівників і вимагає багатофакторної автентифікації, а початок кожного сеансу доступу реєструється в журналі. Адміністративний доступ до серверів здійснюється лише через службу керування системами Amazon, без прямого входу на сервери.

Ми переглядаємо ваші дані лише в таких випадках:

• для надання підтримки, про яку ви просите;
• для експлуатації, обслуговування та відновлення Сервісів;
• для розслідування Інциденту безпеки або ймовірного порушення Політики прийнятного використання;
• якщо цього вимагає закон.

11. Моніторинг та реагування на інциденти

11.1 Ми автоматично відстежуємо хмарну інфраструктуру цілодобово з негайними сповіщеннями нашої команди. Кожна адміністративна дія в хмарній інфраструктурі фіксується в журналі, а загрози та надмірні дозволи виявляються автоматично.

11.2 Якщо Порушення безпеки персональних даних стосується ваших даних, ми повідомляємо вас без невиправданого зволікання: протягом 24 годин з моменту, коли нам стало про нього відомо, якщо це можливо, і в будь-якому разі протягом 48 годин. Ми повідомляємо вам, що сталося і що ми зробили у зв’язку з цим.

12. Сертифікації

Наразі ми не маємо сертифікації ISO 27001 чи звіту SOC 2. Ми також не маємо сертифікації PCI DSS, оскільки Сервіси розроблено так, щоб дані карток не проходили через наші системи: вони обробляються на власних сторінках Постачальників платіжних послуг або на їхніх сертифікованих терміналах і в застосунках. Постачальники платіжних послуг, яких ви підключаєте до Сервісів, мають власні сертифікації. Ми перелічуватимемо тут будь-яку сертифікацію, яку отримаємо в майбутньому.

Якщо ви приймаєте карткові платежі через сторінки STAK, покупця перенаправляють на власну сторінку вашого Постачальника платіжних послуг, або ви використовуєте його сертифіковані термінали та застосунки, тому сторінки STAK ніколи не збирають дані карток. З’ясуйте свої обов’язки щодо PCI DSS у вашого Постачальника платіжних послуг; бізнес, який використовує таке перенаправлення, зазвичай заповнює найкоротший опитувальник для самооцінки (SAQ A). STAK не заявляє про наявність сертифікації PCI DSS.

13. Що можете зробити ви

• Увімкніть двоетапний вхід для Власників і Адміністраторів.
• Надавайте кожному Співробітнику лише ті права, яких потребує його робота, і негайно скасовуйте доступ тим, хто йде.
• Регулярно експортуйте свої дані, щонайменше раз на місяць.
• Тримайте касові Пристрої підключеними, доки продажі, записані офлайн, не завершать синхронізацію, перш ніж стирати дані чи виходити із системи на будь-якому Пристрої.
• Підтримуйте системи та браузери ваших пристроїв в актуальному стані.
• Негайно повідомляйте нам про будь-яку підозрілу активність.

14. Повідомлення про вразливість

Якщо ви виявили вразливість безпеки, напишіть нам на [email protected]. Ми розглядаємо повідомлення конфіденційно. Ми дозволяємо добросовісне тестування безпеки в межах, установлених пунктом 10 Політики прийнятного використання, і не подаємо жодних скарг чи вимог до тих, хто залишається в цих межах і без зволікання повідомляє нам про вразливість.