Etibar mərkəzi
Şəxsiyyət məlumatı istifadəçilərinizin paylaşdığı ən həssas məlumatdır. Zoi ID onu hər addımda qoruyur və təhlükəsizlik və uyğunluq komandalarınıza əminliklə təsdiq vermək üçün lazım olan hər şeyi verir.
Hər qatda təhlükəsizlik
Qorunma Zoi ID-nin necə qurulduğu və işlədildiyinin bir hissəsidir: kodun ilk sətrindən saxlama müddətinin son gününə qədər.
Hər yerdə şifrələmə
Ötürülmə və saxlanma zamanı, hər fayl və hər şəxsiyyət qeydi üçün ayrıca açarla.
Məlumat AB-də qalır
Şəxsiyyət məlumatı Almaniyada, Zoi ID üçün ayrılmış infrastrukturda saxlanılır.
Üz şablonu yoxdur
Üzlər təcrid olunmuş xidmətlərdə, yalnız yaddaşda müqayisə olunur. Heç bir biometrik şablon saxlanılmır.
Minimum səlahiyyətli giriş
Adı bilinən əməkdaşlar, rola görə icazələr və hər baxışın və hər qərarın yazıldığı, yalnız əlavə oluna bilən audit izi.
Dörd göz qərarları
Mümkün sanksiya və PEP uyğunluqları iki müstəqil yoxlayıcı tələb edir. Etirazlar başqa yoxlayıcıya gedir.
Test olunub və yoxlanılıb
Hər dəyişiklikdə avtomatik təhlükəsizlik testləri. Hər buraxılış imzalanır və işə düşməzdən əvvəl yoxlanılır.
Məlumatın yerləşməsi
Şəxsiyyət məlumatı Almaniyada (AB) saxlanılır və emal olunur. Başqa yerdən giriş yalnız adı bilinən əməkdaşlarla məhdudlaşır və həmişə qeyd olunur.
- Saxlama
- Almaniyada ayrılmış infrastruktur, Zoi-nin digər sistemlərindən təcrid olunub.
- Ehtiyat nüsxələr
- İnfrastrukturumuzdan çıxmazdan əvvəl şifrələnir və AB-də saxlanılır.
- Şəbəkə kənarı
- Qlobal kənar şəbəkə hər bağlantını qoruyur. Müraciətçinin məlumatı orada saxlanılmır.
- AB-dən kənardan giriş
- Yalnız adı bilinən, təlim keçmiş yoxlayıcılar və administratorlar. Şəxsi məlumatı hər açanda audit loguna yazılır.
- Şirkət və rol
- Zoi Labs LLC, Amerika Birləşmiş Ştatlarında Vayominq şirkəti. Partnyorun son istifadəçiləri üçün emalçıdır. Sanksiya qeydləri, təhlükəsizlik logları və fırıldaqçılıq izləri üçün operatordur.
- Ötürmələr
- Məlumat emalı müqaviləsinə AB Standart Müqavilə Bəndləri (Module Two) daxildir.
Şifrələmə və açarların idarə edilməsi
Sınanmış, standart şifrələmə: hər qeyd ayrıca kilidlənir.
Təhlükəsizlik səhifəsini oxuyun- Ötürülmə zamanı müasir TLS ilə şifrələnir.
- Saxlanma zamanı AES-256 ilə şifrələnir, hər fayl və hər şəxsiyyət qeydi üçün ayrıca açarla.
- Hər şifrələnmiş element öz qeydinə bağlıdır. Başqa qeydə köçürülsə, açılmır.
- Açarlar yazılı siyasətə əsasən idarə olunur və qoruduqları məlumatdan ayrı saxlanılır.
- Ehtiyat nüsxələr infrastrukturumuzdan çıxmazdan əvvəl şifrələnir.
- Üz şablonu saxlanılmır. Üzlər yaddaşda, yalnız bir sorğu üçün müqayisə olunur.
Giriş və əməliyyatlar
Kimin nəyi görə biləcəyinə ciddi nəzarət və etdikləri hər şeyin qeydi.
- Minimum səlahiyyətli giriş: adı bilinən hesablar, rola görə icazələr və yalnız işin tələb etdiyi yerdə giriş.
- Şəxsi məlumata hər baxış, hər qərar və hər admin əməliyyatı yalnız əlavə oluna bilən audit loguna yazılır və 10 il saxlanılır.
- Yoxlayıcılar giriş almazdan əvvəl yazılı təlimat üzrə təlim keçir.
- Üz, canlılıq və sənəd təhlili öz infrastrukturumuz daxilində təcrid olunmuş xidmətlərdə işləyir. Heç bir şəxsiyyət məlumatı üçüncü tərəfin süni intellekt xidmətinə getmir.
- Partnyor API açarları səlahiyyət dairəsi ilə məhdudlaşdırılır və yalnız heş kimi saxlanılır. Hər webhook imzalanır.
- Partnyor paneli passkey və autentifikator tətbiqlərini dəstəkləyir, açarlarda, ayarlarda və üzvlərdə hər dəyişikliyi qeyd edir.
- Hər silmə qeyd olunur və ehtiyat nüsxədən hər bərpadan sonra yenidən tətbiq edilir.
- Yalnız sintetik məlumatla qururuq və test edirik.
Davamlı təhlükəsizlik testləri
Avtomatik yoxlamalar hər dəyişiklikdə və müntəzəm olaraq işləyir. Yüksək təhlükəli tapıntılar buraxılışı dayandırır.
- Bütün kodumuzun statik təhlili
- Məlum zəifliklər üçün asılılıqların yoxlanması və təhlükəsizlik yeniləmələrinin vaxtında tətbiqi
- Hər commit-də və bütün tarixçədə gizli məlumatların yoxlanması
- İnfrastruktur və konfiqurasiyanın yoxlanması
- Çipləri, sənədləri və şəkilləri oxuyan kodun fuzz testi
- Veb tətbiqin və API-nin dinamik testi
İnsidentlərə cavab və fasiləsizlik
Bir şey səhv gedəndə aydın plan və bizə güvənən partnyorlara möhkəm öhdəliklər.
- Cavab planı
- Yazılı insident cavab planı nəzarət altına almanı, qiymətləndirməni və bildirişi əhatə edir, xidmət göstərdiyimiz hər bazar üçün müddətlər müəyyən edir.
- Partnyora bildiriş
- İstifadəçilərinizə təsir edən şəxsi məlumat pozuntusu barədə sizə əsassız gecikmə olmadan, ən geci 36 saat ərzində xəbər veririk.
- Dövlət orqanları
- Məsuliyyət bizdə olduqda, dövlət orqanlarını və təsirlənən şəxsləri qanunun müəyyən etdiyi müddətdə, adətən 72 saat ərzində xəbərdar edirik.
- Fasiləsizlik
- AB-də şifrələnmiş ehtiyat nüsxələr və yazılı, addım-addım bərpa prosedurları.
Saxlama müddəti
Standart müddətlər. Hüquqi saxlama tələbi saatı dayandıra bilər.
| Məlumat | Nə vaxtadək saxlanılır |
|---|---|
| Heç vaxt təqdim edilməmiş sessiya | Yaradıldıqdan 7 gün sonrayadək. |
| Açıq sessiya (emalda və ya yoxlamada) | Ən çox 60 gün, sonra müddəti bitir. |
| Sənəd şəkilləri, çip məlumatı, video | Yekun qərardan 90 gün sonrayadək. Şəxs minimum yaşdan kiçikdirsə, 24 saat. Razılıq geri götürüləndə və ya silmə istəniləndə dərhal. |
| Şəxsiyyət məlumatı (ad, doğum tarixi, sənəd nömrəsi, ünvan) | İstifadəçinin tərəfdaşdakı hesabı mövcud olduqca və şəxsiyyət ləğv edilmədikcə. Son yoxlamadan ən çox 5 il sonrayadək. |
| Təkrar yoxlama açarları, qərarlar və şəxsi məlumat olmayan yoxlama nəticələri | Fırıldaqçılığın qarşısını almaq üçün son sessiyadan 5 il sonrayadək. |
| Sanksiya yoxlaması qeydləri | Sanksiya qeyd qaydalarının tələb etdiyi kimi 10 il. |
| Audit logu | 10 il. |
| Ehtiyat nüsxələr | 30 gün. |
Hər silmə qeyd olunur və ehtiyat nüsxədən hər bərpadan sonra yenidən tətbiq edilir.
Alt emalçılar
Zoi ID üçün şəxsi məlumatı emal edən şirkətlər. Hər biri yazılı məlumat emalı müqaviləsi ilə bağlıdır.
| Şirkət | Nə edir | Yerləşmə |
|---|---|---|
| Hetzner Online GmbH | Server yerləşdirmə. Zoi ID-nin saxladığı hər şeyi daşıyır, saxlama zamanı həmişə şifrələnmiş şəkildə. | Almaniya (AB) |
| Cloudflare, Inc. | Şəbəkə qorunması, TLS, DNS və şifrələnmiş ehtiyat nüsxələrin saxlanması. | Qlobal kənar şəbəkə. Ehtiyat nüsxələr AB-də. |
| Google LLC | Play Integrity: tətbiq və cihaz barədə bəli və ya xeyr cavabı. Şəxsiyyət məlumatı yoxdur. | Amerika Birləşmiş Ştatları |
| Apple Inc. | App Attest: sorğunun həqiqi iOS tətbiqindən gəldiyinin sübutu. Şəxsiyyət məlumatı yoxdur. | Amerika Birləşmiş Ştatları |
Alt emalçı əlavə etməzdən və ya dəyişməzdən 30 gün əvvəl partnyorlara bildiriş göndərilir və onlar etiraz edə bilərlər.
Zəifliyi bildirin
Təhlükəsizlik problemi tapmısınız? official@zoi.network ünvanına yazın. Vicdanlı araşdırmaları alqışlayırıq və 3 iş günü ərzində cavab veririk.
security.txt faylını açın- Nəyi tapdığınızı və necə təkrarlamaq olduğunu yazın.
- Yalnız öz test hesablarınızdan və sintetik məlumatdan istifadə edin. Başqalarının məlumatını açmayın.
- Xidmətdən imtina hücumu, sosial mühəndislik və alt emalçılarımıza qarşı test aparmayın.
- Dərc etməzdən əvvəl problemi düzəltməyimiz üçün vaxt verin.
İctimai sənədlər
NDA əsasında təqdim olunur
- SOC 2 və ISO/IEC 27001:2022 üzrə nəzarət tədbirlərinin uyğunlaşdırma cədvəli
- CAIQ v4 və SIG Lite üslubunda doldurulmuş sorğular
- Alıcıların ən çox verdiyi təhlükəsizlik sualları ilə qısa forma
- İnformasiya təhlükəsizliyi siyasətlərimiz
- Təhlükəsizlik dizaynı sənədləri və məlumatların qorunmasına təsirin qiymətləndirilməsi
- Öz penetrasiya testiniz və ya müstəqil qiymətləndirmə üçün müqavilə şərtləri
Hər hesabın arxasında real insan olsun
Zoi ID tezliklə istifadəyə verilir. Erkən giriş tərəfdaşları sandbox açarları, komandamızla birbaşa əlaqə və bazarlarına uyğun quraşdırma alır.
Və ya official@zoi.network ünvanına yazın