Securitate și protecția datelor

Cum protejăm datele clubului dumneavoastră

• Criptare în tranzit

  Tot ce circulă între browserul dumneavoastră sau aplicație și serverele noastre este criptat cu TLS (HTTPS). În plus, trimitem antetul HSTS, care obligă browserul să folosească întotdeauna HTTPS cu noi timp de un an.

• Criptarea datelor sensibile

  Datele din categorii speciale din fișele reglementare de sănătate (precum originea etnică, identitatea de gen, dizabilitatea sau asigurătorul de sănătate) sunt stocate criptat. Credențialele procesatorilor de plăți și ale integrărilor fiecărei locații sunt de asemenea stocate criptat, iar cheile private ale certificatelor sunt protejate de o parolă consolidată cu un secret al serverului care nu se află în baza de date.

• Fiecare club, izolat de celelalte

  Fiecare persoană lucrează cu un profil legat de o companie și de o locație, iar permisiunile și interogările sunt limitate la acel domeniu. Un club nu vede datele altuia, iar în interiorul unui club fiecare rol vede doar ceea ce îi permite locația sa.

• Copii de siguranță criptate și verificate

  Facem zilnic o copie de siguranță a bazelor de date. Fiecare copie este criptată (AES-256) înainte de a părăsi serverul și este stocată într-un spațiu de stocare criptat; copiile se păstrează 15 zile. Pentru a ne asigura că funcționează cu adevărat, efectuăm un test de restaurare care pornește o copie într-un mediu separat și verifică dacă datele se află în ea.

• Coduri QR de acces de unică folosință

  Codul QR pe care membrul îl arată la turnichet este generat aleatoriu, este de unică folosință și se reînnoiește imediat ce deschide o ușă. Dacă nu este folosit, expiră după 24 de ore și este înlocuit cu altul. Nu există o cheie fixă care să poată fi copiată sau redirecționată.

• Jurnal de audit

  Acțiunile relevante sunt înregistrate cu persoana care le-a efectuat și canalul prin care au fost efectuate (panou, aplicație sau asistent), pentru a putea verifica ce s-a întâmplat și când.

Protecția conturilor

• Parole

  Parolele noi trebuie să aibă cel puțin 8 caractere (și cel mult 72). Nu sunt stocate niciodată în clar.

• Limitarea încercărilor de autentificare

  Dacă cineva introduce greșit parola în mod repetat, accesul este blocat pentru o perioadă. Blocarea se ridică singură și nu face contul inutilizabil.

• Verificare în doi pași (2FA)

  Disponibilă cu orice aplicație de coduri (Google Authenticator, Authy și similare), cu coduri de recuperare în cazul în care vă pierdeți telefonul. Este obligatorie pentru administratorii platformei și pentru echipa locațiilor care decid să o impună; cine o activează din proprie inițiativă nu o mai poate ocoli la autentificare. Dacă marcați un dispozitiv ca fiind de încredere, nu vi se va mai cere timp de 7 zile.

• Expirarea sesiunii

  Sesiunile din panou expiră după 7 zile și trebuie să vă autentificați din nou. Puteți vedea și închide sesiunile dumneavoastră active.

Unde se află datele

Serverele și bazele de date ale platformei se află la Amazon Web Services, într-un centru de date din Spania (Uniunea Europeană). Asistentul LAIA funcționează cu modele de IA rulate pe servere din Uniunea Europeană. Mai multe detalii despre prelucrarea datelor găsiți în politica de confidențialitate.

Furnizori care prelucrează date (persoane împuternicite subsecvente)

Aceștia sunt furnizorii care prelucrează datele clubului dumneavoastră pentru ca serviciul să funcționeze. Folosesc datele doar conform instrucțiunilor noastre.

Dacă clubul activează integrări cu alte servicii (cântare cu bioimpedanță, software de gestiune), datele sunt partajate cu acestea deoarece clubul decide acest lucru. Atunci când un furnizor se află în afara Spațiului Economic European, transferul se întemeiază pe Cadrul de confidențialitate a datelor UE-SUA sau pe clauzele contractuale standard ale Comisiei Europene.

Contract de persoană împuternicită de operator (DPA)

Dacă clubul dumneavoastră trebuie să semneze cu noi un contract de persoană împuternicită de operator, vi-l trimitem la cerere, scriind la info@fitmewise.com.

Politica de divulgare a vulnerabilităților

Dacă credeți că ați găsit o breșă de securitate în Fitmewise, vrem să aflăm. Vă mulțumim că ne anunțați în mod responsabil.

Cum raportați

Scrieți-ne la info@fitmewise.com. Datele de contact se găsesc și în /.well-known/security.txt.

Ce să includeți în raport

• Ce ați găsit și unde (adresă web, ecran sau endpoint).
• Pașii pentru a o reproduce, cu o dovadă de concept dacă aveți una.
• Ce impact credeți că are și ce date ar putea fi afectate.
• Datele dumneavoastră de contact, în cazul în care avem nevoie de mai multe informații (puteți scrie anonim, dar în acest caz nu vă vom putea răspunde).

Ce intră în domeniul de aplicare

• fitmewise.com
• Dashboard (panoul de gestiune al clubului)
• API-ul Fitmewise
• aplicațiile mobile Fitmewise și cele ale fiecărui club

Ce rămâne în afara domeniului de aplicare

• Atacuri de tip refuz al serviciului (DoS/DDoS) sau teste de încărcare.
• Inginerie socială împotriva personalului, a cluburilor sau a membrilor (phishing, apeluri telefonice etc.).
• Atacuri fizice împotriva birourilor, echipamentelor sau instalațiilor.
• Trimiterea de spam sau de mesaje în masă prin formularele sau canalele noastre.

Buna-credință

Dacă acționați cu bună-credință, nu accesați mai multe date decât este necesar pentru a demonstra breșa, nu le modificați și nu le distrugeți, nu afectați serviciul și ne acordați un termen rezonabil pentru remediere înainte de a o face publică, nu vom întreprinde acțiuni în justiție împotriva dumneavoastră pentru acea cercetare.

Termene de răspuns

Confirmăm primirea în maximum 5 zile lucrătoare și vă ținem la curent cu modul în care avansează remedierea.

Recompense

Nu avem un program de recompense financiare (bug bounty): nu plătim pentru raportări, deși vă mulțumim mult pentru efort.