Seguretat i les teves dades
Escrit per als equips de seguretat i protecció de dades que han de donar el vistiplau a un proveïdor nou. Tot el que diu aquesta pàgina descriu com funciona avui la plataforma.
On viu
La plataforma funciona en un servidor que poses tu, i les teves dades s'hi queden. D'allà només en surten els avisos d'alerta pels canals que activis i l'accés de suport que s'explica més avall. Tu ets el responsable del tractament; nosaltres només som encarregats quan hi accedim per donar suport, amb un contracte d'encàrrec (art. 28 del RGPD).
Allotjada a la Unió Europea. Som encarregats del tractament, sempre amb un contracte d'encàrrec (art. 28 del RGPD).
Com està construïda
Cada funció passa per una API autenticada, la mateixa que fa servir la interfície. L'accés directe a la base de dades es limita a diagnòstics de només lectura de l'equip de suport.
Cada rol veu i fa el que necessita, i res més. L'accés amb segon factor està disponible.
Cada instal·lació té les seves pròpies claus i contrasenyes, generades al seu propi servidor i mai heretades d'un altre lloc. Les credencials dels equips es guarden xifrades.
Cada canvi planificat porta qui el va autoritzar, i després es contrasta amb el que mostren de debò els equips.
Dades personals
L'analítica està feta per respondre preguntes sobre un espai o un servei, no sobre una persona. L'analítica de wifi de visitants, per exemple, no guarda cap adreça de dispositiu, i ni els panells ni les mètriques porten cap identificador.
Els registres clínics, com l'historial de tractaments d'una clínica, són una categoria especial de dades personals (art. 9 del RGPD) i es tracten amb les seves pròpies regles de conservació i accés.
La IA i les teves dades
Res de la plataforma no crida un servei d'IA extern. L'equip de suport sí que treballa amb assistents d'IA: quan investiga una incidència a la teva instal·lació, ho fa amb accés de només lectura, dins del contracte d'encàrrec i amb el proveïdor d'IA declarat com a subencarregat. Si la teva política no ho permet, digues-ho, i el suport de la teva instal·lació es fa sense ells.
Alineats, sense certificar
Els controls estan alineats amb ISO 27001 i NIST CSF. No estem certificats, i ho diem. Hi ha un qüestionari de seguretat disponible a petició a hello@airfexlabs.com. Per avisar d'una vulnerabilitat, mira com fer-ho.
Divulgació de vulnerabilitats
Escriu a security@airfexlabs.com indicant el producte i la versió, com reproduir-la i quin impacte té.
Les plataformes d'AirFexLABS en les versions amb suport, les instal·lacions que allotgem a la UE i airfexlabs.com. Els sistemes dels nostres clients i socis en queden fora: per provar la instal·lació d'un client cal el seu permís per escrit. Ni denegació de servei, ni enginyeria social, ni proves físiques.
Acusem recepció en 3 dies hàbils, fem una primera valoració en 10 i t'informem com a mínim cada 14 dies.
El que és crític en 30 dies, l'alt en 60 i la resta en 90.
90 dies per defecte, ampliables de comú acord. Si una vulnerabilitat s'està explotant, la comuniquem a les autoritats com exigeix la llei, sense esperar.
Un avís públic i un CVE quan la correcció estigui publicada, amb el teu nom si ho vols. No paguem recompenses.
No emprendrem accions contra qui investigui de bona fe dins d'aquesta política. No podem autoritzar l'accés a sistemes que no són nostres, i aquesta política no està per sobre de la llei.