אבטחה

איך אנחנו מגנים על המידע שלכם

• הצפנה בתעבורה: התעבורה אל MyVisito וממנה מוצפנת באמצעות TLS.
• הצפנה במנוחה: המידע שלכם נשמר בהצפנה במנוחה דרך ספקי התשתית שלנו.
• בקרת גישה לסביבות עבודה: כללי גישה ברמת מסד הנתונים ותפקידי משתמשים משמשים להגבלת הגישה לפי סביבת העבודה הרלוונטית.
• הגנה על החשבון: ספק האימות שומר סיסמאות כגיבוב חד-כיווני, ולא כטקסט גלוי.
• תשלומים: תשלומים בכרטיס מטופלים על ידי Stripe, ספק שירות ברמת PCI DSS Level 1. MyVisito אינה שומרת את מספר הכרטיס המלא.
• עמידה בתקן: MyVisito משלימה מדי שנה הערכת PCI DSS (SAQ A) שמאומתת על ידי Stripe, ומריצה מדי רבעון סריקת פגיעויות חיצונית של myvisito.com דרך ספק סריקה מאושר PCI.
• גישה למערכות הייצור: הגישה מוגבלת לצרכים תפעוליים מורשים.

דיווח על בעיית אבטחה

אם קיים חשד לחולשת אבטחה, אפשר לשלוח תיאור ברור, את מספר הצעדים המינימלי הדרוש לשחזור, ואת העמוד או התכונה שנפגעו. אפשר לדווח בלי לציין שם.

אין לשלוח סיסמאות, טוקנים לאימות, מפתחות API, פרטי כרטיס מלאים או מידע אישי של אנשים אחרים. יש להשחיר מידע רגיש בצילומי מסך ולשלוח תחילה תיאור ללא חומר רגיש. נעדכן אם יידרש מידע נוסף.

כללי בדיקה

• יש לבדוק רק חשבונות ומידע בבעלות מבצעי הבדיקה או כאלה שניתנה הרשאה מפורשת להשתמש בהם.
• אם במהלך הבדיקה נחשף מידע של אדם אחר, יש לעצור מיד. אין להעתיק, להוריד, לשנות, למחוק או לשתף אותו. יש לדווח על הבעיה באמצעות המידע המינימלי הדרוש.
• יש להשתמש בהוכחה המצומצמת והלא הרסנית הדרושה לאימות הבעיה. אין לשמר גישה או להשתמש בחולשה מעבר לאימות הזה.
• אין להריץ מתקפות מניעת שירות או עומס, סריקות אוטומטיות משבשות, ספאם, פישינג, הנדסה חברתית, נוזקה או תקיפה פיזית.
• שירותים של צדדים שלישיים אינם נכללים במדיניות זו. יש לפעול לפי מדיניות האבטחה והבדיקות של הספק שלהם.
• יש לאפשר לנו זמן סביר לבדוק ולתקן בעיה לפני פרסום פומבי שלה.

המחויבות שלנו לחוקרים

במחקר שנעשה בתום לב, בהתאם לכללים אלה ולדין החל, תוך הימנעות מפגיעה ודיווח מהיר, לא ניזום ולא נתמוך בהליך משפטי רק בשל מחקר שעומד במדיניות זו. ההרשאה חלה רק על מערכות MyVisito ועל חשבונות ומידע שהשימוש בהם מורשה. פעילות מחוץ לכללים אלה אינה מורשית. במקרה של ספק אם בדיקה מסוימת מותרת, יש לפנות אלינו לפני ביצועה.

המטרה שלנו היא לאשר קבלת דיווח תקף בתוך חמישה ימי עסקים ולעדכן במהלך הבדיקה. כרגע איננו מפעילים תוכנית תגמול כספי, ושליחת דיווח אינה מקנה זכות לתשלום. לאחר פתרון הבעיה ובכפוף להסכמה, נוכל לתת קרדיט לחוקרים שסייעו.

מידע נוסף

לאופן שבו אנחנו מטפלים במידע אישי, אפשר לעיין במדיניות הפרטיות. לכל עניין אחר אפשר לפנות אל contact@myvisito.com, או לכתוב אל: EmodeFlow, LLC, 1111b South Governors Avenue, Suite 93153, Dover, DE 19904, United States.