Turvallisuusseloste

Turvallisuusperiaatteet

Myyntitutka käsittelee käyttäjätilit, maksujen tilat ja ostetut yritysaineistot palvelinpuolisen luottamusrajan sisällä. Selain ei päätä hintaa, rivimäärää, maksutilaa tai aineiston käyttöoikeutta.

• Jokaisen tilauksen ja latauksen omistajuus tarkistetaan palvelimella.
• Käyttäjä- ja yritysprofiilien, tarjonnan sekä tarpeiden omistajuus johdetaan istunnosta palvelimella. Selain ei voi valita organisaatiota, hyväksyntätilaa tai jäsenyyttä.
• Yritysprofiilin muutokset auditoidaan, Y-tunnus lukitaan luonnissa ja kirjoituspyyntöjen alkuperä tarkistetaan.
• Match-lista ei sisällä yhteystietoja. Paljastus tarkistaa molempien yritysten jäsenyyden, hyväksynnän ja suostumuksen uudelleen sekä tallentaa audit-tapahtuman.
• Salasanat tallennetaan vahvoina tiivisteinä eikä selväkielisinä. Sähköpostikirjautuminen vaatii tuotannossa vahvistetun osoitteen, ja salasanan vaihtaminen mitätöi olemassa olevat istunnot.
• OAuth-tokenit ja ostetut CSV-snapshotit salataan ennen tietokantatallennusta.
• Maksun allekirjoitus, summa, valuutta ja tapahtumatunniste tarkistetaan palvelinpuolella. Korttitietoja ei tallenneta.
• Sovellus-, worker- ja migraatioprosesseilla on erilliset, rajatut tietokantaoikeudet.
• Salaisuuksia ei säilytetä lähdekoodissa tai Docker-imageissa, eikä ostettua aineistoa kirjoiteta sovelluslokeihin.

Turvallisuudesta ilmoittaminen

Jos havaitset mahdollisen haavoittuvuuden, lopeta testaaminen, kun olet todentanut ongelman. Älä lataa, muuta, poista tai levitä muiden tietoja äläkä häiritse palvelun toimintaa.

Ilmoita palvelun osoite, havaintoaika, turvallinen toistokuvaus ja arvioitu vaikutus. Älä lähetä viestissä salasanoja, autentikointievästeitä, ostettua aineistoa tai tarpeettomia henkilötietoja.

Turvallisuusilmoitusten yhteysosoite: myyntitutka@askelen.fi. Vastaanotto kuitataan tavoitteellisesti kolmen arkipäivän ja alustava vakavuusarvio seitsemän arkipäivän kuluessa. Korjauksen aikataulu riippuu vaikutuksesta ja muutoksen turvallisesta toimittamisesta.

Koneellisesti luettava yhteystieto löytyy osoitteesta /.well-known/security.txt. Myyntitutkalla ei ole bug bounty -ohjelmaa, eikä ilmoitus sellaisenaan oikeuta palkkioon.

Poikkeamat ja jatkuvuus

Turvallisuushavainnot käsitellään vaikutuksen ja kiireellisyyden perusteella. Tarvittaessa pääsy estetään, salaisuudet vaihdetaan, haavoittuva versio korvataan ja tapahtuma tutkitaan audit- ja teknisten lokien avulla. Henkilötietojen tietoturvaloukkaukset arvioidaan erikseen, ja niistä ilmoitetaan valvontaviranomaiselle ja rekisteröidyille soveltuvan lainsäädännön edellyttämällä tavalla.

Yksityisyys

Henkilötietojen käsittely, säilytys ja rekisteröidyn oikeudet on kuvattu tietosuojaselosteessa.