Torevo Security

Bezpečnosť produktov a projektov Torevo.

Bezpečnostné opatrenia prispôsobujeme údajom, oprávneniam a externým službám, ktoré konkrétny produkt alebo projekt skutočne používa.

A. Základné bezpečnostné opatrenia

Ochrana údajov od prenosu až po odstránenie.

Používame šifrovaný prenos, obmedzené oprávnenia, oddelené prístupy a pravidlá uchovávania údajov.

Šifrovaný prenos a bezpečnostné hlavičky

Verejná konfigurácia vynucuje HTTPS, HSTS, obmedzené zdroje obsahu, zákaz vloženia do rámca a bezpečné spracovanie typov súborov.

Tajomstvá mimo verejného klienta

Statický web obsahuje iba verejné nastavenia. SMTP heslá, Shopify tajomstvá a tokeny poskytovateľov nie sú súčasťou klientského balíka ani analytických udalostí.

Zdokumentované minimálne Shopify oprávnenia

Shipping a KROS profily majú samostatne evidované oprávnenia podľa objektov, ktoré spracúvajú. Rozšírenie scope vyžaduje samostatnú kontrolu.

Oddelené produktové identity a dátové priestory

Jednotlivé Shopify identity používajú samostatné prihlasovacie údaje, verejné URL, šifrovacie kľúče a databázové menné priestory.

Privacy a lifecycle handlery

Povinné Shopify požiadavky na ochranu súkromia a životný cyklus aplikácie zabezpečujú spracovanie žiadostí o údaje a odinštalovanie.

Proces odstránenia a maximálna retencia

Odinštalovanie, žiadosť obchodníka alebo zánik účelu spúšťa príslušný proces odstránenia. Zákonná povinnosť môže vyžadovať obmedzené uchovanie.

B. Opatrenia podľa produktu

Rozsah údajov a oprávnení sa líši podľa produktu.

Pri každom produkte uvádzame Shopify oprávnenia, spracúvané údaje, externé služby, maximálnu retenciu a postup po odinštalovaní.

Torevo • KROS Fakturácia

Shopify scopes: read_orders, read_companies, read_customers
Spracúvané dátové objekty: objednávky, refundácie a transakcie
fakturačné údaje zákazníka a spoločnosti
doklady, platby, stav operácie a PDF
Externé služby a príjemcovia: DigitalOcean ako sub-sprostredkovateľ hostingu
Shopify ako platforma obchodníka
KROS ako poskytovateľ pripojený obchodníkom
Maximálna retencia: Webhook a job metadata najviac 30 dní, callback metadata najviac 90 dní, bezpečnostný audit najviac 365 dní a šifrované zálohy najviac 30 dní. Metadata dokladov a šifrované PDF najviac 2 555 dní, ak skoršie odstránenie nevyžaduje účel alebo žiadosť.
Po odinštalovaní: Odinštalovanie spúšťa lifecycle handler a príslušný proces odstránenia. Údaje viazané zákonnou povinnosťou zostávajú obmedzené na daný účel.
Privacy webhooky: Aplikácia spracúva povinné Shopify privacy webhooky a udalosti odinštalovania.
Hlásenie incidentu: Hlásenie cez torevo@torevo.tech bez hesiel, tokenov a zákazníckych osobných údajov.

Torevo Shipping

Shopify scopes: read_orders, read_merchant_managed_fulfillment_orders, write_merchant_managed_fulfillment_orders
Spracúvané dátové objekty: objednávky a položky
doručovacie údaje potrebné pre zásielku
fulfillment objednávky
zásielky, štítky a tracking
Externé služby a príjemcovia: DigitalOcean ako sub-sprostredkovateľ hostingu
Shopify ako platforma obchodníka
dopravca zapnutý obchodníkom
Maximálna retencia: Webhook a job metadata najviac 30 dní, callback metadata najviac 90 dní, bezpečnostný audit najviac 365 dní a šifrované zálohy najviac 30 dní.
Po odinštalovaní: Odinštalovanie spúšťa lifecycle handler a príslušný proces odstránenia. Údaje viazané zákonnou povinnosťou zostávajú obmedzené na daný účel.
Privacy webhooky: Aplikácia spracúva povinné Shopify privacy webhooky a udalosti odinštalovania.
Hlásenie incidentu: Hlásenie cez torevo@torevo.tech bez hesiel, tokenov a zákazníckych osobných údajov.

Torevo • Packeta SK

Shopify scopes: read_orders, read_merchant_managed_fulfillment_orders, write_merchant_managed_fulfillment_orders
Spracúvané dátové objekty: objednávky a položky
doručovacie údaje potrebné pre zásielku
fulfillment objednávky
zásielky, štítky a tracking
Externé služby a príjemcovia: DigitalOcean ako sub-sprostredkovateľ hostingu
Shopify ako platforma obchodníka
Packeta Group ako dopravca zapnutý obchodníkom
Maximálna retencia: Webhook a job metadata najviac 30 dní, callback metadata najviac 90 dní, bezpečnostný audit najviac 365 dní a šifrované zálohy najviac 30 dní.
Po odinštalovaní: Odinštalovanie spúšťa lifecycle handler a príslušný proces odstránenia. Údaje viazané zákonnou povinnosťou zostávajú obmedzené na daný účel.
Privacy webhooky: Aplikácia spracúva povinné Shopify privacy webhooky a udalosti odinštalovania.
Hlásenie incidentu: Hlásenie cez torevo@torevo.tech bez hesiel, tokenov a zákazníckych osobných údajov.

Torevo • Zasilkovna

Shopify scopes: read_orders, read_merchant_managed_fulfillment_orders, write_merchant_managed_fulfillment_orders
Spracúvané dátové objekty: objednávky a položky
doručovacie údaje potrebné pre zásielku
fulfillment objednávky
zásielky, štítky a tracking
Externé služby a príjemcovia: DigitalOcean ako sub-sprostredkovateľ hostingu
Shopify ako platforma obchodníka
Packeta Group ako dopravca zapnutý obchodníkom
Maximálna retencia: Webhook a job metadata najviac 30 dní, callback metadata najviac 90 dní, bezpečnostný audit najviac 365 dní a šifrované zálohy najviac 30 dní.
Po odinštalovaní: Odinštalovanie spúšťa lifecycle handler a príslušný proces odstránenia. Údaje viazané zákonnou povinnosťou zostávajú obmedzené na daný účel.
Privacy webhooky: Aplikácia spracúva povinné Shopify privacy webhooky a udalosti odinštalovania.
Hlásenie incidentu: Hlásenie cez torevo@torevo.tech bez hesiel, tokenov a zákazníckych osobných údajov.

C. Kontroly podľa projektu alebo dohody

Tieto opatrenia nie sú automatickou súčasťou každej služby.

Rozsah, meranie a zodpovednosť musia byť uvedené v konkrétnej objednávke, SLA alebo bezpečnostnej prílohe. Bez takej dohody ich neprezentujeme ako aktívnu kontrolu.

SLA a reakčné časy

Dohodnuté servisné okná, závažnosti a komunikačný postup.

RPO a RTO

Ciele obnovy iba pre systém s potvrdenou zálohovacou a obnovovacou architektúrou.

Penetračné testy

Rozsah, vykonávateľ, termín a spôsob spracovania nálezov.

Dedikovaná infraštruktúra

Oddelenie účtu, siete, dát alebo prevádzkových rolí podľa projektu.

Špecifická retencia

Lehoty odlišné od produktových predvolených hodnôt a právny dôvod uchovania.

Zmluvné audity

Rozsah dôkazov, frekvencia a pravidlá ochrany dôverných informácií.

D. Nahlásenie bezpečnostného problému

Pošlite bezpečný reprodukčný postup, nie citlivé údaje.

Bezpečnostné hlásenia posielajte na torevo@torevo.tech.

Neposielajte heslá, tokeny, API kľúče ani iné tajomstvá.
Neposielajte zákaznícke osobné údaje ani neupravené produkčné exporty.
Nezverejňujte problém ani postup zneužitia pred jeho bezpečným spracovaním.
Uveďte dotknutú URL alebo komponent, očakávaný výsledok a bezpečný reprodukčný postup.
Nemeňte ani nemažte produkčné údaje a nepoužívajte cudzie účty.

Napísať bezpečnostné hlásenie

Bezpečnosť

Potrebujete dohodnúť bezpečnostný rozsah projektu?

V úvodnom posúdení odlíšime produktové kontroly, projektové požiadavky a dôkazy potrebné pred nasadením.

Kontaktovať nás Ochrana osobných údajov