Сигурност и съответствие

Платформата работи в облачна инфраструктура в ЕС, като данните се съхраняват предимно във Франкфурт, Германия. Базите данни се намират в частни мрежи, достъпът става с краткотрайни токени, а целият външен трафик е криптиран с TLS 1.2+ и HSTS.

Поддържаме резервирано съхранение с автоматични резервни копия на всеки шест часа и ежедневни моментни копия за възстановяване към определен момент (point-in-time recovery), които се пазят 30 дни.

• Съхранявани данни: AES-256 в базата данни, хеширани пароли (bcrypt/argon2id) и криптиране на ниво поле за чувствителните данни.
• Данни при пренос: TLS 1.2 или по-нова версия със силни шифри, HSTS preload и автоматично подновяване на сертификатите.
• Ключове: управляват се в KMS, сменят се на всяко тримесечие и всеки достъп до тях се одитира.

Прилагаме принципа на най-малките привилегии и контрол на достъпа на базата на роли (RBAC), реализиран чрез специална таблица `user_roles`, проверявана чрез row-level security на сървъра. Администраторските профили изискват двуфакторно удостоверяване, а всеки достъп се записва в регистър, който не може да бъде променян.

Достъпът на напускащите служители се прекратява до 4 часа. Външните доставчици достъпват системите само чрез специални профили, които подлежат на одит.

Целият код се преглежда преди пускане. Извършваме автоматично сканиране на зависимостите (SCA), статичен анализ (SAST), сканиране за тайни и динамично тестване. Нито една промяна не влиза в производствената среда без автоматизиран пакет от тестове, ръчен преглед и възможност за незабавно връщане към предишната версия.

Като основа използваме OWASP Top 10 и OWASP API Security Top 10, а за ежегодни тестове за проникване ангажираме независими трети страни.

Всички чувствителни действия се записват централно за 12 месеца. Аномалиите задействат сигнали в реално време. Имаме документиран план за реагиране при инциденти с RTO 4 часа и RPO 30 минути за критичните услуги.

Нарушенията на сигурността на личните данни се съобщават на надзорния орган до 72 часа съгласно член 33 от GDPR, а засегнатите субекти на данни се уведомяват без ненужно забавяне.

Workers Stay не съхранява пълните данни на платежните карти. Цялата обработка на карти се извършва от нашия доставчик със сертификат PCI DSS – Stripe. Попадаме в обхвата на SAQ-A (най-ниското приложимо ниво) и не обработваме данни CHD или SAD в явен вид.

Работим само с подизпълнители по обработването, които отговарят на равностойни стандарти за сигурност. Пълният и актуален списък е достъпен в нашето DPA. За промени уведомяваме корпоративните клиенти поне 30 дни предварително.

Каним изследователите по сигурността да съобщават за възможни уязвимости на security@workersstay.com. Потвърждаваме получаването до 48 часа, отстраняваме уязвимостите според приоритета по CVSS и няма да предприемаме правни действия срещу сигнали, подадени добросъвестно с изследователска цел.

На корпоративните клиенти, чието сътрудничество с нас включва обработване на лични данни — формуляри за резервация, интеграции с CRM, списъци със служители, настанени при нас — предлагаме писмено DPA преди активиране. Стандартното ни DPA е съобразено с член 28 от GDPR и включва стандартните договорни клаузи на ЕС (модул 2 и 3, когато е приложимо) за всички подизпълнители извън ЕИП. Поискайте копие от актуалното DPA на privacy@workersstay.com.

Работим с ограничен брой внимателно проверени подизпълнители по обработването. Всеки от тях е обвързан с писмен договор, който налага равностойни задължения за защита на данните. Текущ списък:

• Google LLC / Google Ireland Ltd — Google Workspace, Analytics, Ads, Maps (ЕС и САЩ, SCC).
• Meta Platforms Ireland Ltd — Meta Pixel и CAPI (ЕС).
• Supabase Inc. — база данни на приложението и удостоверяване (регион ЕС, Франкфурт).
• Stripe Payments Europe Ltd — плащания с карти (ЕС, PCI DSS Level 1).
• Resend, Inc. — трансакционни имейли (регион ЕС).
• Cloudflare, Inc. — DNS, WAF и доставка в периферията на мрежата (глобално, SCC).
• PostHog Inc. — анализ на продукта (регион ЕС).

Уведомяваме корпоративните клиенти писмено поне 30 дни преди добавяне или смяна на подизпълнител по обработването.

При потвърден инцидент, засягащ данни на корпоративен клиент, уведомяваме засегнатия клиент без ненужно забавяне и не по-късно от 48 часа след потвърждението. Уведомлението включва категориите засегнати данни, вероятните последици и предприетите мерки за ограничаване. Нарушенията на сигурността на личните данни успоредно се съобщават на надзорния орган до 72 часа съгласно член 33 от GDPR.

Всички членове на екипа и външни сътрудници са обвързани с писмени задължения за поверителност, които остават в сила и след прекратяване на сътрудничеството. При поискване, преди търговски разговори, можем да подпишем взаимни споразумения за неразкриване (NDA).

Отдел „Сигурност“: security@workersstay.com. Защита на данните: privacy@workersstay.com. Общ контакт: contact@workersstay.com. Пощенски адрес: Real Estate Ollopa11 Ltd, 128 City Road, London EC1V 2NX, Обединено кралство.