Sigurnost i usklađenost

Platforma radi na infrastrukturi u oblaku smještenoj u EU-u, a podaci se uglavnom pohranjuju u Frankfurtu u Njemačkoj. Baze podataka nalaze se unutar privatnih mreža, pristup se ostvaruje kratkotrajnim tokenima, a sav vanjski promet šifriran je protokolom TLS 1.2+ uz HSTS.

Imamo redundantnu pohranu s automatskim sigurnosnim kopijama svakih šest sati i dnevnim snimkama za vraćanje na određeni trenutak (point-in-time recovery) koje se čuvaju 30 dana.

• Pohranjeni podaci: AES-256 u bazi podataka, hashirane lozinke (bcrypt/argon2id) i šifriranje na razini polja za osjetljive podatke.
• Podaci u prijenosu: TLS 1.2 ili noviji sa snažnim šiframa, HSTS preload i automatska obnova certifikata.
• Ključevi: upravlja se njima u KMS-u, mijenjaju se tromjesečno, a svaki pristup se revidira.

Primjenjujemo načelo najmanjih ovlasti i kontrolu pristupa temeljenu na ulogama (RBAC), provedenu putem posebne tablice `user_roles` koju provjerava row-level security na poslužitelju. Administratorski računi zahtijevaju dvofaktorsku autentifikaciju, a svaki se pristup bilježi tako da se zapis ne može mijenjati.

Zaposlenicima koji odlaze pristup se ukida u roku od 4 sata. Vanjski dobavljači sustavima pristupaju samo putem posebnih računa koji se mogu revidirati.

Sav kod pregledava se prije puštanja u rad. Provodimo automatsko skeniranje ovisnosti (SCA), statičku analizu (SAST), skeniranje tajni i dinamičko testiranje. Nijedna promjena ne ide u produkciju bez automatiziranog paketa testova, ručnog pregleda i mogućnosti trenutačnog vraćanja na prethodnu verziju.

Kao osnovu koristimo OWASP Top 10 i OWASP API Security Top 10, a za godišnje penetracijske testove angažiramo neovisne treće strane.

Sve osjetljive aktivnosti središnje se bilježe 12 mjeseci. Anomalije pokreću upozorenja u stvarnom vremenu. Imamo dokumentiran plan odgovora na incidente s RTO-om od 4 sata i RPO-om od 30 minuta za kritične usluge.

Povrede osobnih podataka prijavljuju se nadzornom tijelu u roku od 72 sata u skladu s člankom 33. GDPR-a, a pogođeni ispitanici obavješćuju se bez nepotrebnog odgađanja.

Workers Stay ne pohranjuje potpune podatke o platnim karticama. Svim karticama rukuje naš pružatelj usluga s certifikatom PCI DSS, Stripe. Podliježemo razini SAQ-A (najniža primjenjiva razina) i ne rukujemo podacima CHD ni SAD u otvorenom obliku.

Angažiramo samo podizvršitelje obrade koji ispunjavaju jednakovrijedne sigurnosne standarde. Cjelovit i ažuran popis dostupan je u našem DPA-u. O promjenama obavješćujemo poslovne klijente najmanje 30 dana unaprijed.

Pozivamo istraživače sigurnosti da moguće ranjivosti prijave na security@workersstay.com. Primitak potvrđujemo u roku od 48 sati, ranjivosti otklanjamo prema prioritetu CVSS i nećemo pokretati pravne postupke protiv prijava podnesenih u okviru istraživanja u dobroj vjeri.

Poslovnim klijentima čija suradnja uključuje obradu osobnih podataka — obrasci za rezervaciju, integracije s CRM-om, popisi zaposlenika koji borave kod nas — prije aktivacije nudimo pisani DPA. Naš standardni DPA usklađen je s člankom 28. GDPR-a i uključuje standardne ugovorne klauzule EU-a (modul 2 i 3, prema potrebi) za sve podizvršitelje obrade izvan EGP-a. Primjerak važećeg DPA-a zatražite na privacy@workersstay.com.

Angažiramo ograničen broj pažljivo provjerenih podizvršitelja obrade. Svaki je vezan pisanim ugovorom kojim se nameću jednakovrijedne obveze zaštite podataka. Trenutačni popis:

• Google LLC / Google Ireland Ltd — Google Workspace, Analytics, Ads, Maps (EU i SAD, SCC).
• Meta Platforms Ireland Ltd — Meta Pixel i CAPI (EU).
• Supabase Inc. — baza podataka aplikacije i autentifikacija (regija EU, Frankfurt).
• Stripe Payments Europe Ltd — plaćanje karticama (EU, PCI DSS Level 1).
• Resend, Inc. — transakcijska e-pošta (regija EU).
• Cloudflare, Inc. — DNS, WAF i isporuka na rubu mreže (globalno, SCC).
• PostHog Inc. — analitika proizvoda (regija EU).

Poslovne klijente pisano obavješćujemo najmanje 30 dana prije dodavanja ili zamjene podizvršitelja obrade.

U slučaju potvrđenog incidenta koji utječe na podatke poslovnog klijenta, pogođenog klijenta obavješćujemo bez nepotrebnog odgađanja, a najkasnije u roku od 48 sati od potvrde. Obavijest uključuje kategorije pogođenih podataka, vjerojatne posljedice i poduzete mjere za ublažavanje. Povrede osobnih podataka istodobno se prijavljuju nadzornom tijelu u roku od 72 sata u skladu s člankom 33. GDPR-a.

Svi članovi tima i vanjski suradnici vezani su pisanim obvezama povjerljivosti koje vrijede i nakon prestanka suradnje. Na zahtjev, prije poslovnih razgovora, dostupni su obostrani ugovori o povjerljivosti (NDA).

Ured za sigurnost: security@workersstay.com. Zaštita podataka: privacy@workersstay.com. Opći kontakt: contact@workersstay.com. Poštanska adresa: Real Estate Ollopa11 Ltd, 128 City Road, London EC1V 2NX, Ujedinjeno Kraljevstvo.