Biztonság és megfelelés

A platform EU-ban működő felhőinfrastruktúrán fut, az adatokat elsősorban a németországi Frankfurtban tároljuk. Az adatbázisok privát hálózatokban vannak, a hozzáférés rövid élettartamú tokenekkel történik, és minden külső forgalom TLS 1.2+ és HSTS titkosítással zajlik.

Redundáns tárolást működtetünk, hathóránkénti automatikus mentéssel és napi, adott időpontra visszaállítható (point-in-time recovery) pillanatképekkel, amelyeket 30 napig őrzünk meg.

• Tárolt adatok: AES-256 az adatbázisban, hashelt jelszavak (bcrypt/argon2id) és mezőszintű titkosítás az érzékeny adatokra.
• Továbbított adatok: TLS 1.2 vagy újabb erős titkosítási csomagokkal, HSTS preload, automatikus tanúsítványmegújítás.
• Kulcsok: KMS-ben kezelve, negyedévente cserélve, és minden hozzáféréskor auditálva.

A legkisebb jogosultság elvét és szerepköralapú hozzáférés-szabályozást (RBAC) alkalmazunk, amelyet egy külön `user_roles` tábla valósít meg, szerveroldali sorszintű biztonsági ellenőrzéssel. Az adminisztrátori fiókokhoz kétlépcsős azonosítás szükséges, és minden hozzáférést megváltoztathatatlanul naplózunk.

A távozó munkatársak hozzáféréseit 4 órán belül megszüntetjük. Külső beszállítók csak dedikált, auditálható fiókokon keresztül férnek hozzá a rendszerekhez.

Minden kódot telepítés előtt átnézünk. Automatikus függőségvizsgálatot (SCA), statikus elemzést (SAST), titokkeresést és dinamikus tesztelést futtatunk. Egyetlen éles változtatás sem kerül élesbe automatizált tesztkészlet, kézi ellenőrzés és azonnali visszaállítási lehetőség nélkül.

Az OWASP Top 10-et és az OWASP API Security Top 10-et vesszük alapul, és évente független külső féllel végeztetünk behatolásteszteket.

Minden érzékeny tevékenységet központilag, 12 hónapig naplózunk. Az anomáliák valós idejű riasztást váltanak ki. Dokumentált incidenskezelési tervvel rendelkezünk, kritikus szolgáltatásoknál 4 órás RTO-val és 30 perces RPO-val.

Az adatvédelmi incidenseket a GDPR 33. cikke szerint 72 órán belül bejelentjük a felügyeleti hatóságnak, az érintetteket pedig indokolatlan késedelem nélkül tájékoztatjuk.

A Workers Stay nem tárol teljes bankkártyaadatokat. Minden kártyakezelés PCI DSS tanúsítvánnyal rendelkező szolgáltatónknál, a Stripe-nál történik. Az SAQ-A (a legalacsonyabb alkalmazható szint) hatálya alá tartozunk, és kártyabirtokosi adatokat (CHD) vagy érzékeny hitelesítési adatokat (SAD) nem kezelünk nyílt formában.

Csak olyan alvállalkozó adatfeldolgozókat veszünk igénybe, amelyek egyenértékű biztonsági előírásoknak felelnek meg. A teljes és naprakész lista adatfeldolgozási szerződésünkben (DPA) található. A változásokról céges ügyfeleinket legalább 30 nappal előre értesítjük.

Arra kérjük a biztonsági kutatókat, hogy a lehetséges sérülékenységeket a security@workersstay.com címen jelentsék. A bejelentést 48 órán belül visszaigazoljuk, a javítást CVSS-prioritás szerint végezzük, és a jóhiszemű kutatás keretében tett bejelentések miatt nem indítunk jogi lépéseket.

Azoknak a céges ügyfeleknek, akiknél az együttműködés személyes adatok kezelésével jár – foglalási űrlapok, CRM-integrációk, a nálunk lakó munkavállalók listái –, az aktiválás előtt írásos DPA-t ajánlunk. Szokásos DPA-nk megfelel a GDPR 28. cikkének, és minden EGT-n kívüli alvállalkozó adatfeldolgozóra kiterjedően tartalmazza az uniós általános szerződési feltételeket (adott esetben a 2. és 3. modult). Az aktuális DPA egy példányát a privacy@workersstay.com címen kérheti.

Korlátozott számú, gondosan ellenőrzött alvállalkozó adatfeldolgozót veszünk igénybe. Mindegyiket írásos szerződés köti, amely egyenértékű adatvédelmi kötelezettségeket ír elő. Aktuális lista:

• Google LLC / Google Ireland Ltd – Google Workspace, Analytics, Ads, Maps (EU és USA, SCC).
• Meta Platforms Ireland Ltd – Meta Pixel és CAPI (EU).
• Supabase Inc. – alkalmazás-adatbázis és hitelesítés (EU-régió, Frankfurt).
• Stripe Payments Europe Ltd – kártyás fizetés (EU, PCI DSS Level 1).
• Resend, Inc. – tranzakciós e-mailek (EU-régió).
• Cloudflare, Inc. – DNS, WAF és peremhálózati kiszolgálás (globális, SCC).
• PostHog Inc. – termékanalitika (EU-régió).

Céges ügyfeleinket legalább 30 nappal egy alvállalkozó adatfeldolgozó felvétele vagy cseréje előtt írásban értesítjük.

Céges ügyféladatokat érintő, megerősített incidens esetén az érintett ügyfelet indokolatlan késedelem nélkül, de legkésőbb a megerősítéstől számított 48 órán belül értesítjük. Az értesítés tartalmazza az érintett adatkategóriákat, a valószínű következményeket és a kármérséklés érdekében tett intézkedéseket. Az adatvédelmi incidenseket ezzel párhuzamosan a GDPR 33. cikke szerint 72 órán belül bejelentjük a felügyeleti hatóságnak.

Minden csapattagot és külső közreműködőt írásos titoktartási kötelezettség köt, amely a megbízás megszűnése után is fennmarad. Kölcsönös titoktartási megállapodások (NDA) kérésre az üzleti tárgyalások előtt rendelkezésre állnak.

Biztonsági osztály: security@workersstay.com. Adatvédelem: privacy@workersstay.com. Általános kapcsolat: contact@workersstay.com. Postacím: Real Estate Ollopa11 Ltd, 128 City Road, London EC1V 2NX, Egyesült Királyság.