Securitate și conformitate

Platforma rulează pe o infrastructură cloud din UE, iar datele sunt stocate în principal la Frankfurt, în Germania. Bazele de date se află în rețele private, accesul se face cu tokenuri de scurtă durată, iar tot traficul extern este criptat cu TLS 1.2+ și HSTS.

Avem stocare redundantă, cu backup automat la fiecare șase ore și instantanee zilnice pentru restaurare la un moment dat (point-in-time recovery), păstrate 30 de zile.

• Date stocate: AES-256 în baza de date, parole hashuite (bcrypt/argon2id) și criptare la nivel de câmp pentru datele sensibile.
• Date în tranzit: TLS 1.2 sau mai nou, cu suite de criptare puternice, HSTS preload și reînnoire automată a certificatelor.
• Chei: gestionate într-un KMS, rotite trimestrial și auditate la fiecare acces.

Aplicăm principiul privilegiului minim și controlul accesului pe bază de roluri (RBAC), implementat printr-un tabel dedicat `user_roles`, validat prin row-level security pe server. Conturile de administrator necesită autentificare în doi pași, iar fiecare acces este înregistrat în jurnale care nu pot fi modificate.

Accesul angajaților care pleacă este retras în cel mult 4 ore. Furnizorii terți accesează sistemele doar prin conturi dedicate, care pot fi auditate.

Tot codul este verificat înainte de lansare. Rulăm scanări automate ale dependențelor (SCA), analiză statică (SAST), scanări pentru secrete și teste dinamice. Nicio modificare nu ajunge în producție fără o suită de teste automate, o verificare manuală și posibilitatea de revenire imediată.

Folosim OWASP Top 10 și OWASP API Security Top 10 ca referință și colaborăm anual cu terți independenți pentru teste de penetrare.

Toată activitatea sensibilă este înregistrată central timp de 12 luni. Anomaliile declanșează alerte în timp real. Avem un plan documentat de răspuns la incidente, cu un RTO de 4 ore și un RPO de 30 de minute pentru serviciile critice.

Încălcările securității datelor personale sunt raportate autorității de supraveghere în 72 de ore, conform articolului 33 GDPR, iar persoanele vizate afectate sunt anunțate fără întârzieri nejustificate.

Workers Stay nu stochează datele complete ale cardurilor de plată. Toată gestionarea cardurilor se face la furnizorul nostru certificat PCI DSS, Stripe. Ne încadrăm în SAQ-A (cel mai scăzut nivel aplicabil) și nu gestionăm date CHD sau SAD în clar.

Lucrăm doar cu persoane împuternicite secundare care respectă standarde de securitate echivalente. O listă completă și actualizată este disponibilă în DPA-ul nostru. Modificările sunt anunțate clienților corporativi cu cel puțin 30 de zile înainte.

Invităm cercetătorii în securitate să raporteze posibilele vulnerabilități la security@workersstay.com. Confirmăm primirea în 48 de ore, remediem în funcție de prioritatea CVSS și nu vom iniția acțiuni în justiție împotriva raportărilor făcute cu bună-credință, în scop de cercetare.

Clienților corporativi a căror colaborare implică prelucrarea de date personale — formulare de rezervare, integrări CRM, liste cu angajații cazați la noi — li se oferă un DPA scris înainte de activare. DPA-ul nostru standard este aliniat la articolul 28 GDPR și include clauzele contractuale standard ale UE (modulele 2 și 3, după caz) pentru toate persoanele împuternicite secundare din afara SEE. Poți cere o copie a DPA-ului actual la privacy@workersstay.com.

Lucrăm cu un număr limitat de persoane împuternicite secundare, verificate cu atenție. Fiecare este obligată printr-un contract scris care impune obligații echivalente de protecție a datelor. Lista actuală:

• Google LLC / Google Ireland Ltd — Google Workspace, Analytics, Ads, Maps (UE și SUA, SCC).
• Meta Platforms Ireland Ltd — Meta Pixel și CAPI (UE).
• Supabase Inc. — baza de date a aplicației și autentificarea (regiune UE, Frankfurt).
• Stripe Payments Europe Ltd — plăți cu cardul (UE, PCI DSS Level 1).
• Resend, Inc. — e-mail tranzacțional (regiune UE).
• Cloudflare, Inc. — DNS, WAF și livrare edge (global, SCC).
• PostHog Inc. — analiza produsului (regiune UE).

Anunțăm clienții corporativi în scris cu cel puțin 30 de zile înainte de adăugarea sau înlocuirea unei persoane împuternicite secundare.

În cazul unui incident confirmat care afectează datele unui client corporativ, anunțăm clientul afectat fără întârzieri nejustificate și cel târziu în 48 de ore de la confirmare. Notificarea include categoriile de date afectate, consecințele probabile și măsurile luate pentru limitarea efectelor. În paralel, încălcările securității datelor personale sunt raportate autorității de supraveghere în 72 de ore, conform articolului 33 GDPR.

Toți membrii echipei și colaboratorii au obligații scrise de confidențialitate, care rămân valabile și după încetarea colaborării. La cerere, înainte de discuțiile comerciale, putem semna acorduri reciproce de confidențialitate (NDA).

Departamentul de securitate: security@workersstay.com. Protecția datelor: privacy@workersstay.com. Contact general: contact@workersstay.com. Adresă poștală: Real Estate Ollopa11 Ltd, 128 City Road, London EC1V 2NX, Regatul Unit.