Безопасность и комплаенс

Платформа работает на облачной инфраструктуре в ЕС, данные хранятся преимущественно во Франкфурте (Германия). Базы данных находятся в частных сетях, доступ осуществляется с помощью краткосрочных токенов, а весь внешний трафик шифруется по TLS 1.2+ с HSTS.

Мы используем резервированное хранилище с автоматическим резервным копированием каждые шесть часов и ежедневными снимками для восстановления на момент времени, которые хранятся 30 дней.

• Данные при хранении: AES-256 в базе данных, хешированные пароли (bcrypt/argon2id) и шифрование на уровне полей для конфиденциальных данных.
• Данные при передаче: TLS 1.2 или выше со стойкими наборами шифров, HSTS preload, автоматическое обновление сертификатов.
• Ключи: управляются в KMS, ротируются ежеквартально, каждый доступ проходит аудит.

Мы применяем принцип минимальных привилегий и ролевое управление доступом (RBAC) через отдельную таблицу `user_roles`, проверяемую серверной защитой на уровне строк (row-level security). Для учётных записей администраторов обязательна двухфакторная аутентификация, а каждый доступ записывается в неизменяемый журнал.

Доступ уходящих сотрудников отзывается в течение 4 часов. Сторонние поставщики получают доступ к системам только через выделенные учётные записи, доступные для аудита.

Весь код проходит проверку перед развёртыванием. Мы используем автоматическое сканирование зависимостей (SCA), статический анализ (SAST), поиск секретов в коде и динамическое тестирование. Ни одно изменение в рабочей среде не выпускается без автоматического набора тестов, ручной проверки и возможности немедленного отката.

В качестве базовых требований мы используем OWASP Top 10 и OWASP API Security Top 10, а для ежегодных тестов на проникновение привлекаем независимых специалистов.

Вся значимая с точки зрения безопасности активность централизованно журналируется и хранится 12 месяцев. Аномалии вызывают оповещения в реальном времени. У нас есть документированный план реагирования на инциденты с RTO 4 часа и RPO 30 минут для критически важных сервисов.

Об утечках персональных данных мы сообщаем надзорному органу в течение 72 часов согласно статье 33 GDPR, а затронутых субъектов данных уведомляем без неоправданной задержки.

Workers Stay не хранит полные данные платёжных карт. Вся работа с картами происходит у нашего сертифицированного по PCI DSS провайдера Stripe. На нас распространяется SAQ-A (самый низкий применимый уровень), и мы не обрабатываем CHD или SAD в открытом виде.

Мы привлекаем только тех субобработчиков, которые соответствуют равноценным стандартам безопасности. Полный актуальный список приведён в нашем DPA. Об изменениях мы сообщаем корпоративным клиентам не менее чем за 30 дней.

Мы приглашаем исследователей безопасности сообщать о возможных уязвимостях на security@workersstay.com. Мы подтверждаем получение в течение 48 часов, устраняем проблемы с учётом приоритета по CVSS и не предпринимаем юридических действий в отношении сообщений, сделанных в ходе добросовестного исследования.

Корпоративным клиентам, сотрудничество с которыми связано с обработкой персональных данных — формы бронирования, интеграции с CRM, списки сотрудников, проживающих у нас, — до начала работы предлагается письменный DPA. Наш стандартный DPA соответствует статье 28 GDPR и включает Стандартные договорные условия ЕС (модули 2 и 3, где применимо) для всех субобработчиков за пределами ЕЭЗ. Запросить копию действующего DPA можно по адресу privacy@workersstay.com.

Мы привлекаем ограниченное число тщательно проверенных субобработчиков. Каждый из них связан письменным договором, налагающим равноценные обязательства по защите данных. Актуальный список:

• Google LLC / Google Ireland Ltd — Google Workspace, Analytics, Ads, Maps (ЕС и США, SCC).
• Meta Platforms Ireland Ltd — Meta Pixel и CAPI (ЕС).
• Supabase Inc. — база данных приложения и аутентификация (регион ЕС, Франкфурт).
• Stripe Payments Europe Ltd — оплата картами (ЕС, PCI DSS Level 1).
• Resend, Inc. — транзакционные письма (регион ЕС).
• Cloudflare, Inc. — DNS, WAF и доставка через edge-сеть (по всему миру, SCC).
• PostHog Inc. — аналитика продукта (регион ЕС).

Мы письменно уведомляем корпоративных клиентов не менее чем за 30 дней до добавления или замены субобработчика.

В случае подтверждённого инцидента, затрагивающего данные корпоративного клиента, мы уведомляем затронутого клиента без неоправданной задержки и не позднее чем через 48 часов после подтверждения. Уведомление содержит категории затронутых данных, вероятные последствия и принятые меры по их смягчению. Параллельно мы сообщаем об утечках персональных данных надзорному органу в течение 72 часов согласно статье 33 GDPR.

Все члены команды и подрядчики связаны письменными обязательствами о конфиденциальности, которые продолжают действовать после окончания сотрудничества. Взаимные NDA доступны по запросу до начала коммерческих переговоров.

Отдел безопасности: security@workersstay.com. Защита данных: privacy@workersstay.com. Общие вопросы: contact@workersstay.com. Почтовый адрес: Real Estate Ollopa11 Ltd, 128 City Road, London EC1V 2NX, Великобритания.