Безпека та комплаєнс

Платформа працює на хмарній інфраструктурі в ЄС, дані зберігаються переважно у Франкфурті (Німеччина). Бази даних розміщено в приватних мережах, доступ здійснюється за допомогою короткострокових токенів, а весь зовнішній трафік шифрується за TLS 1.2+ з HSTS.

Ми використовуємо резервоване сховище з автоматичним резервним копіюванням кожні шість годин і щоденними знімками для відновлення на момент часу, які зберігаються 30 днів.

• Дані під час зберігання: AES-256 у базі даних, хешовані паролі (bcrypt/argon2id) і шифрування на рівні полів для конфіденційних даних.
• Дані під час передавання: TLS 1.2 або вище зі стійкими наборами шифрів, HSTS preload, автоматичне оновлення сертифікатів.
• Ключі: керуються в KMS, ротуються щокварталу, кожен доступ проходить аудит.

Ми застосовуємо принцип мінімальних привілеїв і рольове керування доступом (RBAC) через окрему таблицю `user_roles`, яку перевіряє серверний захист на рівні рядків (row-level security). Для облікових записів адміністраторів обов’язкова двофакторна автентифікація, а кожен доступ записується до незмінного журналу.

Доступ працівників, які звільняються, відкликається протягом 4 годин. Сторонні постачальники отримують доступ до систем лише через виділені облікові записи, доступні для аудиту.

Увесь код проходить перевірку перед розгортанням. Ми використовуємо автоматичне сканування залежностей (SCA), статичний аналіз (SAST), пошук секретів у коді та динамічне тестування. Жодна зміна в робочому середовищі не виходить без автоматичного набору тестів, ручної перевірки та можливості негайного відкату.

Як базові вимоги ми використовуємо OWASP Top 10 і OWASP API Security Top 10, а для щорічних тестів на проникнення залучаємо незалежних фахівців.

Уся значуща з погляду безпеки активність централізовано журналюється й зберігається 12 місяців. Аномалії викликають сповіщення в реальному часі. Ми маємо задокументований план реагування на інциденти з RTO 4 години та RPO 30 хвилин для критично важливих сервісів.

Про витоки персональних даних ми повідомляємо наглядовий орган протягом 72 годин відповідно до статті 33 GDPR, а зачеплених суб’єктів даних сповіщаємо без невиправданої затримки.

Workers Stay не зберігає повних даних платіжних карток. Уся робота з картками відбувається в нашого сертифікованого за PCI DSS провайдера Stripe. На нас поширюється SAQ-A (найнижчий застосовний рівень), і ми не обробляємо CHD або SAD у відкритому вигляді.

Ми залучаємо лише тих субобробників, які відповідають рівноцінним стандартам безпеки. Повний актуальний список наведено в нашому DPA. Про зміни ми повідомляємо корпоративних клієнтів щонайменше за 30 днів.

Ми запрошуємо дослідників безпеки повідомляти про можливі вразливості на security@workersstay.com. Ми підтверджуємо отримання протягом 48 годин, усуваємо проблеми з урахуванням пріоритету за CVSS і не вживаємо юридичних заходів щодо повідомлень, зроблених під час добросовісного дослідження.

Корпоративним клієнтам, співпраця з якими пов’язана з обробкою персональних даних — форми бронювання, інтеграції з CRM, списки працівників, які проживають у нас, — до початку роботи пропонується письмовий DPA. Наш стандартний DPA відповідає статті 28 GDPR і містить Стандартні договірні умови ЄС (модулі 2 і 3, де застосовно) для всіх субобробників за межами ЄЕЗ. Запросити копію чинного DPA можна за адресою privacy@workersstay.com.

Ми залучаємо обмежену кількість ретельно перевірених субобробників. Кожен із них пов’язаний письмовим договором, що покладає рівноцінні зобов’язання щодо захисту даних. Актуальний список:

• Google LLC / Google Ireland Ltd — Google Workspace, Analytics, Ads, Maps (ЄС і США, SCC).
• Meta Platforms Ireland Ltd — Meta Pixel і CAPI (ЄС).
• Supabase Inc. — база даних застосунку та автентифікація (регіон ЄС, Франкфурт).
• Stripe Payments Europe Ltd — оплата картками (ЄС, PCI DSS Level 1).
• Resend, Inc. — транзакційні листи (регіон ЄС).
• Cloudflare, Inc. — DNS, WAF і доставка через edge-мережу (по всьому світу, SCC).
• PostHog Inc. — аналітика продукту (регіон ЄС).

Ми письмово сповіщаємо корпоративних клієнтів щонайменше за 30 днів до додавання або заміни субобробника.

У разі підтвердженого інциденту, що зачіпає дані корпоративного клієнта, ми сповіщаємо зачепленого клієнта без невиправданої затримки й не пізніше ніж через 48 годин після підтвердження. Сповіщення містить категорії зачеплених даних, імовірні наслідки та вжиті заходи для їх пом’якшення. Паралельно ми повідомляємо про витоки персональних даних наглядовий орган протягом 72 годин відповідно до статті 33 GDPR.

Усі члени команди та підрядники пов’язані письмовими зобов’язаннями щодо конфіденційності, які діють і після завершення співпраці. Взаємні NDA доступні на запит до початку комерційних переговорів.

Відділ безпеки: security@workersstay.com. Захист даних: privacy@workersstay.com. Загальні питання: contact@workersstay.com. Поштова адреса: Real Estate Ollopa11 Ltd, 128 City Road, London EC1V 2NX, Велика Британія.