Biztonsági szabályzat

Hatálybalépés napja: 2025. január 15.

A JobStep kiemelten fontosnak tartja ügyfelei adatainak védelmét. Ez a Biztonsági szabályzat ismerteti a JobStep teljes platformján alkalmazott szervezési és technikai intézkedéseket, amelyek célja az ügyféladatokhoz való jogosulatlan hozzáférés, valamint azok jogosulatlan felhasználásának, módosításának vagy nyilvánosságra hozatalának megakadályozása.

Áttekintés

A JobStep szolgáltatásai az Amazon Web Services (AWS), a Cloudflare R2, a Railway és a Vercel infrastruktúráján működnek. A JobStep megismerése mellett javasoljuk, hogy olvassa el Felhasználási feltételeinket és Adatvédelmi szabályzatunkat is.

Biztonsági csapat

Csapatunkban olyan szakemberek dolgoznak, akik vezető szerepet töltöttek be magas biztonsági szintű, nyilvános internetes rendszerek tervezésében, kiépítésében és üzemeltetésében induló vállalkozásoknál és nagy tőzsdei cégeknél, köztük a Teslánál, az AWS-nél és a BMW-nél.

Bevált gyakorlatok

Incidenskezelési terv

• Hivatalos eljárást vezettünk be a biztonsági események kezelésére, és valamennyi munkatársunkat felkészítettük szabályzataink alkalmazására.
• A biztonsági események észlelésekor azokat haladéktalanul magasabb szintre emeljük, csapatunkat értesítjük és összehívjuk a gyors intézkedés érdekében.
• A biztonsági esemény elhárítása után részletes utólagos elemzést készítünk.
• Az elemzést személyesen áttekintjük, a vállalaton belül megosztjuk, és olyan intézkedési pontokat határozunk meg, amelyek megkönnyítik a hasonló események jövőbeli felismerését és megelőzését.

A kiadási folyamat automatizálása

• Jól működő, rendszeresen használt automatizálási folyamataink lehetővé teszik, hogy alkalmazásunk és üzemeltetési platformunk módosításait perceken belül biztonságosan és megbízhatóan kiadjuk.
• Általában naponta többször adunk ki új kódot, ezért szükség esetén gyorsan közzé tudunk tenni egy biztonsági javítást.

Hitelesítés

• A GitHub, az AWS, a Cloudflare és a Vercel szolgáltatásaiban kétfaktoros hitelesítést (2FA) és szigorú jelszószabályokat alkalmazunk a felhőszolgáltatásokhoz való hozzáférés védelme érdekében.
• A felhasználói hitelesítést a Firebase Authentication kezeli e-mail-címes/jelszavas bejelentkezéssel, valamint OAuth-szolgáltatók (Google, Apple) támogatásával.

Infrastruktúra

• Minden szolgáltatásunk a felhőben működik. A JobStep nem üzemeltet saját útválasztókat, terheléselosztókat, DNS-szervereket vagy fizikai szervereket.
• Szolgáltatásaink és adataink egy részét a Railway infrastruktúráján tároljuk, a Railway biztonsági intézkedéseinek védelmében.
• Egyes szolgáltatásainkat a Vercel üzemelteti és védi.
• Objektumtárolásra vállalati szintű biztonságot nyújtó Cloudflare R2-t használunk.

Alkalmazásfelügyelet

• Az alkalmazás felügyeletéhez a Sentryt használjuk, hogy gyorsan felismerjük és elhárítsuk az incidenseket.
• A JobStep alkalmazásaihoz való minden hozzáférést naplózunk.
• Az éles környezet konzoljain és a JobStep alkalmazásban végzett műveleteket naplózzuk.

Adatok

• A JobStep adatait elsősorban a Railway és az AWS európai infrastruktúráján tároljuk.
• Az ügyféladatokat szigorú hozzáférés-szabályozással védett PostgreSQL-adatbázisokban tároljuk.
• Az ügyfelek dokumentumait és médiafájljait a Cloudflare R2-ben, nyugalmi állapotban titkosítva tároljuk.
• Az ügyféladatok kezelésére szolgáló valamennyi JobStep-rendszert az iparágban elismert rendszermegerősítési szabványok szerint, üzletileg észszerű módszerekkel konfiguráljuk és frissítjük.
• A JobStep egyes adatfeldolgozókat (AWS, Railway, Cloudflare, Vercel, OpenAI) vesz igénybe az ügyféladatok kezeléséhez.

Adatátvitel

• A JobStep teljes egészében HTTPS-en keresztül érhető el.
• A JobStep felé és a JobSteptől továbbított valamennyi adatot TLS 1.3 protokollal, 256 bites titkosítással védjük az átvitel során.
• API- és alkalmazásvégpontjaink kizárólag TLS/SSL-kapcsolaton érhetők el.
• Minden érzékeny adatot az iparági szabványnak megfelelő AES-256 titkosítási algoritmussal védünk.

Fizetések feldolgozása

A JobStep szolgáltatásainak megvásárlásához használt fizetési eszközök feldolgozását a PCI DSS Level 1 tanúsítvánnyal rendelkező Stripe végzi. A JobStep közvetlenül nem tárol és nem kezel bankkártyaadatokat.

Feldolgozás AI-modellekkel

MI-alapú funkcióinkhoz az OpenAI GPT-modelljeit és az Anthropic Claude-modelljeit használjuk. Az e szolgáltatásoknak továbbított ügyféladatokat:

• Titkosított kapcsolaton továbbítjuk
• Nem használják AI-modellek betanítására (az AI-szolgáltatókkal kötött megállapodásaink alapján)
• E szolgáltatók adatvédelmi és biztonsági szabályzatai szerint kezelik
• A GDPR-ral és más adatvédelmi előírásokkal összhangban kezelik

Az ügyfél kötelezettségei

• Saját felhasználói fiókjának és JobStep-szervezeteinek kezelése.
• Saját fiókjának és bejelentkezési adatainak védelme azzal, hogy a JobStep szolgáltatásainak használatakor gondoskodik e-mail-fiókja biztonságáról.
• A JobSteppel kötött szolgáltatási szerződés feltételeinek betartása, beleértve a jogszabályi megfelelésre vonatkozó rendelkezéseket is.
• A JobStep haladéktalan értesítése, ha valamely bejelentkezési adat illetéktelen kézbe került, vagy olyan gyanús tevékenységet észlel, amely hátrányosan érintheti a JobStep szolgáltatásainak vagy saját fiókjának biztonságát.
• A JobStep kifejezett, előzetes írásbeli hozzájárulása nélkül nem végezhet behatolási tesztet vagy más biztonsági felmérést.

Megfelelőség

A JobStep elkötelezett a vonatkozó biztonsági és adatvédelmi szabványoknak való megfelelés fenntartása mellett:

• A GDPR-nak (általános adatvédelmi rendeletnek) megfelelő működés
• Felkészülés a SOC 2 Type II tanúsítás megszerzésére
• A svájci adatvédelmi előírásoknak megfelelő működés

Biztonsági frissítések

Biztonsági intézkedéseinket folyamatosan figyelemmel kísérjük és frissítjük. Biztonsági gyakorlatainkkal kapcsolatos legfrissebb információkért írjon a security@jobstep.io címre.

Kapcsolattartási adatok

Biztonsági kérdéssel vagy biztonsági rés bejelentésével az alábbi elérhetőségen fordulhat hozzánk:

JobStep
c/o M. Brenner
Weinbergstrasse 45
8006 Zurich
Svájc
E-mail: help@jobstep.io