Polityka bezpieczeństwa

Polityka bezpieczeństwa

Nasze zobowiązanie w zakresie bezpieczeństwa: po pierwsze nie szkodzić

Lekarze kierują się starą zasadą: primum non nocere, po pierwsze nie szkodzić. Tę samą zasadę stosujemy do naszych modułów.

Instalując moduł PrestaShop, dają Państwo jego kodowi takie same uprawnienia w sklepie jak własnym pracownikom. Kod działa na stronach sklepu, odczytuje i zmienia bazę danych oraz obsługuje zamówienia i dane Państwa klientów. Tworzymy moduły PrestaShop od 2013 roku i nigdy nie zapominamy, jak wielkim zaufaniem nas Państwo obdarzają. Naszym pierwszym obowiązkiem jest nie zakłócać działania Państwa sklepu. Drugim jest go ulepszać.

Co w praktyce oznacza „nie szkodzić”

• Testy przed udostępnieniem: Przed publikacją instalujemy każde wydanie w sklepie z czystą instalacją PrestaShop.
• Bezpieczne aktualizacje: Module Updates & Remote Assist weryfikuje każdy pobrany plik przed instalacją, najpierw tworzy kopię zapasową bieżącej wersji i automatycznie cofa przerwaną instalację lub aktualizację.
• Brak backdoorów: Żadnych backdoorów, zaciemnionego kodu, ukrytego zbierania danych ani połączeń wychodzących bez udokumentowanego celu (sekcja 1).

Prywatność Państwa i Państwa klientów

• Dane osobowe Państwa klientów pozostają w sklepie: Nasze moduły nie przesyłają nam imion i nazwisk, adresów, zamówień ani danych płatniczych (sekcja 2).
• Sklep opuszczają tylko wtedy, gdy Państwo o tym zdecydują: Dane osobowe są przekazywane wyłącznie usługodawcom, z którymi sami Państwo połączą sklep, takim jak przewoźnik lub operator płatności (sekcja 8).
• Gdy proszą Państwo o pomoc: Korzystamy wyłącznie z tego, co jest potrzebne do obsługi zgłoszenia. Dostęp do sklepu, logi i dane logowania są obsługiwane przez człowieka lub na należących do nas komputerach, nigdy przez AI w chmurze (zob. Jak korzystamy z AI).
• Państwa dane: Jakie dane o Państwu jako naszych klientach przechowujemy i dlaczego, wyjaśnia nasza Polityka prywatności.

To Państwo decydują, kto ma dostęp

Każde przyznanie dostępu na potrzeby wsparcia zatwierdzają Państwo we własnym Back Office, wybierają zakres naszych uprawnień i mogą w dowolnym momencie zakończyć dostęp. Nigdy nie muszą Państwo przekazywać nam hasła (sekcja 4).

Usuwamy luki w modułach płatnych i darmowych

Jeśli w którymkolwiek z naszych modułów, płatnym lub darmowym, zostanie wykryta luka bezpieczeństwa, staramy się ją usunąć i ostrzec zagrożone sklepy. Prosimy ją zgłosić na adres security@mypresta.rocks (sekcja 7).

Tworzymy też narzędzia do ochrony sklepu

• Security Revolution: zapora sieciowa, ograniczanie częstotliwości żądań, wgląd w sesje i logowanie dwuskładnikowe do Back Office, dla PrestaShop w wersjach od 1.6 do 9.
• Skan Bezpieczeństwa: sprawdza sklep, moduły i serwer, a następnie wskazuje każdy słaby punkt wraz z oceną punktową i dokładną instrukcją jego usunięcia.

Jeśli kiedykolwiek nie dotrzymamy tych zobowiązań, prosimy o wiadomość na adres security@mypresta.rocks. Każde zgłoszenie traktujemy jako pilne.

1. Standardy bezpieczeństwa modułów

Wszystkie moduły przestrzegają następujących praktyk:

• Walidacja danych wejściowych: Wszystkie dane od użytkowników są walidowane i oczyszczane w celu zapobiegania SQL injection, XSS i innym typowym wektorom ataku.
• Framework bezpieczeństwa PrestaShop: Korzystamy z wbudowanych funkcji bezpieczeństwa PrestaShop -- pSQL(), metod klasy Validate, weryfikacji tokenów CSRF i prawidłowego escapowania.
• Brak zewnętrznych wywołań bez celu: Moduły nie wykonują nieautoryzowanych zewnętrznych żadań HTTP. Wszelkie połączenia wychodzące (raporty instalacji darmowych modułów, weryfikacja licencji, sprawdzanie aktualizacji) są udokumentowane i służą konkretnemu celowi.
• Brak backdoorów: Żadnych ukrytych punktów dostępu, żadnego zaciemnionego kodu, żadnego niejawnego zbierania danych.
• Minimalne uprawnienia: Moduły zadają tylko tabel bazy danych, hooków i uprawnień potrzebnych do działania.
• Aktywne utrzymanie: Staramy się wydać poprawkę dla każdego potwierdzonego problemu bezpieczeństwa w naszych modułach, płatnych lub darmowych.

2. Dane, których nasze moduły nam nie przesyłają

Nasze moduły nie przesyłają nam danych osobowych Państwa klientów. Opcjonalna diagnostyka przesyła wyłącznie dane techniczne. Nasze moduły nie przekazują nam żadnych z następujących danych klientów sklepu:

• Danych osobowych klientów (imion, e-maili, numerów telefonów, adresów)
• Informacji o płatnościach (numerów kart kredytowych, danych bankowych, rekordów transakcji)
• Haseł klientów ani danych uwierzytelniających
• Zawartości zamówień ani historii zakupów poszczególnych klientów
• Jakichkolwiek danych klasyfikowanych jako dane osobowe na mocy RODO, CCPA lub równoważnych przepisów

3. Dane, które MOŻEMY przetwarzać

Gdy proszą Państwo o wsparcie, przetwarzamy udostępnione dane, takie jak dane logowania, logi i zrzuty ekranu, wyłącznie w celu obsługi tego zgłoszenia i za Państwa zgodą. Możemy również uzyskać dostęp do odpowiednich danych technicznych konfiguracji, w tym:

• Wersja PrestaShop i wersja PHP
• Lista modułów i numery wersji
• Nazwa i konfiguracja motywu
• Szczegóły środowiska serwerowego (typ serwera web, wersja MySQL, limity pamięci)
• Ustawienia sklepu istotne dla funkcjonalności modułu (konfiguracja multi-store, waluta, ustawienia językowe)
• Wartości konfiguracyjne specyficzne dla modułu
• Dzienniki błędów i output debugowania związany z działaniem modułu
• Struktura tabel bazy danych naszych modułów -- nie dane z tabel klientów/zamówień

Te informacje są wykorzystywane do diagnozowania problemów, świadczenia wsparcia i zapewnienia kompatybilności. Nie są udostępniane stronom trzecim, nie są wykorzystywane do marketingu i nie są przechowywane dłużej niż wymaga tego rozwiązanie zgłoszenia.

4. Zdalny dostęp i sesje wsparcia

Najbezpieczniej jest przyznać nam dostęp przez Module Updates & Remote Assist: każde przyznanie dostępu zatwierdzają Państwo we własnym Back Office, wybierają poziom „Tylko podgląd”, „Poprawianie ustawień” lub „Pełna kontrola” i mogą w dowolnym momencie zakończyć dostęp. Dostęp wygasa, jeśli go Państwo nie przedłużą. Logujemy się przez jednorazowy podpisany link, więc nigdy nie muszą Państwo przekazywać nam hasła, a każde działanie widać na liście aktywności.

Jeśli zamiast tego przekazują nam Państwo dane logowania, na przykład dlatego, że Back Office jest niedostępny:

• Dostęp jest wykorzystywany wyłącznie w zadeklarowanym celu wsparcia
• Zalecamy utworzenie dedykowanego tymczasowego konta pracownika z ograniczonymi uprawnieniami
• Zalecamy cofnięcie dostępu (usunięcie konta lub zmianę danych) po zakończeniu sesji
• Nie przechowujemy Państwa danych dostępowych po sesji
• Nie będziemy uzyskiwać dostępu do obszarów sklepu niezwiązanych ze zgłoszeniem
• O wszystkich zmianach wprowadzonych podczas sesji poinformujemy Państwa

5. Środowiska demo i testowe

W przypadku naszych sklepów demo na żądanie (mypresta.rocks/demos):

• Środowiska demo są izolowane i tymczasowe
• W sklepach demo nie ma prawdziwych danych klientów
• Sklepy demo mogą być monitorowane w celu zapobiegania nadużyciom
• Dane wprowadzone do sklepów demo nie są archiwizowane i mogą zostać usunięte w dowolnym momencie
• Zobacz Warunki sklepów demo po szczegóły

6. Weryfikacja licencji

Raporty instalacji darmowych modułów, rozpoczęcie próby, aktywacja i weryfikacja licencji wysyłają na nasz serwer niezbędne dane techniczne, w tym:

• Skonfigurowana domena oraz identyfikatory sklepu i instalacji
• Identyfikatory modułu i wydania, wersje oraz skróty integralności; wersje PrestaShop i PHP
• Tylko przy aktywacji lub weryfikacji: identyfikatory aktywacji lub weryfikacji i dowody uwierzytelnienia; klucz służy do aktywacji kluczem, nie jest wysyłany przy każdej kontroli w tle

Darmowe moduły zgłaszają instalację bez blokowania ani ograniczania modułu. Dane służą raportom instalacji oraz kontroli próby, licencji, integralności wydań i aktualizacji, a nie zbieraniu danych osobowych klientów sklepu. Pełne zasady opisano w artykule Licencjonowanie i wsparcie.

7. Zgłaszanie podatności

Jeśli odkryją Państwo podatność bezpieczeństwa w którymkolwiek z naszych modułów, prosimy ją zgłosić na adres security@mypresta.rocks. My:

• Postaramy się potwierdzić otrzymanie w ciągu 24 godzin
• Zbadamy i ocenimy powagę
• Postaramy się opracować i wydać poprawkę dla każdego potwierdzonego problemu bezpieczeństwa w naszych modułach, płatnych lub darmowych
• Powiadomimy dotkniętych klientów, jeśli podatność stanowi istotne ryzyko

Doceniamy odpowiedzialne ujawnianie i prosimy o niepublikowanie szczegółów podatności do czasu udostępnienia poprawki.

8. Usługi stron trzecich

Nasze moduły nie integrują się z usługami analitycznymi, śledzącymi ani reklamowymi stron trzecich, chyba że jest to wskazane w opisie modułu. Gdy moduł integruje się z usługą zewnętrzną (API przewoźnika, bramka płatności), jest to udokumentowane i wymaga Państwa wyraźnej konfiguracji.

9. Obowiązki po Państwa stronie

• Utrzymywanie instalacji PrestaShop i wszystkich modułów w najnowszych wersjach
• Silne hasła do wszystkich kont Back Office
• Regularne kopie zapasowe
• Konfiguracja ustawień modułów odpowiednio do Państwa środowiska
• Zdecydowanie zalecamy testowanie modułów na kopii testowej sklepu przed użyciem ich w sklepie produkcyjnym
• Cofanie tymczasowego dostępu przyznanego na potrzeby wsparcia

10. Kontakt

Pytania dotyczące bezpieczeństwa: security@mypresta.rocks.