Seguridad

Resumen

DealCraft está diseñado para recoger tan pocos datos personales como necesite una promoción. Los resultados se deciden en el servidor, los límites de jugadas nunca leen una dirección de red sin procesar y los datos de cada negocio se mantienen separados de los de todos los demás negocios.

Alojamiento

El servicio funciona en Oracle Cloud, en la región de Abu Dabi de los Emiratos Árabes Unidos. La base de datos funciona en el mismo servidor y no es accesible desde internet. El tráfico pasa primero por Cloudflare, que absorbe los ataques de denegación de servicio y filtra las solicitudes maliciosas, y después llega a la aplicación solo a través de un servidor web que lleva cada conexión a HTTPS cifrado.

Cómo se protegen los datos

Los datos en tránsito se cifran con TLS. Las contraseñas se almacenan como hashes scrypt con sal; las claves secretas de API se almacenan como hashes SHA-256 y se muestran una sola vez, al crearse; los secretos de firma de los webhooks se cifran con AES-256-GCM.

La dirección IP de una jugada se almacena con la jugada y se muestra solo al negocio que ejecuta el juego. Todos los límites se basan, en cambio, en la dirección abreviada a su bloque de red y firmada con una clave secreta, que no puede volver a convertirse en una dirección. Toda consulta a la base de datos sobre los datos de un negocio debe indicar ese negocio, y la capa de datos rechaza las consultas que no lo hacen.

Acceso

Solo el operador tiene acceso a los servidores de producción y a la base de datos. El personal de un negocio marca los premios como usados a través de una pantalla aparte protegida con PIN que no puede ver nada más, y los dispositivos se pueden revocar en cualquier momento.

Juegos justos y a prueba de manipulaciones

El resultado de cada jugada se decide y se registra en el servidor antes de que el juego lo muestre. Cada jugada usa un token de un solo uso, y los límites de presupuesto y de ganadores se comprueban en la misma operación de base de datos que registra un premio, de modo que no pueden superarse ni siquiera con mucho tráfico.

Copias de seguridad

Se hace una copia de seguridad de la base de datos cada día. Las copias se conservan cinco días en el servidor y 30 días en un bucket privado de Oracle Cloud Object Storage en la misma región, que Oracle cifra en reposo.

Si algo sale mal

Si una violación de la seguridad de los datos personales afecta a los datos de un negocio, se lo notificamos a ese negocio sin dilación indebida y en un plazo de 48 horas desde que tengamos conocimiento de ella, como exige el Acuerdo de tratamiento de datos, y lo notificamos a las autoridades cuando la ley lo exige.

Notificar una vulnerabilidad

Si encuentra un problema de seguridad, escriba a [email protected] con los detalles. Concédanos un plazo razonable para corregirlo antes de hacerlo público y no acceda a los datos de otras personas durante las pruebas. No emprenderemos acciones contra una investigación de buena fe que siga estas reglas.

Seguro

DealCraft no tiene actualmente un seguro de responsabilidad civil por riesgos cibernéticos. Si eso cambia, esta página lo indicará y nombrará a la aseguradora y la cobertura.

Lo que aún no tenemos

DealCraft no tiene una certificación SOC 2 ni ISO 27001 y funciona en una sola región. En su lugar, describimos nuestras medidas abiertamente y respondemos a cuestionarios de seguridad cuando se nos solicitan.