Chính sách bảo mật

Đây là Chính sách Bảo mật Đối tác của Estimojo. Ứng dụng được xây dựng trên Atlassian Forge: chạy hoàn toàn bên trong site Atlassian Cloud của bạn, không yêu cầu quyền gửi dữ liệu ra ngoài, và Bomdisoft không vận hành máy chủ nào nhận hay lưu dữ liệu của bạn. Trang này mô tả cách chúng tôi bảo vệ ứng dụng và quy trình xây dựng, phát hành nó.

Kiến trúc và lưu trữ

Toàn bộ mã của Estimojo chạy trong môi trường Forge của Atlassian, bên trong site Jira của bạn. Dữ liệu nằm trong Forge Key-Value Storage trên hạ tầng Atlassian, được Atlassian mã hóa khi truyền và khi lưu. Bomdisoft không vận hành máy chủ, cơ sở dữ liệu hay dịch vụ bên thứ ba nào chạm vào dữ liệu khách hàng; website này là trang tiếp thị riêng biệt và không giữ dữ liệu nào.

Chi tiết theo nền tảng

Estimojo lưu dữ liệu theo cách khác nhau trên từng nền tảng mà nó chạy. Mọi nền tảng được Estimojo hỗ trợ đều được liệt kê ở đây, bất kể bạn dùng nền tảng nào.

Bảo mật dữ liệu và cách ly theo khách thuê

Bộ lưu trữ Forge được giới hạn theo từng bản cài đặt, nên mỗi site khách hàng được chính nền tảng cách ly. Bomdisoft không có cơ chế nào để đọc dữ liệu site của bạn: không cửa hậu quản trị, không đo từ xa, không bản sao bên ngoài Atlassian. Những gì được lưu và cách xóa được ghi trong chính sách quyền riêng tư.

Chính sách quyền riêng tư →

Kiểm soát truy cập

Việc triển khai và quản trị ứng dụng qua bảng điều khiển nhà phát triển Atlassian và pipeline CI của chúng tôi chỉ giới hạn cho các kỹ sư Bomdisoft được chỉ định, với xác thực đa yếu tố trên tài khoản của họ. Bản phát hành chỉ đến môi trường sản xuất qua pipeline đó; không ai ở Bomdisoft giữ quyền truy cập thường trực vào site khách hàng hay dữ liệu của họ.

Phát triển an toàn

Mọi thay đổi đều được quản lý phiên bản và phải vượt qua kiểm tra kiểu tự động, phân tích tĩnh và toàn bộ bộ kiểm thử trong CI trước khi phát hành. Phụ thuộc được ghim bằng lockfile. Bản phát hành đi qua các môi trường phát triển và staging riêng biệt trước khi vào sản xuất.

Quản lý lỗ hổng

Phụ thuộc được quét liên tục: Snyk phân tích các thay đổi hướng đến phát hành, Dependabot đề xuất cập nhật theo chu kỳ hằng tháng, và chúng tôi theo dõi các khuyến cáo bảo mật. Mỗi nền tảng lưu trữ tự vá môi trường chạy của mình. Khi xác nhận một lỗ hổng, chúng tôi nhắm tới:

• Mức nghiêm trọng: sửa hoặc giảm thiểu trong vòng 7 ngày.
• Mức cao: sửa trong vòng 30 ngày.
• Mức trung bình và thấp: sửa trong vòng 90 ngày hoặc ở bản phát hành theo lịch kế tiếp.

Sự cố bảo mật

Nếu biết về một sự cố bảo mật, chúng tôi phân loại và khoanh vùng, điều tra nguyên nhân gốc, và kết thúc bằng đánh giá sau sự cố. Khách hàng có dữ liệu bị ảnh hưởng được thông báo không chậm trễ vô lý, muộn nhất 72 giờ sau khi chúng tôi xác nhận sự cố, kèm theo chuyện gì đã xảy ra và chúng tôi đang làm gì. Sự cố ở cấp nền tảng được xử lý phối hợp với Atlassian.

Báo cáo lỗ hổng

Tìm thấy điều gì đó? Gửi email đến support@bomdisoft.com với "Security" trong tiêu đề và chúng tôi sẽ xác nhận trong hai ngày làm việc. Chúng tôi hoan nghênh nghiên cứu thiện chí và sẽ không truy cứu các nhà nghiên cứu báo cáo có trách nhiệm; vui lòng tránh truy cập dữ liệu không phải của bạn và cho chúng tôi thời gian hợp lý để khắc phục trước khi công bố.

Trách nhiệm chia sẻ

Atlassian bảo vệ nền tảng Forge: hạ tầng, sandbox môi trường chạy, lưu trữ và mã hóa, theo các chương trình bảo mật của riêng họ. Bomdisoft bảo vệ những gì chúng tôi kiểm soát: mã của ứng dụng, quyền của nó, và quy trình xây dựng, phát hành nó. Thiết kế không-gửi-ra-ngoài gắn kết cả hai để dữ liệu của bạn không bao giờ rời khỏi site của bạn.

Liên hệ

Có câu hỏi về chính sách này? Gửi email đến support@bomdisoft.com.