Seguretat i protecció de dades

Compliment del RGPD

Quick Event ha complert amb el RGPD des del primer dia, no s'ha adaptat, sinó que s'ha desenvolupat d'acord amb el principi de privadesa des del disseny . La protecció de dades està integrada a l'arquitectura, no s'afegeix com a característica.

Concretament, això significa: Oferim un acord complet de processament de dades (DPA) que compleix tots els requisits de l'article 28 del RGPD. El DPA defineix clarament quines dades es processen, amb quina finalitat i amb quines mesures tècniques i organitzatives es protegeixen.

Tots els drets de les persones interessades estan plenament implementats: dret d'accés, dret de rectificació, dret de supressió, dret a la portabilitat de les dades i dret d'oposició. Els participants poden veure, corregir o suprimir les seves dades en qualsevol moment, directament a través de la plataforma o sol·licitant-ho a l'organitzador.

A més, Quick Event ofereix períodes de retenció configurables amb supressió automàtica. Un cop expirat el període definit, les dades personals s'eliminen automàticament i completament de tots els sistemes, sense intervenció manual.

Processament de dades de la UE

Totes les dades es processen i s'emmagatzemen exclusivament dins de la Unió Europea. No es transfereixen dades a tercers països, ni per a la base de dades, ni per a la computació perimetral ni per a còpies de seguretat.

La ubicació principal és Frankfurt del Main, Alemanya. Aquí és on s'executa la base de dades NEON, que emmagatzema totes les dades d'esdeveniments, participants i organitzacions. Les ubicacions secundàries a Amsterdam i París serveixen com a còpies de seguretat i per a l'emmagatzematge en memòria cau perimetral a través de la xarxa Cloudflare. Altres ubicacions europees, com ara Munic i Madrid, s'utilitzen per al lliurament de contingut.

Tota la infraestructura està subjecta a la legislació alemanya i de la UE sobre protecció de dades . La jurisdicció alemanya s'aplica a totes les operacions de processament de dades. Per als organitzadors d'esdeveniments, això significa la màxima seguretat jurídica sense avaluacions complicades de transferències a tercers països.

Xifratge

Quick Event utilitza xifratge multicapa que protegeix tant les dades durant la transmissió com les dades emmagatzemades.

Xifratge durant la transmissió

Totes les connexions utilitzen TLS 1.3 , l'estàndard de xifratge més recent. Això s'aplica a la comunicació entre el navegador i el servidor, entre els serveis interns i a totes les crides a l'API. No s'admeten versions de TLS més antigues i insegures.

Xifratge en repòs

Totes les dades emmagatzemades a la base de dades estan xifrades amb AES-256 , el mateix estàndard que utilitzen els bancs i les agències governamentals. Això inclou les dades dels participants, la informació de reserves , el contingut del correu electrònic i els fitxers carregats a Cloudflare R2.

Certificats SSL automàtics

Si feu servir el vostre propi domini per a les pàgines dels vostres esdeveniments, Quick Event us proporcionarà automàticament un certificat SSL: sense intervenció manual ni costos addicionals. Els certificats es renoven automàticament, garantint que els assistents sempre tinguin una connexió xifrada.

Control d'accés

El sistema de permisos de Quick Event segueix el principi del mínim privilegi : cada usuari només rep els drets que necessita per a la seva tasca. Ni més ni menys.

Sistema d'autorització basat en rols

Quick Event ofereix tres nivells de permisos. El rol d'usuari restringeix l'accés als propis esdeveniments, ideal per als membres de l'equip de projecte que només gestionen els seus propis esdeveniments. El rol d'administrador atorga accés complet a tots els esdeveniments i configuracions de l'organització, inclosa la gestió de l'equip i la facturació. A més, es poden crear rols personalitzats amb conjunts de permisos individuals per proporcionar el nivell d'accés precís necessari.

Autenticació i gestió de sessions

L'autenticació de dos factors (2FA) està disponible per als comptes d'administrador per evitar l'accés no autoritzat fins i tot amb contrasenyes compromeses. Les sessions es finalitzen automàticament després d'un període d'inactivitat configurable. Alternativament, els usuaris poden iniciar la sessió mitjançant OAuth amb el seu compte de Google, Microsoft o GitHub existent, sense haver de gestionar una contrasenya addicional.

Tots els canvis de permisos es registren en registres d'auditoria , de manera que es pugui rastrejar qui va obtenir o perdre quins drets d'accés i quan.

Certificacions de socis

Quick Event confia en socis d'infraestructura provats que compleixen fins i tot els estàndards de seguretat més alts. Cada component de la plataforma està operat per un proveïdor que ha estat auditat i certificat de manera independent.

Cloudflare

Com a plataforma per a la computació perimetral, la protecció contra DDoS i el lliurament de contingut, Cloudflare està certificada segons SOC 2 Tipus II , ISO 27001 i PCI DSS Nivell 1. El seu tallafoc d'aplicacions web (WAF) protegeix contra les 10 principals amenaces de l'OWASP i la seva xarxa global ofereix una disponibilitat del 99,99%.

Base de dades NEON

La base de dades PostgreSQL s'executa a NEON, certificada segons la norma ISO 27001 i SOC 2. La ubicació de la UE a Frankfurt garanteix que les consultes i l'emmagatzematge de la base de dades es realitzen completament d'acord amb la legislació de la UE.

Ratlla

Per al processament de pagaments, Quick Event utilitza Stripe, certificat segons el nivell 1 de PCI DSS , l'estàndard de seguretat més alt de la indústria de les targetes de pagament. Les dades de les targetes de crèdit no s'emmagatzemen mai als servidors de Quick Event, sinó que les processa exclusivament Stripe.

SendGrid

Els correus electrònics s'envien a través de SendGrid, que té la certificació SOC 2 i compleix completament amb el RGPD. Tots els servidors de correu electrònic es troben a la UE i el xifratge del transport mitjançant TLS és estàndard per a tots els missatges sortints.

Resposta a incidents

Si es produeix un incident de seguretat malgrat totes les mesures de protecció, s'activarà un pla de resposta a incidents definit amb responsabilitats i terminis clars.

La detecció automatitzada d'amenaces de Cloudflare AI identifica anomalies en temps real. En cas de confirmació d'un incident, el sistema afectat s'aïlla immediatament per evitar una major propagació. Simultàniament, s'envien alertes en temps real a l'equip de seguretat.

La comunicació segueix terminis fixos: els clients afectats són informats en un termini de 24 hores . En cas de violació de dades tal com es defineix al RGPD, les autoritats són notificades en un termini de 72 hores , tal com exigeix la llei. La transparència és una prioritat màxima: les parts afectades reben informació completa sobre l'incident, les mesures preses i els passos per prevenir futurs incidents.

Períodes de supressió i retenció de dades

Quick Event dóna als organitzadors d'esdeveniments un control total sobre quant de temps s'emmagatzemen les dades personals. Els períodes de retenció són configurables per esdeveniment i s'apliquen automàticament.

Per defecte , les dades de l'esdeveniment es conserven durant dos anys després de l'esdeveniment; aquest període es pot escurçar o ampliar segons calgui. Les dades dels participants es poden suprimir després de l'esdeveniment o després d'un període definit per l'usuari. Els registres d'auditoria es conserven durant set anys per complir amb els requisits legals.

L'eliminació es produeix automàticament després que expiri el període de retenció, sense intervenció manual. L'eliminació manual també és possible en qualsevol moment a petició , per exemple, si un participant invoca el seu dret a l'oblit. En aquest cas, les dades s'eliminen completament i irrevocablement de tots els sistemes i còpies de seguretat.