<img height="1" width="1" style="display:none" src="https://q.quora.com/_/ad/4f3715cc84e84ae691b8fbf0a0529271/pixel?tag=ViewContent&amp;noscript=1">
Siirry sisältöön
Suomi
Login
  • Ehdotuksia ei ole, koska hakukenttä on tyhjä.

Tietoturva- ja tietosuojadokumentti

Puhelin: +358 40 7683813

Sähköposti: maria.sundstrom@liid.com

https://liid.com

1. Johdanto

Salestrail on mobiilipohjainen ratkaisu ja puheluanalytiikan dashboard, joka on suunniteltu mobiilipuheluiden sekä WhatsApp- ja WhatsApp Business -puheluiden seurantaan ja tallennukseen. Tässä dokumentissa kuvataan Salestrailin tietoturvatoimenpiteet, tietojen käsittelykäytännöt sekä yleinen lähestymistapa asiakastietojen yksityisyyden ja luottamuksellisuuden ylläpitämiseen.

2. Sovelluksen ja palvelun yleiskuvaus
  • Sovelluksen nimi: Salestrail
  • Komponentit:
    • Salestrail App (iOS ja Android)
    • Salestrail Recorder APK (Android-laitteille, joissa ei ole natiivia puheluiden tallennusta)
    • Call Analytics Dashboard (verkkosovellus)
  • Toiminnallisuus:
    • Seuraa ja tallentaa mobiilipuheluita sekä WhatsApp- ja WhatsApp Business -puheluita.
    • Näyttää puheluanalytiikan Salestrail-dashboardissa.
    • Integroituu CRM-järjestelmään valmiiden integraatioiden tai API:n kautta.

3. Arkkitehtuuri ja teknologiapino

  • Frontend (mobiili)
    • React Native (JavaScript) alustariippumattomaan kehitykseen
    • Java Android-kohtaiseen koodiin
    • Swift iOS-kohtaiseen koodiin
  • Backend
    • Isännöidään Microsoft Azuressa ja orkestroidaan Kubernetesilla
    • Rakennettu Springillä (Java/Kotlin)
    • Tiedot tallennetaan MySQL-tietokantaan
  • Pilviympäristö
    • Microsoft Azure (North Europe -alue, fyysisesti Irlannissa)
4. Käyttöönotto ja hosting
  • Käyttöönottomalli:
    • Mobile App toimii käyttäjän puhelimessa.
    • Backend-palvelut toimivat Microsoft Azure Kubernetes Services -ympäristössä.
  • On-Premise-saatavuus:
    • Ratkaisua ei tarjota paikallisesti asennettavana tai hybridikäyttöönottona, vaan se on täysin pilvipohjainen.

5. Tietovirrat ja tallennus

  1. Tietovirran kuvaus
    • Käyttäjän Mobile Device (App)
    • Salattu tiedonsiirto (HTTPS) Spring Boot backend -järjestelmään Azure Kubernetesissa
    • Tiedot tallennetaan turvallisesti MySQL-tietokantaan
    • Jos CRM-integraatio on käytössä, tiedot lähetetään HTTPS-yhteydellä CRM-järjestelmään tai API-endpointiin
  2. Tallennetut tiedot
    • Microsoft Azuressa olevat MySQL-tietokannat ja varmuuskopiot on salattu levossa.
    • Puhelutallenteet tallennetaan Azure Blob Storageen, jossa ne on myös salattu levossa.
    • API-tokenit (JWT) allekirjoitetaan ja varmennetaan turvallisen avaimen avulla.
  3. Siirrettävät tiedot
    • Kaikki yhteydet käyttävät HTTPS/SSL-salausta tiedonsiirron suojaamiseen.

6. Tietojen luokittelu ja vaadittavat asiakastiedot

  • Kerättävät asiakastiedot:
    • Nimi, yritys, tehtävänimike, sähköpostiosoite, puhelinnumero, osoite ja muut yhteystiedot
    • Puhelutiedot (mobiilipuhelut, WhatsApp-puhelut)
  • Tietojen luokittelukäytäntö:

7. Yksityisyys ja sääntelyn noudattaminen

  1. Yleinen vaatimustenmukaisuus
    • Pyrimme toimimaan alan standardien mukaisesti.
    • Emme ole yrityksemme koon vuoksi hakeneet virallisia sertifiointeja, mutta noudatamme mahdollisuuksien mukaan parhaita käytäntöjä.
  2. Tietosuoja ja GDPR
    • Henkilötiedot säilyvät Rekisterinpitäjän eli asiakkaidemme omaisuutena.
    • Käsittelemme tietoja vain Rekisterinpitäjän ohjeiden mukaisesti ja noudatamme Rekisteröityjen pyyntöjä.
    • Tietoja ei siirretä edelleen ETA-alueen ulkopuolelle ilman nimenomaista lupaa.
  3. CCPA
    • Emme myy henkilötietoja.
    • Kuluttajilla on oikeus pyytää pääsyä tietoihinsa ja niiden poistamista sekä kieltäytyä tietojensa mahdollisesta myynnistä.
  4. Rekisteröityjen oikeudet
    • Henkilötietojen kopio: toimitetaan pyynnöstä 45 päivän kuluessa sähköpostitse tai muita kanavia käyttäen.
    • Henkilötietojen poistaminen: toteutetaan maksutta varmennetun pyynnön perusteella.

8. Käyttöoikeuksien hallinta ja roolit

  1. Sisäiset käyttöoikeudet (työntekijät)
    • Vain kokoaikaiset työntekijät, joilla on perusteltu liiketoiminnallinen tarve, kuten kehitys- tai tukitehtävät, voivat käyttää arkaluonteisia tietoja.
    • Asiakastuen henkilöstö voi nähdä käyttäjänimet ja sähköpostiosoitteet tukipyyntöjen käsittelemiseksi.
  2. Asiakkaan dashboard-roolit
    • Owner: Täydet käyttöoikeudet, voi hallita tiimejä ja nähdä kaikki tiedot.
    • Manager: Voi luoda tiimejä ja käyttäjiä, mutta näkee tiedot vain, jos hänet on määritetty Team Admin -rooliin.
    • User: Näkee vain omat tietonsa; ei voi lisätä tai poistaa muita käyttäjiä eikä luoda tiimejä.
    • Team Admin: Valvoo tiettyihin tiimeihin kuuluvien tiimin jäsenten puhelutietoja.

9. Autentikointi ja salasanakäytännöt

  1. Työntekijöiden autentikointi
    • MFA vaaditaan tuotantojärjestelmiin pääsyyn.
    • Password Policy edellyttää vähintään 9 merkkiä, monimutkaisuussääntöjä ja bcrypt-hajautusta.
    • Yrityksen laitteisiin on asennettu virustorjunta- ja haittaohjelmien torjuntaohjelmistot.
  2. Asiakkaiden autentikointi
    • Käyttäjät kirjautuvat sisään sähköpostitse lähetettävällä One-Time Password (OTP) -koodilla.
    • OTP:stä johdettu avain tallennetaan turvallisesti laitteelle ja hajautetaan pilvessä bcryptillä.
    • Tulevat pyynnöt käyttävät rajallisen voimassaoloajan JWT-tokeneita.

10. Tietoturvakäytännöt ja -menettelyt

  1. Tietoturvakäytännöt
    • Clean Desk Policy
    • Email Policy
    • Password Construction Guidelines
    • Password Protection Policy
  2. Incident Response & Breach Notification
    • Ylläpidämme Security Incident Response Plan -suunnitelmaa (liitteenä).
    • Tietoturvaloukkauksista ilmoitetaan asianomaisille asiakkaille välittömästi tai 72 tunnin kuluessa.
    • Toimenpiteet: tilannearvio, rajaaminen, viestintä, poistaminen ja palautuminen.
  3. Työntekijöiden koulutus
    • Säännöllinen tietoturvatietoisuuskoulutus vuosittain.
    • Kaikki työntekijät allekirjoittavat salassapitosopimukset.
  4. Seuraamuskäytäntö
    • Virallista dokumentoitua kurinpitokäytäntöä ei ole, mutta kaikki tietoturvakäytäntöjen rikkomukset käsitellään tarpeen mukaan.

11. Auditoinnit ja testaus

  1. Sisäiset auditoinnit
    • Suoritetaan vuosittain esimerkiksi automaattisia URL-injektoreita, staattista analyysiä ja koodiriippuvuuksien tarkistuksia hyödyntäen.
  2. Ulkoiset auditoinnit
    • Tällä hetkellä ei tehdä riippumattomia kolmannen osapuolen penetraatiotestejä tai koodikatselmointeja.
    • Aiemmin on tehty yksi ulkoinen varmennus Google Mail -integraatioon liittyen.
  3. Verkko- ja sovellushaavoittuvuuksien hallinta
    • Haavoittuvuuksia skannataan säännöllisesti ja kriittiset korjaukset asennetaan välittömästi.
    • Päivityksiä tehdään vähintään vuosittain ja kiireellisten korjausten, kuten Log4j:n, yhteydessä useammin.

12. Infrastruktuurin tietoturva

  1. Hosting-ympäristö
    • Microsoft Azure, jossa Kubernetes orkestroi kontteja.
    • Tiukat palomuurikäytännöt, WAF käytössä ja käyttämättömät portit estetty.
  2. Varmuuskopiot
    • Tietokantavarmuuskopiot luodaan automaattisesti Azuressa ja salataan levossa.
    • Point-in-time recovery on käytettävissä.
  3. Päätelaitteiden tietoturva
    • Yrityksen kannettavissa tietokoneissa on haittaohjelmien torjuntaohjelmisto; työntekijöillä on järjestelmänvalvojan käyttöoikeudet.
    • VPN:ää ei käytetä; palomuuri sallii IP-pohjaisen pääsyn etätyötä varten.
  4. Muutostenhallinta
    • Verkon muutoksia hallinnoi pääkäyttäjä. Kehittäjillä ei ole suoraa pääsyä tuotantoverkon määrityksiin.
13. Fyysinen turvallisuus
  • Toimiston sijainti: Helsinki, Suomi (Fredrikinkatu 33a, 00120 Helsinki)
  • Toimistojärjestely: Kyseessä ei ole jaettu toimistotila. Kulunvalvonta on käytössä.
  • Datakeskus: Microsoft Azuren suojatut datakeskukset Irlannissa / North Europe -alueella.
  • Liiketoiminnan jatkuvuus: Fyysiset ja ympäristöön liittyvät riskit arvioidaan vuosittain. Käytössä on jatkuvuussuunnitelma tilanteisiin, joissa toimistoon ei päästä.
14. Incident Response & Notification
  • Tietoturvatapahtumien lokitus ja havaitseminen
    • Azure tarjoaa hälytyksiä kirjautumistapahtumista; sovelluslokeissa säilytetään käyttäjien kirjautumisyrityksiä ja API-kutsuja koskevat tiedot.
  • Tietoturvaloukkausprosessi
    • Asiakkaille ilmoitetaan ilman aiheetonta viivytystä, 72 tunnin kuluessa, jos havaitaan heihin vaikuttava tietoturvaloukkaus.
  • Vastuu
    • Information Security Officer: Risto Linnoskivi (raportoi toimitusjohtajalle ja koordinoi tietoturvahäiriöitä).

15. Tietojen säilytys ja poistaminen

  • Säilytysaika
    • Tyypillisesti 3 vuotta sopimuksen päättymisen jälkeen, ellei muuta pyydetä.
  • Tietojen poistaminen
    • Varmennetun pyynnön perusteella kaikki käyttäjä- ja puhelutiedot, mukaan lukien tallenteet, tokenit ja integraatiotiedot, poistetaan pysyvästi Azure-ympäristöstä.
    • Poistaminen ulotetaan myös kaikkiin alikäsittelijöihin.
16. Yhteystiedot ja lisätiedot
  • Keskeiset tietoturvayhteyshenkilöt:
  • Yksityisyys ja DPO
    • DPO:n yhteystiedot ovat asiakkaiden saatavilla pyynnöstä.
    • Privacy Notice / Privacy Policy: Salestrail Legal
  • Lisädokumentaatio
    • Security Program Management & Incident Response Plan
    • Information Classification and Handling Policy
    • Clean Desk Policy
    • Password Guidelines
    • Muut liitteet, joihin tässä dokumentissa viitataan

17. Yhteenveto

Salestrail on sitoutunut suojaamaan tietosi vahvan autentikoinnin, levossa ja siirron aikana käytettävän salauksen sekä selkeästi määriteltyjen incident response -prosessien avulla. Koko pilviympäristömme toimii Microsoft Azuressa ja hyödyntää sen toimiviksi osoitettuja tietoturvaominaisuuksia. Säännölliset sisäiset arvioinnit auttavat meitä kehittämään toimintaamme jatkuvasti. Vaikka meillä ei ole virallisia tietoturvasertifiointeja, noudatamme tunnustettujen viitekehysten mukaisia parhaita käytäntöjä.

Jos sinulla on kysyttävää tästä dokumentista tai haluat pyytää lisätietoja, ota yhteyttä:

Puhelin: +358 40 7683813

www.liid.com

Dokumentti tarjoaa yleistasoisen katsauksen Salestrailin tietoturvan nykytilaan. Sitä voidaan muuttaa infrastruktuurimme ja prosessiemme kehittyessä.