Nastanitev in infrastruktura
Ta stran poleg pravnih informacij (člena 6-III LCEN) in politike zasebnosti (člena 28 in 32 GDPR) opisuje tehnično infrastrukturo, na kateri je test.gode. Pridržek IIIA-PT-1.
Člen 1 — Gostitelj in lokacija
Združenje E-Cosplay preko svoje službe ENUM — Association loi 1901, 42 rue de Saint-Quentin, 02800 Beautor. SIREN : 943 121 517 · RNA : W022006988 · APE/NAF koda : 93.29Z — Stik : [email protected].
Serverji najeti od OVH SAS (OVH cloud), 2 rue Kellermann, 59100 Roubaix, Francija (RCS Lille Métropole 424 761-419), ki se nahaja v Franciji.
Spletna stran, njen API in vsi podatki, ki jih obdeluje (računi strank, naročila, zahteve za jamstva, sporočila), so gostujoči izključno v Franciji, v podatkovnih centrih na ozemlju Evropske unije in predloženi GDPR. Podatki se ne hranijo zunaj Evropske unije.
Člen 2 – Trgovinska varnost
Vse izmenjave so šifrirane v HTTPS (najmanj TLS 1.2, TLS 1.3 priporočljiv); nešifrirana povezava je preusmerjena, politika HSTS (HTTP Strict Transport Security) pa zahteva šifriranje brskalnika za vsak nadaljnji obisk.
Razveljavljene varnostne glave: Content-Security-Policy, X-Vsebina-tip-možnosti (proti-vohunjenju), Referent-Politika, X-Frame-Options in okvir-ancers (zaščita pred klikom ugrabitve), Dovoljenja-Politika.
Sejni piškotki so podpisani (HMAC), označeni z oznako HttpSamo, Secure in SameSite; Gesla terjatev računov so shranjena v mleti in slani obliki; upravni prostor je izoliran na ločeni poti, zaščiten s kratko sejo (12 ur) in strogo omejen piškotek. Cene in skupni zneski so preračunani na strežniški strani vsakega naročila, obrazci in API so po pogostosti omejeni (zaščita zlorabe), strani naročila, računa in uprave pa so izključene iz indeksiranja in shranjevanja.
Člen 3 — Razpoložljivost in zaščitni ukrepi
Aplikacija je v zabojnikih in pod nadzorom; v primeru incidenta se storitve samodejno ponovno zaženejo. Podatki (naročila, računi, jamstva, dokumenti PDF) so predmet rednih varnostnih kopij, šifriranih in shranjenih na ločenem mediju, ki se nahaja v Franciji, pri čemer zadržanje omogoča obnovo v primeru nesreče. Programske komponente se posodabljajo in dnevniki dostopa se hranijo 12 mesecev za varnostne namene.
Člen 4 — Plačilo
Kartična plačila obdela Systempay, plačilna rešitev Lyra Omrežni SAS (odobren ponudnik plačilnih storitev, certificirana raven PCI-DSS 1), v imenu banke Banque Populaire, banke SAS Godé. Podatki o kartici se vnesejo izključno na plačilni strani, ki jo gosti Lyra; na naših strežnikih se ne prenašajo ali shranjujejo nobeni podatki o kartici. Transakcije so predmet močne 3-D Varna avtentikacija (DSP2), rezultat plačila pa se posreduje našemu strežniku s podpisanim obvestilom (IPN), preverjeno pred vsako potrditvijo naročila.
Člen 5 — Naročniki in tehnični ponudniki
Združenje E-Cosplay preko svoje storitve ENUM – oblikovanje, gostovanje, delovanje in vzdrževanje spletne strani (Francija).
OVH SAS (OVH cloud), 2 rue Kellermann, 59100 Roubaix – Najem strežnikov in podatkovnih centrov (Francija).
Amazon Web Services EMEA SARL, 38 avenue John F. Kennedy, L-1855 Luxembourg – dostava transakcijske elektronske pošte prek Amazon SES, evropska regija (Pariz, eu-west-3). Samo e-pošta (naslov prejemnika in vsebina sporočila) se prenaša skozi to storitev; AWS ne hrani podatkov, ki bi presegali usmerjanje in tehnične dnevnike.
Lyra Network SAS, 109 rue de l'Innovation, 31670 Labège — Platforma za plačilo Systempay (Francija).
La Poste SA — service Colissimo, 9 rue du polkovnik Pierre Avia, 75015 Paris — dostava paketov, proizvodnja nalepk in sledenje (Francija in Evropska unija).
E-Cosplay e-sign (E-Cosplay (ENUM)) – elektronski podpis, časovno žigosanje in revizijska revija potrdil o jamstvu (gostuje v Franciji).
Vsak podizvajalec je vezan na pogodbo v skladu s členom 28 GDPR in zagotavlja zadostna jamstva za izvajanje ustreznih tehničnih in organizacijskih ukrepov.
Člen 6 — Prenosi zunaj Evropske unije
Pri trenutnem delovanju območja se prenos podatkov zunaj Evropske unije ne izvaja. Za ponudnike s sedežem v Uniji velja GDPR; Če bi eden od njih uporabljal poznejšega podizvajalca iz tretje države, bi bil prenos urejen z odločbo o ustreznosti ali standardnimi pogodbenimi klavzulami Evropske komisije (členi 44 do 46 GDPR).
Člen 7 – Upravljanje incidentov in poročanje o kršitvah
SAS Godé in njegovi podizvajalci so izvedli postopek za odkrivanje, usposobljenost in obravnavo varnostnih incidentov. V primeru kršitve osebnih podatkov SAS Godé obvesti CNIL v 72 urah po tem, ko se ta seznani, kadar obstaja verjetnost, da bo to ogrozilo pravice in svoboščine oseb (člen 33 GDPR), in o tem čim prej obvesti zadevne osebe, ko je to tveganje visoko (člen 34 GDPR). Register kršitev se vodi v skladu s členom 33.5.
Člen 8 – Poročanje o ranljivosti
Vsakdo, ki najde varnostno kršitev na spletni strani, je pozvan, da poroča odgovorno, da se obrne [email protected] ali [email protected], ne da bi ga izkoristili ali razkrili podatke. V skladu s členom L2321-4 Obrambnega zakonika se tak pristop lahko naslovi na ANSSI. Tehnična kontaktna oseba: [email protected].