Securitate
Securitate pe înțelesul tuturor.
Ce facem astăzi, spre ce ne îndreptăm și ce nu vom face. Încercăm să fim sinceri în ambele privințe — restaurantele și partenerii merită asta, iar securitatea prin obscuritate nu este securitate.
Situația actuală
Infrastructură găzduită în EU
Toată infrastructura de producție este găzduită în Spațiul Economic European. Copiile de rezervă sunt stocate în SEE. Nu transferăm date cu caracter personal către țări terțe, cu excepția cazurilor în care se utilizează Clauze Contractuale Standard semnate pentru scopuri limitate ale furnizorilor (de ex. Anthropic pentru widgetul AI Ask).
Criptare în tranzit și în repaus
TLS 1.2+ pe fiecare endpoint public cu HSTS. Stocarea bazelor de date și copiile de rezervă sunt criptate în repaus. Apelurile între servicii se realizează prin canale autentificate.
Izolarea datelor de card
Fooodo nu accesează niciodată datele brute ale cardului. Plățile sunt procesate de Mollie în cadrul propriului domeniu PCI. Aplicația de meniu primește un URL de checkout și un callback — cardul nu intră niciodată în contact cu infrastructura noastră.
Autentificare și acces
Accesul operatorilor și al administratorilor este protejat prin conturi individuale cu atribuiri de roluri auditabile. Token-urile de sesiune, IP-ul, amprenta dispozitivului și marcajele temporale ale autentificărilor sunt înregistrate pentru revizuire de securitate.
Izolarea chiriașilor
Fiecare înregistrare este asociată unui tenant de tip Companie. Politicile de rol impun limitele dintre tenanți la nivelul stratului de acces la date; administratorii de restaurant pot gestiona doar propriul restaurant.
Conformitate GDPR
Minimizarea datelor implicit. Fiecare recomandare din Fooodo Insights care afectează angajații necesită aprobare umană (GDPR Article 22). Persoanele vizate își pot exercita drepturile prin dpo@fooodo.com.
Sub-procesatori
Utilizăm un număr redus de sub-procesatori verificați. Lista actuală:
| Vendor | Role | Region |
|---|---|---|
| Mollie | Procesarea plăților | EU |
| Vercel | Găzduirea site-ului de marketing | Regiuni EU pentru acest site |
| Anthropic | Modele care alimentează widgetul Ask | Internațional (SCC-uri în vigoare) |
Lista completă a sub-procesatorilor, inclusiv furnizorii de infrastructură ai platformei Fooodo, este disponibilă la cerere pentru operatori în baza Acordului de Prelucrare a Datelor.
Ce se află pe foaia de parcurs a securității
SOC 2 Type II formal
VizatÎn prezent nu suntem certificați SOC 2. Auditul este inclus în foaia de parcurs; calendarul depinde de cererea clienților. Putem furniza cadrul nostru intern de control la cerere.
ISO/IEC 27001
În analizăUrmărim conformitatea cu standardul la nivel intern; certificarea este un proces de 12+ luni și se decide în funcție de cererea clienților.
Teste de penetrare
AnualAngajăm testeri externi de penetrare anual și după modificări arhitecturale semnificative. Rapoartele sunt rezumate pentru echipele de securitate ale clienților la cerere.
Divulgarea vulnerabilităților
LiveRapoartele se trimit la security@fooodo.com (PGP disponibil la cerere). Confirmăm primirea în termen de două zile lucrătoare. În prezent nu derulăm un program de recompense plătite.
Răspuns la incidente
Dacă avem un incident de securitate care afectează un client, notificăm contactul nominalizat al clientului în termen de 72 de ore de la momentul în care am luat cunoștință (termenul de notificare a încălcării conform GDPR) și transmitem un raport scris în termen de 30 de zile. Coordonăm cu canalele de incident ale furnizorilor de plăți pentru orice eveniment legat de plăți.
Ce nu vom face
- Nu vom vinde datele dumneavoastră, datele oaspeților sau datele personalului — nimănui, niciodată.
- Nu vom folosi datele operaționale pentru a antrena modele AI fără consimțământul dumneavoastră explicit, prin optare activă.
- Nu vom ține datele ostatice — exporturile sunt disponibile în formate standard pe durata contractului și la finalul acestuia.
- Nu vom implementa automat recomandările AI care afectează angajații. Article 22 reprezintă o limită absolută.
Contactați echipa de securitate
Rapoarte de vulnerabilitate, due diligence pentru furnizori, chestionare de securitate pentru clienți — scrieți la security@fooodo.com. Solicitările persoanelor vizate se trimit la dpo@fooodo.com. Răspundem la ambele în termen de două zile lucrătoare.
Pagini conexe: Politică de confidențialitate · Termeni și condiții · Acord de prelucrare a datelor · Contact