Provozujeme webovou stránku, na které nám chovatelé svěřují kontaktní údaje, fotografie svých zvířat a konverzace s kupujícími. Níže konkrétně popisujeme, jak tyto údaje chráníme. Uvádíme pouze řešení, která skutečně fungují – bez obecných frází.
1. Šifrované připojení
Celý web funguje výhradně přes protokol HTTPS. Nešifrovaná připojení jsou automaticky přesměrována na šifrovanou verzi a prohlížeč obdrží hlavičku HSTS s roční platností, která zahrnuje i subdomény. To znamená, že po první návštěvě prohlížeč sám odmítne nešifrované připojení, i když by někdo takový odkaz podstrčil.
Navíc odesíláme hlavičky omezující typické druhy útoků: zákaz vkládání webu do rámce na cizí doméně, blokování odhadování typu souboru prohlížečem a omezení informací o zdroji přechodu předávaných jiným webům.
2. Hesla a přístup k účtu
Hesla neukládáme. Uchováváme pouze jejich hash vypočítaný algoritmem bcrypt s náročností 12 — funkcí navrženou tak, aby záměrně zpomalovala pokusy o prolomení. I v případě úniku databáze je obnovení hesla z takového hash prakticky nemožné. Ze stejného důvodu nejsme schopni přečíst ani vám sdělit vaše heslo — můžeme vám pouze umožnit nastavení nového.
Nabízíme dvoufázové ověření při přihlášení. Doporučujeme jej zapnout každému, kdo na našem webu provozuje prodej.
Relační cookie je označeno jako nepřístupné pro skripty a omezeno na naši doménu, což ztěžuje převzetí přihlášené relace.
3. Platby
Neuchováváme čísla platebních karet, kódy CVV ani žádné jiné údaje umožňující účtování plateb z vašeho účtu. Platby zcela zpracovává Stripe – provozovatel působící v souladu se standardem PCI DSS. Údaje o kartě zadáváte přímo u něj a na naše servery se nedostanou. Na straně ReptiMarket ukládáme pouze identifikátor transakce, který je potřebný k přiřazení platby k vašemu účtu.
4. Vaše údaje a kontrola nad nimi
Údaje zpracováváme v souladu s nařízením GDPR a podrobnosti jsou popsány v Zásadách ochrany osobních údajů.
Kdykoli můžete smazat svůj účet včetně všech údajů – k tomu slouží příslušná možnost v nastavení profilu. Smazání navíc potvrzujeme e-mailem, aby nikdo nemohl smazat účet bez vašeho vědomí, pokud má dočasný přístup k prohlížeči, ve kterém jste přihlášeni.
5. Zálohy
Zálohy databáze a souborů provádíme každý den automaticky. Stav záloh je monitorován samostatnou úlohou a starší zálohy jsou pravidelně odstraňovány. Díky tomu výpadek serveru neznamená ztrátu vašich inzerátů ani fotografií.
6. Hlášení zranitelností
Pokud zjistíte bezpečnostní chybu, napište nám prostřednictvím kontaktního formuláře s poznámkou „bezpečnost“. Prosíme, nezveřejňujte svůj nález, dokud jej nestihneme opravit. Na taková hlášení reagujeme s nejvyšší prioritou a rádi osobně poděkujeme tomu, kdo nám pomohl zvýšit bezpečnost služby.
Prosíme vás však, abyste neprováděli testy, které by mohly poškodit ostatní uživatele: pokusy o hromadné stahování dat, útoky typu „odmítnutí služby“ ani činnosti na cizích účtech.
