Ασφάλεια & Προστασία Δεδομένων

1. Ασφάλεια Λογαριασμού

• Αποθήκευση κωδικών — οι κωδικοί αποθηκεύονται αποκλειστικά ως μονόδρομα bcrypt hashes, ποτέ σε αναγνώσιμη μορφή.
• Έλεγχος ταυτότητας δύο παραγόντων — 2FA μέσω εφαρμογής authenticator (TOTP) διαθέσιμο σε κάθε λογαριασμό, με κωδικούς ανάκτησης μίας χρήσης. Η ενεργοποίηση ή απενεργοποίηση του 2FA απαιτεί εκ νέου επαλήθευση.
• Πολιτική συνεδριών — οι συνεδρίες λήγουν μετά από 60 λεπτά αδράνειας, με επιβολή στον server. Κάθε λογαριασμός έχει μία ενεργή συνεδρία: νέα σύνδεση αντικαθιστά την προηγούμενη.
• Προστασία σύνδεσης — τα endpoints σύνδεσης και 2FA έχουν όριο ρυθμού (5 προσπάθειες ανά 15 λεπτά) για αποτροπή επιθέσεων credential-stuffing.

2. Ασφάλεια Εφαρμογής & Υποδομής

• Κρυπτογράφηση κατά τη μεταφορά — όλη η κίνηση εξυπηρετείται μέσω HTTPS με HTTP Strict Transport Security (διάρκεια 2 ετών, preload).
• Θωρακισμένα headers — αυστηρό Content-Security-Policy με nonce ανά αίτημα, X-Frame-Options: DENY και κλειδωμένα permissions headers σε κάθε απόκριση.
• Έλεγχος αρχείων — τα ανεβασμένα αρχεία επαληθεύονται από την υπογραφή περιεχομένου τους (magic bytes) πριν αποθηκευτούν, όχι απλώς από την κατάληξη.
• Έλεγχος πρόσβασης — δικαιώματα βάσει ρόλων με απομόνωση δεδομένων ανά οργανισμό: κάθε API route επαληθεύει τον οργανισμό του καλούντος, ώστε ένας πελάτης να μην μπορεί ποτέ να δει εκδηλώσεις ή καλεσμένους άλλου.
• Άμυνα σε βάθος στη βάση — Row-Level Security ενεργό σε κάθε πίνακα της PostgreSQL βάσης μας.
• Ίχνος ελέγχου — οι διαχειριστικές και ευαίσθητες ενέργειες καταγράφονται σε append-only audit log.

3. Προστασία Δεδομένων & GDPR

Ο οργανισμός σας παραμένει υπεύθυνος επεξεργασίας για τους καλεσμένους του· το Gatheris επεξεργάζεται τα δεδομένα καλεσμένων μόνο για λογαριασμό σας και σύμφωνα με τις οδηγίες σας. Αναλυτικά στην Πολιτική Απορρήτου.

• Δεδομένα στην ΕΕ — τα δεδομένα καλεσμένων φιλοξενούνται σε PostgreSQL βάση εντός Ευρωπαϊκής Ένωσης.
• Δικαίωμα φορητότητας (Άρθρο 20) — οι κάτοχοι λογαριασμού μπορούν να εξάγουν τα δεδομένα τους σε μηχανικά αναγνώσιμο JSON, αυτόνομα.
• Δικαίωμα διαγραφής (Άρθρο 17) — η διαγραφή υποκειμένου δεδομένων εκτελείται ως ενιαία ατομική πράξη σε όλους τους πίνακες και αφήνει εγγραφή ελέγχου.
• Καταγραφή συγκατάθεσης — τα γεγονότα συγκατάθεσης καταγράφονται σε append-only μητρώο κατά την εγγραφή.
• Όρια διατήρησης — αυτοματοποιημένη εκκαθάριση αφαιρεί προσωπικά δεδομένα που έχουν υπερβεί την περίοδο διατήρησής τους.
• Unsubscribe & καταστολή — κάθε εμπορικό email φέρει one-click unsubscribe (RFC 8058). Οι διαγραφές, τα hard bounces και οι αναφορές spam θέτουν αυτόματα τη διεύθυνση σε καταστολή και ακυρώνουν κάθε email που εκκρεμεί προς αυτήν.

4. Πληρωμές

• Checkout στο Stripe — τα στοιχεία κάρτας εισάγονται στις πιστοποιημένες κατά PCI-DSS σελίδες του Stripe και δεν αγγίζουν ποτέ τους servers του Gatheris. Δεν αποθηκεύουμε αριθμούς καρτών, ημερομηνίες λήξης ή CVC.
• Ακεραιότητα webhooks — τα γεγονότα πληρωμών από το Stripe επαληθεύονται κρυπτογραφικά με υπογραφή, με προστασία από replay και αποκλεισμό διπλοεγγραφών.

5. Ακεραιότητα Email

• Πιστοποιημένη αποστολή — το domain αποστολής μας είναι πιστοποιημένο με SPF, DKIM και DMARC.
• Headers συμμόρφωσης — τα εμπορικά email φέρουν List-Unsubscribe headers· τα λειτουργικά email (εισιτήρια, επιβεβαιώσεις) διαχωρίζονται αυστηρά από τα εμπορικά.
• Οι απαντήσεις φτάνουν σε εσάς — οι απαντήσεις των καλεσμένων δρομολογούνται στη διεύθυνση του διοργανωτή, όχι σε κάποιο no-reply κενό.

6. Αντίγραφα Ασφαλείας & Συνέχεια

• Διαχειριζόμενα αντίγραφα — ο πάροχος της βάσης μας λαμβάνει ημερήσια αυτόματα αντίγραφα ασφαλείας με παράθυρο επαναφοράς 7 ημερών.
• Εξαγωγές κατ' απαίτηση — επιπλέον λαμβάνουμε πλήρη λογικά αντίγραφα της βάσης κατ' απαίτηση, αποθηκευμένα χωριστά από την κύρια βάση, με τεκμηριωμένη διαδικασία επαναφοράς.
• Παρακολούθηση ουράς — η γραμμή αποστολής email παρακολουθείται από αυτοματοποιημένους ελέγχους υγείας που ειδοποιούν την ομάδα αν η αποστολή καθυστερεί.

7. Υποεπεξεργαστές

Το Gatheris βασίζεται σε ένα μικρό σύνολο καταξιωμένων παρόχων υποδομής:

8. Πού Κατευθυνόμαστε

Προτιμούμε να σας πούμε ξεκάθαρα τι βρίσκεται στον σχεδιασμό μας, παρά να υπονοήσουμε ότι υπάρχει ήδη:

• Πιστοποιήσεις — το Gatheris δεν είναι ακόμη πιστοποιημένο κατά SOC 2 ή ISO 27001. Η επίσημη πιστοποίηση βρίσκεται στον σχεδιασμό μας καθώς η εταιρεία μεγαλώνει.
• Σύμβαση Επεξεργασίας Δεδομένων (DPA) — οι όροι επεξεργασίας δεδομένων, το αρχείο δραστηριοτήτων επεξεργασίας και η διαδικασία απόκρισης σε παραβιάσεις είναι συνταγμένα και διαθέσιμα για έλεγχο κατόπιν αιτήματος. Η επίσημη συνυπογραφή DPA θα προσφέρεται μόλις ολοκληρωθεί η εταιρική μας σύσταση.

9. Ερωτήσεις & Γνωστοποιήσεις

Για ερωτήσεις ασφαλείας, αιτήματα τεκμηρίωσης ή υπεύθυνη γνωστοποίηση ευπάθειας, επικοινωνήστε στο hello@gatherisus.com. Οι αναφορές ασφαλείας διαβάζονται απευθείας από όσους χτίζουν το Gatheris.