Bảo mật và tuân thủ dữ liệu: Những gì Booper đảm bảo về giá cả và biên lợi nhuận của bạn
Giá mua, giá bán và tỷ suất lợi nhuận của quý vị là những thông tin nhạy cảm nhất của doanh nghiệp. Trang này sẽ giải đáp mười câu hỏi mà Giám đốc Công nghệ Thông tin (CIO) và Giám đốc Bảo vệ Dữ liệu (DPO) của quý vị thường đặt ra cho chúng tôi trước khi ký kết hợp đồng.
Dịch vụ lưu trữ OVHcloud, bao gồm môi trường sản xuất, kiểm thử và sao lưu
Nền tảng này chỉ xử lý các giao dịch bán hàng, giá cả và hàng tồn kho của bạn
OVHcloud đảm nhận dịch vụ lưu trữ, phần còn lại do Booper thực hiện
Những điểm chính trong 30 giây
Booper lưu trữ nền tảng MPS tại Pháp, trên hệ thống OVHcloud, trên các máy chủ chuyên dụng dành riêng cho từng khách hàng. Việc truy cập được thực hiện thông qua hệ thống đăng nhập một lần (SSO) của doanh nghiệp bạn (SAML 2.0, OpenID Connect) hoặc bằng thông tin đăng nhập cá nhân. Các giao dịch được mã hóa bằng TLS và SFTP.
Dữ liệu được sao lưu hàng ngày tại một trung tâm dữ liệu thứ hai. Chỉ có một nhà cung cấp dịch vụ bên thứ ba tham gia, đó là OVHcloud. Khi hợp đồng kết thúc, dữ liệu của quý khách sẽ được trả lại và sau đó bị xóa, bao gồm cả các bản sao lưu, trong vòng 60 ngày.
10 câu trả lời mà Giám đốc Công nghệ Thông tin của bạn đang mong đợi
Các thông tin này giống hệt với những thông tin mà chúng tôi cung cấp trong các hồ sơ dự thầu và các kế hoạch đảm bảo an toàn của chúng tôi.
Nhà cung cấp dịch vụ lưu trữ và vị trí
OVHcloud, các trung tâm dữ liệu đặt tại Pháp. Mỗi khách hàng đều có các máy chủ riêng, hoàn toàn tách biệt với các khách hàng khác.
Hệ thống sản xuất, hệ thống thu thập dữ liệu và các máy chủ dự phòng đều đặt tại Pháp. Các dịch vụ được cung cấp từ Liên minh châu Âu.
Chứng nhận
Hiện tại, Booper chưa có chứng nhận riêng nào. Chúng tôi nói thẳng điều này thay vì che giấu sự thật.
Các trung tâm dữ liệu của OVHcloud nơi lưu trữ nền tảng này đã được chứng nhận theo các tiêu chuẩn ISO 27001, ISO 14001 và ISO 50001. Booper áp dụng chính sách bảo mật hệ thống thông tin tuân thủ tiêu chuẩn ISO 27002.
Mã hóa
Trong quá trình truyền tải: HTTPS/TLS cho ứng dụng, SFTP để trao đổi tệp tin, SSH để quản trị. Mật khẩu được mã hóa băm bằng bcrypt.
Các tệp tin nhạy cảm được trao đổi qua email đều được mã hóa trước khi gửi đi, và các máy tính của đội ngũ đều có ổ đĩa được mã hóa.
Xác thực và SSO
SAML 2.0 và OpenID Connect, ví dụ như với Microsoft Entra ID. Cơ chế xác thực hai yếu tố của doanh nghiệp bạn được áp dụng cho Booper thông qua hệ thống danh bạ của doanh nghiệp.
Nếu không, hệ thống sẽ áp dụng các thông tin đăng nhập cá nhân, chính sách mật khẩu, tính năng khóa phiên và thời gian hết hạn sau khi không hoạt động. Tất cả các hành động đều được ghi lại và gắn dấu thời gian.
Bản sao lưu
Sao lưu hàng ngày tại một trung tâm dữ liệu OVHcloud thứ hai ở Pháp, được lưu giữ trong bảy ngày. Bao gồm cả sao lưu toàn bộ và sao lưu gia tăng.
Thời gian mất dữ liệu tối đa cho phép: 24 giờ. Các bản khôi phục được ghi chép và kiểm tra định kỳ.
Tình trạng sẵn có theo hợp đồng
Cam kết mức độ sẵn sàng hàng tháng tối thiểu 99% trong khung giờ hoạt động của dịch vụ, kèm theo các khoản phạt nếu không tuân thủ.
Thời gian khôi phục mục tiêu: 8 giờ làm việc theo tiêu chuẩn, 4 giờ với gói dịch vụ Platinum.
Thử nghiệm xâm nhập
Nền tảng MPS đã được một công ty kiểm toán độc lập chuyên ngành tiến hành kiểm toán theo phương pháp “hộp đen” và “hộp xám”. Các lỗ hổng bảo mật nghiêm trọng và quan trọng đã được khắc phục và sau đó được kiểm toán viên xác minh.
Booper cam kết theo hợp đồng sẽ tiến hành một cuộc kiểm tra xâm nhập độc lập trước khi đưa mỗi dịch vụ vào hoạt động.
Liên hệ về bảo vệ dữ liệu
Người được chỉ định phụ trách bảo vệ dữ liệu của Booper là Sofiane Belkacem, đồng thời cũng là Giám đốc phụ trách dữ liệu và an ninh. Liên hệ: protectiondesdonnees@booper.fr.
Mọi sự cố rò rỉ dữ liệu sẽ được thông báo cho quý vị chậm nhất là 48 giờ sau khi phát hiện.
Các nhà thầu phụ
Chỉ có một nhà thầu phụ: OVHcloud, chuyên cung cấp dịch vụ lưu trữ tại Pháp. Việc phát triển nền tảng và tích hợp do Booper thực hiện.
Mọi nhà thầu phụ mới đều sẽ được thông báo trước cho quý vị. Quý vị có thể phản đối việc này nếu có lý do chính đáng.
Thời hạn sử dụng
Dữ liệu của quý khách sẽ được xử lý trong suốt thời hạn hợp đồng. Khi hợp đồng kết thúc, dữ liệu sẽ được trả lại cho quý khách dưới định dạng tiêu chuẩn, sau đó sẽ bị xóa khỏi các máy chủ và bản sao lưu trong vòng 60 ngày, kèm theo xác nhận bằng văn bản.
Theo tiêu chuẩn, lịch sử giao dịch được lưu trữ trong hai năm, sau đó sẽ bị xóa hoặc lưu trữ theo quy định đã thỏa thuận với quý vị.
Hành trình của dữ liệu của bạn, từ đầu đến cuối
Bốn chặng đua, tất cả đều diễn ra tại Pháp, và lộ trình của tất cả các chặng đều đã được vạch sẵn.
Kho lưu trữ an toàn
Các tệp tin về bán hàng, bảng giá và danh mục sản phẩm của quý vị sẽ được chuyển qua SFTP vào một khu vực dành riêng. Mỗi tệp tin đều được kiểm tra trước khi được tích hợp.
Máy chủ chuyên dụng
Dữ liệu của quý khách được xử lý trên các máy chủ của OVHcloud, nơi không lưu trữ dữ liệu của bất kỳ khách hàng nào khác. Quyền truy cập chỉ giới hạn cho những người được ủy quyền, và danh sách này được rà soát hàng năm.
Sao lưu hàng ngày
Mỗi đêm, một bản sao được chuyển đến một trung tâm dữ liệu thứ hai tại Pháp. Dữ liệu được lưu trữ trong bảy ngày, tính năng khôi phục đã được kiểm tra.
Khôi phục và xóa
Khi hợp đồng kết thúc, sẽ tiến hành xuất toàn bộ dữ liệu dưới định dạng mở, sau đó xóa các máy chủ và bản sao lưu trong vòng 60 ngày, việc này phải được xác nhận bằng văn bản.
Dữ liệu người tiêu dùng không bao giờ nằm trong quy trình này. Chỉ có dữ liệu nhận dạng người dùng của quý vị (họ, tên, email công việc) và nhật ký đăng nhập của họ mới thuộc phạm vi điều chỉnh của Quy định chung về bảo vệ dữ liệu (GDPR), trong đó Booper đóng vai trò là bên xử lý dữ liệu theo quy định tại Điều 28. Chi tiết xin tham khảo Chính sách bảo mật của chúng tôi.
Những điều chúng tôi không làm
Năm cam kết tiêu cực, có sức thuyết phục hơn cả một danh sách các biểu tượng.
Không có dữ liệu về người tiêu dùng
Không có thẻ khách hàng thân thiết, không có giỏ hàng cá nhân. Các mô hình này hoạt động dựa trên doanh số tổng hợp, giá cả và tồn kho.
Không cần sử dụng mô hình AI của bên thứ ba
Mô hình ngôn ngữ của trợ lý Booper được phát triển nội bộ và được lưu trữ trong môi trường của quý vị. Giá cả của quý vị không qua bất kỳ nhà cung cấp mô hình bên ngoài nào.
Không có quyết định tự động nào liên quan đến con người
Các đề xuất về giá là những thông tin hỗ trợ việc ra quyết định liên quan đến sản phẩm. Quyết định cuối cùng vẫn thuộc về đội ngũ của quý vị.
Không có dữ liệu nào nằm ngoài Liên minh châu Âu
Dịch vụ lưu trữ, sao lưu và các dịch vụ khác được thực hiện tại Liên minh Châu Âu. Không có việc chuyển dữ liệu sang quốc gia thứ ba, do đó không cần phải xử lý bất kỳ điều khoản hợp đồng mẫu nào.
Không có việc chia sẻ máy chủ của quý khách
Các môi trường của quý khách là các môi trường chuyên dụng và được cách ly hoàn toàn. Một sự cố xảy ra tại một khách hàng khác sẽ không ảnh hưởng đến dữ liệu của quý khách.
Không có nhà thầu phụ nào được giấu giếm
Chỉ có một đơn vị duy nhất, OVHcloud, được nêu tên trong hợp đồng. Mọi nhà thầu phụ mới đều sẽ được thông báo cho quý khách trước khi bắt đầu thực hiện công việc.
Các cam kết được ghi rõ trong hợp đồng
Trích từ các điều khoản và điều kiện bán hàng chung của giải pháp MPS. Các mức dịch vụ cao hơn được mô tả chi tiết trong từng đề xuất.
| Cam kết | Trình độ tiêu chuẩn | Điều này có ý nghĩa gì đối với bạn |
|---|---|---|
| Tình trạng sẵn có hàng tháng | Tối thiểu 99% trong phạm vi hoạt động, không tính thời gian bảo trì theo lịch trình | Sẽ bị phạt 10% phí hàng tháng nếu không đạt được ngưỡng quy định. |
| Lỗi gây treo hệ thống | Tiếp nhận trong vòng 1 giờ làm việc, giải quyết trong ngày làm việc tiếp theo | Bộ phận hỗ trợ làm việc từ thứ Hai đến thứ Sáu, từ 9 giờ sáng đến 6 giờ chiều, qua hệ thống phiếu yêu cầu, email và điện thoại. |
| Khôi phục hoạt động sau sự cố | Khôi phục trong vòng 8 giờ làm việc (4 giờ với gói Platinum), thời gian mất dữ liệu tối đa là 24 giờ | Sao lưu hàng ngày tại địa điểm từ xa, các quy trình khôi phục đã được kiểm tra. |
| Bảo trì theo lịch trình | Các khung giờ ban đêm và sáng Chủ nhật, được thông báo trước 15 ngày, tối đa 3 ngày mỗi năm | Một biện pháp an ninh khẩn cấp có thể được thực hiện mà không cần thông báo trước; quý vị sẽ được thông báo ngay lập tức. |
| Vi phạm an ninh dữ liệu | Phải thông báo trong vòng 48 giờ kể từ khi phát hiện | Quý vị có thể tự quyết định thời hạn thông báo cho CNIL. |
| Kiểm tra xâm nhập | Được thực hiện bởi một đơn vị kiểm toán độc lập trước khi dịch vụ đi vào hoạt động | Báo cáo tóm tắt và kế hoạch khắc phục sẽ được cung cấp theo yêu cầu. |
| Tính đảo ngược | Xuất dữ liệu dưới dạng CSV, tệp dump hoặc qua API; xóa dữ liệu trong vòng 60 ngày; xác nhận bằng văn bản | Dịch vụ trả hàng tiêu chuẩn đã được bao gồm trong giá. |
An ninh được tổ chức bài bản, chứ không chỉ là lời nói suông
Booper là một nhà xuất bản của Pháp từ năm 2014. Khách hàng của chúng tôi là các thương hiệu và mạng lưới, những đơn vị này giao phó cho chúng tôi việc quản lý giá mua và giá bán của họ. Bộ phận an ninh của họ tiến hành kiểm toán chúng tôi trước mỗi hợp đồng.
- Một người chịu trách nhiệm về an ninh hệ thống thông tin đã được chỉ định, và một người liên hệ về bảo vệ dữ liệu.
- Một chính sách bảo mật hệ thống thông tin tuân thủ tiêu chuẩn ISO 27002, được rà soát định kỳ, cùng với bản cam kết về công nghệ thông tin do mỗi nhân viên ký tên.
- Các quy tắc an toàn thông tin được áp dụng trên tất cả các máy tính: ổ đĩa được mã hóa, tính năng khóa màn hình tự động, tài khoản cá nhân, các tệp tin nhạy cảm được mã hóa trước khi trao đổi.
- Một kế hoạch dự phòng và một kế hoạch khôi phục hoạt động kèm theo một ban chỉ huy ứng phó khẩn cấp được chỉ định, được rà soát hàng năm.
- Các tài khoản mang tên người dùng trên nền tảng, việc rà soát hàng năm các quyền truy cập và việc ghi nhật ký tất cả các lần truy cập.
- Các bản cập nhật được cung cấp hàng tháng trong giai đoạn tiền sản xuất, được kiểm thử cùng với các người dùng chủ chốt của quý vị trước khi đưa vào sản xuất, ngoại trừ giai đoạn đóng băng thương mại.
Các tài liệu có sẵn theo yêu cầu
Theo thỏa thuận bảo mật, dành cho Giám đốc Công nghệ Thông tin (DSI) hoặc Chuyên viên Bảo vệ Dữ liệu (DPO) của quý vị.
- Chính sách an ninh hệ thống thông tin
- Kế hoạch sao lưu dữ liệu
- Kế hoạch khôi phục hoạt động và phân tích rủi ro
- Giấy chứng nhận thử nghiệm xâm nhập
- Bảng đối chiếu các yêu cầu của tiêu chuẩn ISO 27002 (kế hoạch đảm bảo an ninh)
- Phụ lục về việc xử lý dữ liệu cá nhân (Điều 28 của Quy định chung về bảo vệ dữ liệu – GDPR)
Câu hỏi thường gặp
Dữ liệu được Booper xử lý được lưu trữ ở đâu?
Tại Pháp, tại OVHcloud, trên các máy chủ chuyên dụng dành riêng cho từng khách hàng. Các môi trường sản xuất, kiểm thử và các máy chủ sao lưu đều được đặt tại Pháp.
Không có dữ liệu nào được chuyển ra ngoài Liên minh châu Âu.
Booper có được chứng nhận theo tiêu chuẩn ISO 27001 hay SOC 2 không?
Hiện tại, Booper chưa có chứng nhận riêng. Các trung tâm dữ liệu của OVHcloud đang lưu trữ nền tảng này đã được chứng nhận theo các tiêu chuẩn ISO 27001, ISO 14001 và ISO 50001.
Booper có hệ thống quản lý an ninh, chính sách an ninh hệ thống thông tin, kế hoạch sao lưu và kế hoạch khôi phục hoạt động, có thể cung cấp theo yêu cầu.
Booper xử lý những loại dữ liệu cá nhân nào?
Chỉ bao gồm dữ liệu của người dùng nền tảng: họ, tên, địa chỉ email công việc và nhật ký đăng nhập. Booper không xử lý bất kỳ dữ liệu nào của người tiêu dùng.
Các mô hình dự báo và độ co giãn dựa trên doanh số, giá cả và tồn kho, chứ không bao giờ dựa trên con người.
Chúng ta có thể đăng nhập bằng hệ thống quản lý danh bạ doanh nghiệp (SSO) không?
Đúng vậy. Nền tảng này hỗ trợ SAML 2.0 và OpenID Connect, ví dụ như với Microsoft Entra ID. Do đó, quy trình xác thực hai yếu tố do công ty của bạn yêu cầu sẽ được quản lý bởi hệ thống danh bạ của công ty.
Nếu không, mỗi người dùng sẽ có thông tin đăng nhập riêng kèm theo chính sách mật khẩu và tính năng khóa phiên.
Dữ liệu được sao lưu như thế nào?
Một bản sao lưu hàng ngày được thực hiện tại một trung tâm dữ liệu thứ hai của OVHcloud ở Pháp và được lưu giữ trong bảy ngày. Thời gian mất dữ liệu tối đa được chấp nhận theo hợp đồng là 24 giờ.
Các quy trình khôi phục đã được ghi chép đầy đủ và kiểm tra.
Khi hợp đồng kết thúc, dữ liệu của chúng ta sẽ ra sao?
Booper xuất toàn bộ dữ liệu dưới định dạng tiêu chuẩn (xuất CSV, trích xuất cơ sở dữ liệu hoặc API), sau đó xóa dữ liệu khỏi các máy chủ và bản sao lưu của mình trong vòng 60 ngày, trừ khi có nghĩa vụ lưu trữ theo quy định pháp luật, và xác nhận điều này bằng văn bản.
Booper có sử dụng các nhà thầu phụ không?
Chỉ có một nhà thầu phụ tham gia xử lý dữ liệu của quý khách: OVHcloud, chuyên cung cấp dịch vụ lưu trữ tại Pháp. Việc phát triển nền tảng và tích hợp được thực hiện bởi các đội ngũ của Booper.
Mọi nhà thầu phụ mới đều sẽ được thông báo trước cho quý vị và quý vị có thể phản đối việc này.
Trợ lý AI của Booper có gửi dữ liệu của chúng ta cho một nhà cung cấp mô hình bên ngoài không?
Không. Mô hình ngôn ngữ của trợ lý trò chuyện được phát triển nội bộ và được lưu trữ trong môi trường của khách hàng. Không có dữ liệu nào được truyền ra khỏi môi trường này và cũng không có bất kỳ yêu cầu nào được gửi đến mô hình của bên thứ ba.
Để hiểu rõ sự khác biệt so với trí tuệ nhân tạo (AI) đa năng, hãy đọc bài viết “AI đa năng so với giải pháp định giá chuyên dụng”.
Giải pháp này có được kiểm tra xâm nhập hay không?
Đúng vậy. Nền tảng MPS đã được một công ty kiểm toán độc lập chuyên ngành tiến hành kiểm toán theo phương pháp “hộp đen” và “hộp xám”, và các lỗ hổng bảo mật nghiêm trọng và quan trọng đã được xác định đã được khắc phục và kiểm tra lại.
Booper cam kết theo hợp đồng sẽ tiến hành một cuộc kiểm tra xâm nhập độc lập trước khi đưa mỗi dịch vụ vào hoạt động.
Nên liên hệ với ai nếu có thắc mắc về GDPR hoặc an ninh?
Người phụ trách bảo vệ dữ liệu của Booper là Sofiane Belkacem, quý vị có thể liên hệ qua địa chỉ email protectiondesdonnees@booper.fr. Mọi sự cố rò rỉ dữ liệu sẽ được thông báo cho quý vị chậm nhất là 48 giờ sau khi phát hiện.
Để tìm hiểu thêm
Bạn có thắc mắc nào dành cho Giám đốc CNTT hoặc Chuyên viên Bảo vệ Dữ liệu của mình không? Hãy gửi câu hỏi đó cho chúng tôi
Hãy điền vào bảng câu hỏi về an ninh, xem lại phụ lục GDPR và gửi hồ sơ cho Trưởng bộ phận An ninh Thông tin (RSSI) của quý vị: Trưởng bộ phận An ninh của chúng tôi sẽ trả lời quý vị trong vòng hai ngày làm việc.
Quý vị cũng có thể gửi email trực tiếp cho chúng tôi theo địa chỉ protectiondesdonnees@booper.fr.