ISO/IEC 27001:2022
ShiftOneZero d.o.o. uspostavio je i primjenjuje sustav upravljanja informacijskom sigurnošću (ISMS) u skladu s normom ISO/IEC 27001:2022. Certifikat je izdala akreditirana certifikacijska kuća ITC International Testing & Certification (član IAF MLA, akreditacija IAS).
Certifikat ISMS 0826 002558
Autentičnost certifikata može se provjeriti na www.itc-italia.net ili QR kodom na samom certifikatu.
Hosting i infrastruktura
- EU podatkovni centri. Klupske platforme (ClubPulse, GNK Dinamo web, aplikacija i webshop) rade na Microsoft Azureu u regiji unutar EU, s upravljanim PostgreSQL bazama u replikacijskoj konfiguraciji.
- Šifrirani promet. Sav promet ide preko HTTPS-a (TLS). Aplikacije nikad nisu izravno izložene internetu — dostupne su samo kroz reverse proxy i CDN zaštitu.
- Šifrirana pohrana. Upravljane baze i pohrana u oblaku šifrirani su u mirovanju.
- Sigurnosne kopije. Produkcijske baze imaju automatske sigurnosne kopije i povrat na točku u vremenu.
- Odvojena okruženja. Razvoj, testiranje i produkcija su odvojeni. Analize i razvoj rade nad anonimiziranim kopijama podataka, nikad nad živom bazom.
Pristup i ovlasti
- Najmanje potrebne ovlasti. Svaki korisnik — i svaka integracija — ima samo onu ulogu koja mu treba (npr. administrator, voditelj, marketing, skener na ulazu).
- Produkcija pod nadzorom. Pristup produkcijskim bazama je ograničen, integracije su samo za čitanje, a svaki izvanredni pristup traži izričito odobrenje.
- Revizijski trag. Radnje osoblja u administracijama bilježe se u nepromjenjiv zapis — tko je, što i kada promijenio.
- AI alati s ogradama. Gdje koristimo AI agente, oni rade s ograničenim ovlastima i nemaju pristup osobnim podacima.
Siguran razvoj
- Tajne (ključevi, lozinke, tokeni) nikad nisu u izvornom kodu — drže se u zaštićenoj konfiguraciji okruženja, a za produkciju se generiraju novi ključevi.
- Ovisnosti s poznatim sigurnosnim propustima ruše build — ne mogu tiho ući u produkciju.
- Webhookovi su potpisani (HMAC-SHA256), vanjski pozivi idu samo prema odobrenim adresama, a javni API-ji imaju ograničenje broja zahtjeva.
- Osobni podaci ne smiju završiti u logovima, ticketima ni commitovima.
- Opsežni automatski testovi i pregled koda prije svake isporuke.
GDPR ugrađen u proizvode
Privatnost ne rješavamo dokumentom na kraju projekta, nego funkcijama u samom proizvodu:
| Načelo | Kako to izgleda u praksi |
|---|---|
| Pravo na pristup (čl. 15) | Izvoz svih podataka o osobi u strojno čitljivom obliku, jednim klikom iz administracije. |
| Pravo na brisanje (čl. 17) | Brisanje anonimizacijom koje se ne može izvršiti „napola“ i sigurno je za ponavljanje. |
| Ograničenje pohrane | Automatsko dnevno čišćenje prema definiranim rokovima čuvanja, uz obvezni probni prolaz i potvrdu. |
| Smanjenje količine podataka | Prikupljamo samo ono što je potrebno. Osjetljivi identifikatori (npr. OIB) gdje je moguće se ne pohranjuju, nego se čuva samo jednosmjerni hash. |
| Privola | Privole i prihvaćena pravila bilježe se s verzijom i vremenom, npr. za svaku nagradnu igru zasebno. |
| Nema neželjenih poruka | Sustavi koji ne smiju kontaktirati korisnike tehnički to ni ne mogu — mogućnost slanja nije ni ugrađena. |
Mi kao izvršitelj obrade
Kada razvijamo i održavamo sustave za klijente (npr. sportski klub, festival ili noćni klub), klijent je voditelj obrade osobnih podataka svojih korisnika, a ShiftOneZero je izvršitelj obrade u smislu čl. 28 GDPR-a. Obradu provodimo isključivo po dokumentiranim uputama klijenta, na temelju ugovora o obradi podataka (DPA), te:
- osiguravamo da su osobe s pristupom obvezane povjerljivošću;
- provodimo tehničke i organizacijske mjere iz ISO/IEC 27001 sustava;
- podizvršitelje (npr. pružatelje oblaka) koristimo uz suglasnost klijenta i iste obveze zaštite;
- pomažemo klijentu u ispunjavanju prava ispitanika i procjenama učinka;
- po završetku suradnje podatke vraćamo ili brišemo, prema izboru klijenta.
Za obradu podataka korisnika određene aplikacije (npr. navijačke aplikacije ili webshopa) mjerodavna je politika privatnosti tog klijenta.
Upravljanje incidentima
Sigurnosni incidenti prijavljuju se, bilježe i obrađuju prema definiranom postupku ISMS-a. U slučaju povrede osobnih podataka bez nepotrebnog odgađanja obavještavamo voditelja obrade, kako bi on mogao ispuniti obvezu prijave nadzornom tijelu u roku od 72 sata, a po potrebi i obavijestiti pogođene osobe.
Prijava ranjivosti
Ako ste pronašli sigurnosni propust u nekom od naših sustava, javite nam se na info@shiftonezero.com s naslovom „Sigurnost“. Molimo da propust ne objavljujete dok ga ne otklonimo — odgovaramo brzo i zahvalni smo na odgovornom otkrivanju.