Keamanan

Yang tidak kami klaim

Kami tidak memiliki sertifikasi SOC 2, ISO 27001, atau PCI, dan belum menyelesaikan uji penetrasi independen. Kami akan memublikasikan laporannya di sini bila sudah ada. Anggap seluruh isi halaman ini sebagai deskripsi praktik kami saat ini, bukan verifikasi pihak ketiga.

Akun dan akses

• Masuk dengan email dan kata sandi, dengan pengecekan kata sandi terhadap basis data kebocoran.
• Autentikasi dua faktor via SMS opsional untuk akun staf.
• Akses berbasis peran: staf hanya melihat yang diperlukan perannya.
• Akses dukungan oleh tim kami dibatasi pada administrator bernama dan dicatat.

Isolasi data

Catatan setiap spa ditandai milik spa tersebut dan ditegakkan di tingkat basis data, sehingga permintaan yang diautentikasi sebagai satu spa tidak dapat membaca baris spa lain sekalipun kode aplikasi keliru. Ini satu kontrol di antara beberapa, bukan program keamanan yang berdiri sendiri.

Enkripsi

• Semua lalu lintas disajikan lewat HTTPS/TLS.
• Data saat disimpan dienkripsi oleh penyedia hosting.
• Kredensial penyedia milik spa (email, DNS, kunci pengiriman) dienkripsi dengan kunci terpisah sebelum ditulis ke basis data.
• Detail kartu tidak pernah kami simpan; ditangani penyedia pembayaran.

Cadangan dan pemulihan

• Cadangan basis data harian otomatis dengan pemulihan titik waktu, disimpan hingga 35 hari.
• Target titik pemulihan: 24 jam. Target waktu pemulihan: 8 jam.
• Pemulihan diuji secara berkala; tanggal uji pemulihan terakhir akan dipublikasikan di sini.

Penanganan insiden

Dugaan insiden ditangani pada hari kerja yang sama. Spa terdampak diberi tahu tanpa penundaan yang tidak wajar dan paling lambat 72 jam setelah konfirmasi. Laporkan hal mencurigakan ke security@bestbalispas.com.

Melaporkan kerentanan

Kirim email ke security@bestbalispas.com dengan langkah reproduksi. Kami membalas dalam 3 hari kerja. Kami tidak akan menempuh jalur hukum terhadap riset beritikad baik yang menghindari pelanggaran privasi, perusakan data, dan gangguan layanan.