Balík pre bezpečnosť a nákup

Pre bezpečnostné, právne a nákupné tímy, ktoré posudzujú Dazr Identity. Centrum dôvery vysvetľuje to isté vašim koncovým používateľom, jednoduchými slovami.

V skratke

Bezpečnostné opatrenia

• Šifrovanie. Všetka prevádzka beží cez HTTPS, s HSTS preload pre dazr.eu a jeho subdomény. Účty a doklady sú v pokoji šifrované algoritmom AES-256-GCM na aplikačnej vrstve.
• Žiadne heslá. Ľudia sa prihlasujú prístupovým kľúčom, jednorazovým kódom z e-mailu (platí 10 minút, 5 pokusov) alebo cez Google či Microsoft.
• Pravidlo organizácie. Vlastníci môžu vyžadovať, aby sa každý člen organizácie prihlasoval prístupovým kľúčom.
• Iné ID pre každú organizáciu. Každá organizácia dostane pre osobu vlastné náhodné ID, takže nesúvisiace organizácie nemôžu prepojiť svojich používateľov.
• Tokeny. Autorizačné kódy platia 60 sekúnd, raz, a sú viazané na klienta, URI presmerovania a PKCE challenge. Prístupové a ID tokeny platia 10 minút. Obnovovacie tokeny rotujú a opätovné použitie starého zruší celé prihlásenie.
• Podpísané webhooky. HMAC-SHA256 s časovou pečiatkou, odosielané len na adresy HTTPS vo verejných sieťach.
• Podpísané správy, ktoré zostávajú overiteľné. Správy o overení sú podpísané zverejnenými kľúčmi. Vyradené podpisové kľúče uchovávame, takže správu podpísanú pred výmenou kľúča možno overiť aj naďalej.
• Auditné záznamy. Správcovia organizácie vidia, kedy sa členovia prihlásili, a každé stiahnutie podkladov overenia. Každé otvorenie fotografií z overenia firmy osobou, ktorá overenie posudzuje, sa zaznamená.
• Lehoty na vymazanie. Kópie dokladov a fotky z overenia firmy sa mažú 30 dní po rozhodnutí; výsledky overenia uchovávame 5 rokov od skončenia overenia.
• Zodpovedné zverejňovanie. Zraniteľnosti hláste na security@dazr.eu podľa našich zásad hlásenia zraniteľností.

Kto zodpovedá za ktoré údaje

Dazr je prevádzkovateľom účtu Dazr Identity: profilu, spôsobov prihlásenia, relácií a dokladov o overení. Keď sa osoba prihlási do vašej aplikácie, požiada Dazr, aby vašej aplikácii poskytol údaje zobrazené na obrazovke súhlasu. Od tej chvíle o týchto údajoch rozhoduje vaša organizácia, a je teda sama prevádzkovateľom.

Prečo žiadna sprostredkovateľská zmluva? Sprostredkovateľ koná podľa pokynov svojho zákazníka. Dazr nie: vedie účet pre danú osobu podľa vlastných zásad ochrany osobných údajov a uchováva doklady o overení z vlastných právnych dôvodov. Ani vaša aplikácia nespracúva údaje pre Dazr. Zmluva podľa článku 28 GDPR by opisovala vzťah, ktorý neexistuje, a preto Podmienky pre vývojárov stanovujú pravidlá medzi dvoma prevádzkovateľmi: obmedzenie účelu, bezpečnosť, oznamovanie porušení v oboch smeroch a žiadosti o vymazanie.

Správy o overení fungujú rovnako. Dazr uchováva doklady a zdieľa správu s aplikáciami, s ktorými bola organizácia zdieľaná, na ich audity. Každá aplikácia potom uchováva svoju kópiu podľa vlastných pravidiel.

Voliteľný dodatok o poskytovaní údajov

Niektorí kupujúci chcú mať spoluprácu dvoch prevádzkovateľov v samostatnom podpísanom dokumente. Tento text je na to pripravený. Napíšte na privacy@dazr.eu s obchodným menom svojej organizácie a pošleme vám ho na podpis.

1. Strany. Dazr, Viale Cesare Poggi 1, 15061 Arquata Scrivia (AL), Taliansko, IČ DPH IT 02801250065, a organizácia uvedená v podpisovej časti (Príjemca).
2. Poskytované údaje. Údaje, ktoré osoba schváli na obrazovke súhlasu Dazr Identity pre aplikácie Príjemcu: párový identifikátor a, ak ich schváli, meno, jazyk, e-mailová adresa, adresa a organizácie s rolou a stavom overenia. Pri organizáciách zdieľaných s týmito aplikáciami aj správy o overení a súbory s dokladmi.
3. Účel. Prihlasovanie ľudí do aplikácií Príjemcu, vedenie ich účtov a účel zobrazený na obrazovke súhlasu. Pri správach o overení: starostlivosť vo vzťahu ku klientom a audity Príjemcu.
4. Roly. Každá strana je vo vzťahu k údajom, ktoré má, samostatným prevádzkovateľom v zmysle čl. 4 bodu 7 GDPR. Žiadna strana nespracúva osobné údaje v mene druhej a strany nie sú spoločnými prevádzkovateľmi.
5. Právny základ a transparentnosť. Dazr poskytuje údaje na žiadosť osoby (čl. 6 ods. 1 písm. b) GDPR) a uvádza to na obrazovke súhlasu. Príjemca má vlastný právny základ a vlastné zásady ochrany osobných údajov, na ktoré odkazuje obrazovka súhlasu.
6. Bezpečnosť. Každá strana chráni údaje vhodnými technickými a organizačnými opatreniami podľa čl. 32 GDPR. Príjemca uchováva client secrets len na svojich serveroch.
7. Porušenia. Každá strana informuje druhú bez zbytočného odkladu a v každom prípade do 72 hodín od chvíle, keď sa o ňom dozvie, o porušení ochrany osobných údajov, ktoré sa týka poskytovaných údajov, a strany spolupracujú pri oznámení úradom a dotknutým osobám, ak to vyžaduje zákon.
8. Žiadosti osôb. Každá strana vybavuje žiadosti týkajúce sa údajov, ktoré má. Strana, ktorá dostane žiadosť o údaje, ktoré má druhá strana, ju bez zbytočného odkladu postúpi ďalej.
9. Prenosy. Strana, ktorá prenáša poskytované údaje mimo Európskeho hospodárskeho priestoru, tak robí len podľa kapitoly V GDPR.
10. Zodpovednosť. Každá strana zodpovedá za vlastné spracúvanie, ako stanovujú Podmienky pre vývojárov.
11. Trvanie. Tento dodatok platí, kým má Príjemca aplikáciu registrovanú v Dazr Identity, a kým niektorá zo strán ešte uchováva poskytované údaje.
12. Právo. Platí talianske právo. Spory rozhodujú súdy v Taliansku.

Oznamovanie porušení

• Od Dazr k vám. Ak porušenie ochrany osobných údajov v Dazr zasiahne ľudí, ktorí používajú vašu aplikáciu, údaje, ktoré sme vašej aplikácii poskytli, alebo prístupové údaje vašej aplikácie, informujeme administrátorov vašej organizácie bez zbytočného odkladu a v každom prípade do 72 hodín od chvíle, keď sa o ňom dozvieme (Podmienky pre vývojárov, oddiel 9).
• Od vás k Dazr. Ak porušenie zasiahne údaje, ktoré ste dostali cez Dazr Identity, alebo vaše client secrets či tokeny, oznámte nám ho na security@dazr.eu bez zbytočného odkladu a v každom prípade do 72 hodín od chvíle, keď sa o ňom dozviete.

Zodpovednosť

Zodpovednosť upravuje oddiel 15 Podmienok pre vývojárov. Služba sa poskytuje „tak, ako je“. V maximálnom rozsahu, ktorý zákon dovoľuje, Dazr nezodpovedá za nepriame, náhodné, osobitné ani následné škody ani za ušlý zisk. Každá strana zodpovedá voči ľuďom a úradom za vlastné spracúvanie. Nič neobmedzuje zodpovednosť za podvod, hrubú nedbanlivosť, úmysel ani za čokoľvek, čo nemožno podľa platného práva obmedziť. Kompenzácie za výpadky (service credits) dnes neponúkame.

Pre online trhoviská

Online trhoviská v EÚ musia vedieť, kto sú ich podnikajúci predajcovia, skôr než môžu čokoľvek ponúkať. Článok 30 nariadenia o digitálnych službách to nazýva vysledovateľnosťou obchodníkov. Dazr Identity overí firmu a osobu za predajným účtom už pri registrácii.

Váš poskytovateľ platieb kontroluje ľudí, ktorým vypláca peniaze. Dazr Identity pokrýva krok predtým, keď sa predajca registruje, a doklady zostávajú u vás, nie u poskytovateľa platieb.

Článok 30 požaduje viac než údaje o firme, napríklad kontaktné údaje a údaje o platobnom účte. Dazr pokrýva firmu a toho, kto za ňu koná; zvyšok zhromažďujete vy a rozhodujete, či spĺňa vaše povinnosti.

Porovnanie Dazr Identity

Poctivé porovnanie, aby ste sa mohli dobre rozhodnúť. Dazr Identity je mladé: niekoľko vecí robí dobre a niektoré zatiaľ nie.

V porovnaní s Auth0 a Clerk

Auth0 a Clerk sú prihlasovacie platformy pre vývojárov s mnohými SDK, hotovými prihlasovacími komponentmi a funkciami pre veľké firmy.

• Zvoľte Dazr Identity, ak chcete, aby účty vašich používateľov viedla európska firma, ak potrebujete vedieť, že firmy za vašimi používateľmi sú skutočné, s dokladmi ku každej, alebo ak majú mať vaši používatelia jeden účet naprieč aplikáciami, s iným ID pre každú firmu.
• Zvoľte Auth0 alebo Clerk, ak vaši veľkí zákazníci potrebujú SAML na vlastné prihlásenie alebo SCIM na automatické zakladanie a rušenie účtov, ak chcete hotové prihlasovacie komponenty pre mnoho platforiem, alebo ak chcete vlastnú databázu používateľov so svojou značkou na každej obrazovke.

V porovnaní so Stripe Identity a Sumsub

Stripe Identity a Sumsub sú služby na overovanie totožnosti: kontrolujú doklady totožnosti a selfie a Sumsub kontroluje aj firmy.

• Zvoľte Dazr Identity, ak má byť overenie súčasťou prihlásenia, vykonané raz firmou a znova použité každou aplikáciou, ktorú si zvolí, ak chcete doklady založené na úradných registroch a kvalifikovaných podpisoch EÚ v podpísanej správe, alebo ak chcete pevnú cenu za firmu.
• Zvoľte Stripe Identity alebo Sumsub, ak overujete jednotlivých spotrebiteľov namiesto firiem, ak potrebujete konečných užívateľov výhod, ktorých Dazr Identity nekontroluje, ak potrebujete viac krajín alebo typov dokladov než 32 krajín, ktoré Dazr pokrýva, alebo ak chcete poskytovateľa, ktorý za vás vykoná regulované kontroly. Dazr dodáva doklady; rozhodnutia zostávajú na vás.

V porovnaní s Microsoft Entra External ID a Okta

Entra External ID a Okta sú podnikové platformy identity s rozsiahlymi nástrojmi na pravidlá a mnohými integráciami.

• Zvoľte Dazr Identity, ak chcete štandardného poskytovateľa OpenID Connect bez podnikovej zmluvy, so zabudovaným overovaním organizácií v úradných registroch, od európskej firmy.
• Zvoľte Entra External ID alebo Okta, ak potrebujete SAML, SCIM, podmienený prístup alebo podrobné pravidlá pre skupiny používateľov, ak vaši zamestnanci už používajú Microsoft 365 alebo Okta a chcete jednu platformu, alebo ak potrebujete zmluvnú záruku dostupnosti.

Čo Dazr Identity zatiaľ nemá

• SAML
• Provisioning SCIM
• Back-channel logout
• Záruka dostupnosti (SLA)
• Certifikácie ako ISO 27001 alebo SOC 2
• Kontrola konečných užívateľov výhod

Dokumenty na posúdenie

• Podmienky pre vývojárov Dazr Identity
• Zásady ochrany osobných údajov a podmienky používania
• Centrum dôvery s ďalšími sprostredkovateľmi
• Vzorové správy o overení a pokrytie podľa krajín
• Dokumentácia pre vývojárov
• Zásady hlásenia zraniteľností a security.txt

Kontakt

• Bezpečnostné dotazníky a audity: security@dazr.eu
• Zmluvy a dodatok: privacy@dazr.eu
• Všetko ostatné: hello@dazr.eu