Säkerhet och incidenthantering

Skyddsåtgärder

Dataminimering: kunduppgifter passerar bara igenom till Shopify-ordern och lagras inte hos oss.
Kryptering: all trafik går över TLS. Databasen och dess säkerhetskopior är krypterade i vila. Marknadsplatsnycklar krypteras dessutom med AES-256-GCM.
Säkerhetskopior: databasen säkerhetskopieras kontinuerligt med återställning till valfri tidpunkt (point-in-time recovery).
Åtkomst: endast behörig personal, med unika konton, lösenordshanterare och tvåstegsverifiering på alla driftkonton (Shopify, hosting, kodförråd).
Loggning: händelser som rör ordrar, nycklar och GDPR-förfrågningar loggas och sparas i 12 månader.
Test och produktion: utveckling och test sker i Shopifys utvecklingsbutiker med testdata. Riktiga kunduppgifter kopieras aldrig till test.
Gallring: orderrader raderas efter 12 månader och all butiksdata inom 48 timmar efter avinstallation.

Upptäcka och begränsa: vid misstänkt incident spärras berörda nycklar och konton direkt (rotera hemligheter, återkalla token, stäng av synk).
Bedöma: inom 24 timmar fastställs vilka butiker och vilka uppgifter som berörs, och risken för de registrerade.
Meddela: berörda handlare informeras utan onödigt dröjsmål och senast inom 72 timmar, med vad som hänt, vilka uppgifter som berörs och vilka åtgärder som vidtagits. Shopify meddelas enligt partneravtalet. Vid behov anmäls incidenten till Integritetsskyddsmyndigheten (IMY).
Åtgärda: orsaken rättas, säkerhetskopia återställs vid behov och åtgärden verifieras.
Dokumentera och lära: varje incident dokumenteras med tidslinje, orsak och förbättringar.

Mejla info@torgly.com. Vi svarar inom en arbetsdag.