Tak. Za nasze działania związane z bezpieczeństwem odpowiada Zespół ds. Bezpieczeństwa oraz szersze Forum ds. Bezpieczeństwa, w którego skład wchodzą przedstawiciele zespołów ds. infrastruktury, badań i rozwoju, operacji oraz IT. Zespołem ds. Bezpieczeństwa kieruje dyrektor ds. bezpieczeństwa informacji (CISO), a członkowie kierownictwa ds. bezpieczeństwa mają wieloletnie doświadczenie w dziedzinie cyberbezpieczeństwa. Program bezpieczeństwa monday.com jest zgodny z obowiązującymi nas przepisami, normami i regulacjami lokalnymi oraz międzynarodowymi. Określa też środki i zabezpieczenia, które mają chronić usługę monday.com i dane naszych klientów.

Program opiera się na normie ISO 27001, jest weryfikowany co roku i obejmuje całą organizację monday.com, w tym spółki zależne, pracowników, wykonawców, podwykonawców, partnerów oraz wszystkie osoby, które tworzą, utrzymują, przechowują, uzyskują dostęp do, przetwarzają lub przesyłają informacje monday.com albo jej użytkowników w związku z usługą.

Pracownicy monday.com mają obowiązek odbyć formalne szkolenie dotyczące obowiązków związanych z bezpieczeństwem informacji i prywatnością.

Nasz model bezpieczeństwa i stosowane zabezpieczenia opierają się na normach międzynarodowych i najlepszych praktykach branżowych, takich jak ISO 27001, ISO 27018, SOC 2 i OWASP Top 10. Pełne informacje na temat bezpieczeństwa i zgodności monday.com znajdziesz w naszym Centrum zaufania.

Tak. Polityka oceny ryzyka związanego z bezpieczeństwem informacji monday.com ma na celu określenie zagrożeń, na które narażone są informacje i zasoby informacyjne, oraz wskazanie sposobów ograniczania rozpoznanych zagrożeń. W ramach certyfikacji ISO 27001 co roku przeprowadzamy ocenę ryzyka. Rozpoznajemy i analizujemy zagrożenia dla bezpieczeństwa systemu, a następnie formalnie oceniamy związane z nimi ryzyko. Proces jest udokumentowany i utrzymywany, a wszystkie działania naprawcze muszą być zatwierdzone przez kierownictwo.

Tak. Zapoznaj się z naszymi Warunkami korzystania z usługi i Aneksem dotyczącym przetwarzania danych.

monday.com jest „administratorem danych” osobowych naszych użytkowników, ponieważ wyłącznie my określamy cele przetwarzania tych danych i sposoby ich przetwarzania. Politykę prywatności monday.com znajdziesz tutaj.

Podczas tworzenia nowego konta przechowujemy dane osobowe przekazane nam przez użytkowników, takie jak imię i nazwisko, adres e-mail i numer telefonu, które są częścią profilu użytkownika. Więcej informacji o danych zbieranych przez monday.com jako administratora danych znajdziesz w naszej Polityce prywatności.

W odniesieniu do danych przekazanych na platformę monday.com, czyli na tablice, do elementów, dokumentów itp. („Dane klienta”), monday.com działa jako „podmiot przetwarzający dane”, a klient jest „administratorem danych”. To klient decyduje więc, jakie dane przekazuje na platformę monday.com.

Jako administrator danych klient decyduje, jakie dane prześle do monday.com. monday.com nie wie, jakie dane klient prześle, dlatego wszystkie Dane klienta klasyfikujemy jako poufne. Gdy zaczynasz korzystać z usługi monday.com, przechowywane przez nas dane zależą od sposobu korzystania z usługi oraz rodzaju danych (takich jak teksty i pliki), które Ty i upoważnieni użytkownicy zalogowani do usługi zdecydujecie się przekazać i przesłać do monday.com.

Spełniamy wymagania PCI-DSS jako firma, gdy klient dokonuje na naszą rzecz płatności. Platforma monday.com nie jest jednak przeznaczona do przetwarzania danych kart kredytowych, dlatego nie musi spełniać wymagań PCI-DSS.

Do obsługi płatności monday.com korzysta z usług zewnętrznego operatora płatności z certyfikatem PCI-DSS. W związku z tym płatności kartą kredytową przetwarzane przez tego operatora są obsługiwane zgodnie z wymaganiami PCI-DSS. Dane PCI-DSS nie są przechowywane w naszej usłudze.

Informacje o przesyłaniu danych PCI-DSS do usługi monday.com znajdziesz w sekcji 3.3 („Brak danych wrażliwych”) naszych Warunków korzystania z usługi.

monday.com to usługa w pełni oparta na chmurze. Nie oferujemy wersji lokalnej. Nasza usługa jest hostowana w infrastrukturze Amazon Web Services (AWS). Oferujemy hosting w regionach danych w USA, UE i Australii. Nasze centrum danych obejmuje wiele stref dostępności. Mamy też lokalizację odzyskiwania po awarii (DR) w innym regionie. Informacje o lokalizacji centrów danych i przechowywaniu danych znajdziesz w tym artykule.

W tych centrach danych stosuje się zaawansowane zabezpieczenia fizyczne i środowiskowe, które zapewniają wysoką odporność infrastruktury. Więcej informacji o stosowanych zabezpieczeniach znajdziesz na stronie AWS poświęconej bezpieczeństwu.

Klienci monday.com zachowują pełną kontrolę nad przesłanymi danymi i mogą je w dowolnym momencie okresu subskrypcji modyfikować lub usuwać za pomocą dostępnych funkcji interfejsu monday.com.

Administratorzy konta mogą zażądać usunięcia danych konta w ramach procedury zamknięcia konta, którą przeprowadza się w panelu administratora monday.com. Wszystkie dane przesłane na konto zostaną usunięte w ciągu 90 dni. Obejmuje to 30-dniowy okres, w którym można cofnąć tę operację, oraz dodatkowe 60 dni na usunięcie danych z naszych baz danych i baz danych naszych podwykonawców przetwarzania.

Administratorzy mogą też zdecydować o zachowaniu danych konta po jego zamknięciu i anulowaniu subskrypcji. W takim przypadku zgodnie z naszą obecnie obowiązującą polityką przechowujemy dane konta bez określenia konkretnego okresu. Możemy je usunąć bez powiadomienia lub po powiadomieniu.

Pamiętaj, że w dowolnym momencie możesz wyeksportować dane z konta w dwóch formatach:

• Tablice można wyeksportować do programu Excel.
• Administratorzy mogą wyeksportować wszystkie dane konta z panelu administratora do archiwum ZIP zawierającego arkusze Excela i pliki przesłane na konto (tylko administratorzy).

Po zakończeniu umowy i otrzymaniu żądania usunięcia danych wspomniani dostawcy wycofują nośniki z eksploatacji, stosując metody opisane w normie NIST 800-88.

Tak. Dostęp jest przyznawany na podstawie roli oraz zasad ograniczonego dostępu do informacji i minimalnych uprawnień, z użyciem dostawcy tożsamości (IdP). Uprawnienia użytkowników są zmieniane w ciągu 24 godzin od zmiany warunków zatrudnienia lub zakończenia pracy, a firmowy sprzęt jest zwracany. Co kwartał przeprowadzamy przegląd dostępów użytkowników, aby sprawdzić, czy przyznane uprawnienia są odpowiednie.

Wszystkie Dane klienta są klasyfikowane jako poufne i zazwyczaj nie uzyskujemy do nich dostępu w celu świadczenia naszej usługi. Gdy dostęp jest niezbędny, przyznajemy go zgodnie z zasadami ograniczonego dostępu do informacji i minimalnych uprawnień, aby świadczyć usługę oraz realizować cele opisane w sekcji 3.1 (Dane klienta) naszych Warunków korzystania z usługi.

Korzystamy ze standardowej w branży architektury wielodostępnej, która zapewnia logiczne oddzielenie danych klientów. Dane klientów są odseparowane na poziomie aplikacji za pomocą unikalnych identyfikatorów utworzonych na podstawie kilku parametrów.

monday.com stosuje następujące metody szyfrowania danych klientów:

• Dane przechowywane są szyfrowane za pomocą AES-256.
• Dane przesyłane przez sieci publiczne są szyfrowane za pomocą TLS 1.3 (co najmniej TLS 1.2).
• Do haszowania haseł używamy wieloetapowej funkcji Bcrypt. Hasła są też solone.

W cyklu tworzenia oprogramowania uwzględniamy bezpieczeństwo zgodnie z OWASP Top 10 i systemem Common Vulnerability Scoring System (CVSS). Cały kod napisany przez naszych programistów jest poddawany analizie statycznej i przeglądowi przez innych członków zespołu, aby pomóc zapewnić jego jakość i bezpieczeństwo przed wdrożeniem. Stale oceniamy i monitorujemy aplikację pod kątem luk w zabezpieczeniach, zarówno podczas wdrażania, jak i po nim.

Niezależna firma zewnętrzna przeprowadza co roku testy penetracyjne aplikacji, stosując metody ręczne i automatyczne.

Ponadto nasz wewnętrzny Zespół ds. Bezpieczeństwa Aplikacji regularnie przeprowadza audyty bezpieczeństwa i testy penetracyjne różnych funkcji, które wymagają dogłębnej znajomości naszych wewnętrznych mechanizmów i architektury bezpieczeństwa.

Dynamiczne testy bezpieczeństwa aplikacji (DAST) przeprowadzamy co najmniej raz w tygodniu.

Dynamiczne testy bezpieczeństwa aplikacji (DAST) to metoda z zakresu cyberbezpieczeństwa, która pozwala wykrywać luki w zabezpieczeniach przez testowanie działającej aplikacji z zewnątrz. Symuluje ona sposób, w jaki rzeczywisty atakujący próbowałby uzyskać do niej dostęp.

W ramach zewnętrznych i wewnętrznych testów penetracyjnych używamy narzędzi do skanowania sieci, które sprawdzają nasze serwery produkcyjne. Prowadzimy też zarządzany program Bug Bounty, w ramach którego każdy może zgłaszać wykryte problemy. Luki w zabezpieczeniach można zgłaszać na adres security@monday.com lub za pomocą formularza zgłaszania luk w serwisie HackerOne.

Tak. monday.com oferuje aplikację mobilną. Architektura i sposób komunikacji aplikacji mobilnej są takie same jak w aplikacji internetowej. Obie aplikacje mają te same ustawienia bezpieczeństwa i prywatności. Różnią się jednak w niektórych kwestiach, na przykład w zakresie pamięci podręcznej. Aplikacja mobilna zapisuje w lokalnej bazie danych urządzenia dane z tablic otwartych podczas sesji użytkownika. Dzięki temu działa szybciej przy wolnym połączeniu lub bez dostępu do internetu. Dane w pamięci podręcznej są niedostępne dzięki natywnemu mechanizmowi piaskownicy. Są one dołączone do aplikacji. Po wylogowaniu lub usunięciu aplikacji wszystkie dane z pamięci podręcznej są usuwane z urządzenia.

Tak. Mamy plan odzyskiwania po awarii (DRP), który określa sposób postępowania w przypadku awarii wpływających na środowisko produkcyjne. Obejmuje on przywracanie podstawowych funkcji usługi z naszej wyznaczonej lokalizacji odzyskiwania po awarii. Testy przeprowadzamy co najmniej dwa razy w roku. Mogą one obejmować przegląd procedur, symulację awarii lub testy poszczególnych komponentów. Plan odzyskiwania po awarii znajdziesz w naszym Centrum zaufania.

Korzystamy z architektury mikrousług, aby ograniczyć wpływ awarii jednego lub kilku komponentów na działanie systemu. Dodatkową odporność zapewnia korzystanie z wielu stref dostępności. Mamy też alternatywnych dostawców niektórych usług, od których zależymy.

Klientom korporacyjnym zapewniamy SLA na poziomie 99,9%, z zastrzeżeniem warunków określonych w SLA.

Dostępność naszej usługi możesz też monitorować na stronie statusu. Możesz tam również zapisać się na powiadomienia e-mail lub SMS.

Tak. Nasz plan reagowania na incydenty określa wewnętrzne wytyczne dotyczące wykrywania incydentów, przekazywania ich odpowiednim osobom, komunikacji wewnętrznej i zewnętrznej, prowadzenia dochodzeń, ograniczania skutków oraz analizy po incydencie.

Więcej informacji znajdziesz w sekcji 7 (Zarządzanie incydentami dotyczącymi danych i powiadomienia) naszego DPA.