Bezpieczeństwo danych w Altera

Altera przetwarza dane finansowe, księgowe i dokumentowe klientów w środowisku chmurowym zaprojektowanym z myślą o poufności, dostępności i kontroli dostępu.

Stosujemy separację danych per firma, granularne uprawnienia użytkowników, kontrolowany dostęp administracyjny, kopie zapasowe, monitoring techniczny, krótkoterminową diagnostykę błędów oraz procedury reagowania na incydenty.

Najważniejsze informacje

Główne środowisko: AWS, region Frankfurt

Region DR: AWS Stockholm, eu-north-1

RPO: do 4 godzin

RTO: do 24 godzin

Dostęp administracyjny: ograniczony do upoważnionych osób

Dostęp serwisowy do danych klienta: tylko w kontekście zgłoszenia, czasowo, standardowo do 24 godzin

Logowanie użytkowników: AWS Cognito, opcje SSO Google/Apple/Microsoft

Uprawnienia: role i uprawnienia per firma

Monitoring: CloudWatch, Sentry, Lumigo

Status usługi: https://altera-app.statuspage.io/

Kontakt bezpieczeństwa: security@altera.co

Hosting i infrastruktura

Produkcja Altera działa w infrastrukturze AWS. Dane klientów są przechowywane i przetwarzane przede wszystkim w regionie Frankfurt. Dla ciągłości działania utrzymujemy mechanizmy kopii zapasowych i replikacji danych do innego regionu AWS.

Kontrola dostępu

Dostęp do systemów produkcyjnych Altera jest ograniczony do upoważnionych osób. Dostęp administracyjny jest zabezpieczony SSO/MFA i nadawany zgodnie z zasadą minimalnych uprawnień.

Uprawnienia użytkowników

Klient samodzielnie zarządza użytkownikami i uprawnieniami w ramach swojej firmy. Użytkownik może mieć dostęp do wielu firm, ale uprawnienia są nadawane osobno w kontekście każdej firmy.

Dostęp serwisowy do danych klienta

W przypadku zgłoszenia serwisowego Altera może nadać czasowy dostęp do kontekstu firmy klienta w celu odtworzenia problemu i jego rozwiązania. Taki dostęp jest powiązany ze zgłoszeniem, ograniczony czasowo, standardowo do 24 godzin, oraz logowany.

Monitoring i diagnostyka

Altera korzysta z monitoringu technicznego i krótkoterminowej diagnostyki request/response w celu wykrywania błędów, analizy incydentów, zapewnienia stabilności usługi i obsługi zgłoszeń klientów. Dane diagnostyczne w Lumigo są przechowywane standardowo przez 14 dni. Dostęp do danych produkcyjnych w Lumigo jest ograniczony do upoważnionej osoby. Sekrety, tokeny, hasła i dane uwierzytelniające podlegają maskowaniu.

Backup i ciągłość działania

Altera utrzymuje kopie zapasowe baz danych oraz kopie i replikację plików. Deklarowane parametry: RPO do 4 godzin, RTO do 24 godzin, retencja backupów bazy do 30 dni, retencja backupów plików po usunięciu z systemu do 60 dni, testy odtworzeniowe kwartalnie.

AI/OCR i automatyczne przetwarzanie dokumentów

Altera wykorzystuje modele AI/LLM do automatycznego odczytu, klasyfikacji i uzupełniania danych z dokumentów. Modele OpenAI i Google AI/Gemini są używane alternatywnie, zależnie od procesu i konfiguracji. Wyniki automatycznego przetwarzania są prezentowane użytkownikowi do weryfikacji.

Open Banking

Moduł Open Banking jest aktywowany osobno i korzysta z partnera EasyCheck. Altera nie inicjuje płatności z rachunku klienta. Funkcje płatnicze w Altera obejmują przygotowanie paczek przelewów lub kodów QR płatności. Dane rachunków, sald i historii transakcji są przetwarzane w zakresie potrzebnym do działania modułu Open Banking.

Podprocesorzy

Aktualna lista podprocesorów i dostawców technicznych jest dostępna na stronie https://altera.co/data-processing .

Zgłaszanie podatności

Zgłoszenia dotyczące bezpieczeństwa można kierować na adres security@altera.co. Zgłoszenie powinno zawierać opis podatności, kroki odtworzenia, potencjalny wpływ, dane kontaktowe zgłaszającego oraz informację, czy podatność została już upubliczniona.