🏠 Domov
Budovat naději
Pomozte každé rodině mít domov — financováno přes OseloHelp.com, naši neziskovou organizaci osvobozenou od daní.
Zabezpečení a vaše data
Jak TimTim.Live chrání partnery, kupující a jejich data. Všechno na této stránce popisuje, jak to funguje dnes.
Klíče a přihlášení
- Tajný klíč ukážeme jen jednou. Uchováváme jen zamíchanou kopii (hash SHA-256), takže ho nepřečteme ani my.
- Testovací klíče a ostré klíče jsou oddělené. Testovací klíče vidí jen ukázkové akce a nikdy se nedotknou skutečných peněz.
- Klíč pro web funguje jen na webech, které mu zapíšete do seznamu.
- Přihlašujete se jednorázovým odkazem, který přijde na váš e-mail. Neexistuje žádné partnerské heslo, které by šlo ukrást.
- Každý člověk ve vašem týmu má vlastní přihlášení a jen ten přístup, který potřebuje ke své práci.
Zámky navíc pro velké partnery
- OAuth 2.0: vyměňte ID klienta a tajný klíč za token, který platí jednu hodinu.
- Zámek na adresu serveru: klíč funguje jen ze serverů, které zapíšete do seznamu.
- Zámek na certifikát (mTLS) na api.timtim.live: klíč funguje jen s vaším vlastním certifikátem TLS.
Data na cestě
- Každá adresa TimTim.Live používá HTTPS. Prohlížeče mají pokyn, aby s námi nikdy nepoužívaly obyčejné HTTP.
Zprávy, které vám posíláme
- Každý webhook je podepsaný pomocí HMAC-SHA256 a časem odeslání. Odmítněte všechno, co je starší než pět minut.
- Tajné klíče vašich webhooků ukládáme zašifrované (AES-256-GCM).
- Nikdy neposíláme zprávy na soukromé ani vnitřní síťové adresy a nikdy nepokračujeme po přesměrování.
Kupující a platby
- Partnerům nikdy nedáváme jméno, e-mail, adresu, telefonní číslo ani údaje o kartě kupujícího.
- Platby kartou probíhají na vlastní zabezpečené platební stránce Stripe. Čísla karet se nikdy nedostanou na servery TimTim.Live.
- Odkazy na nákup jsou podepsané, takže nikdo nemůže vyrobit falešný odkaz a připsat si vaši zásluhu.
Kde jsou data uložená
- Naše servery jsou ve Spojených státech, ve městě Ashburn ve Virginii (Oracle Cloud).
- Tyto služby pro nás zpracovávají data: Stripe (platby), Cloudflare (ochrana sítě), Oracle Cloud (servery) a Resend (e-mail).
Jak dlouho věci uchováváme
- Historie doručení webhooků: 30 dní.
- Ukončené tokeny OAuth: jeden den, pak se smažou.
- Kontroly stavu: 90 dní.
- Používání API počítáme po dnech. V těchto počtech nikdy neukládáme vaše klíče ani to, co posíláte.
Hlídáme problémy
- Každou minutu z internetu kontrolujeme každou veřejnou část. Výsledky uvidíte na naší stránce stavu.
- Náš tým dostane upozornění, když web přestane odpovídat.
- Schvalovat partnery a posílat peníze může jen jmenovitě určený člen týmu s tímto oprávněním. Neexistuje na to žádné sdílené heslo.
Co zatím nemáme
- Zatím nemáme zprávu SOC 2 ani certifikát ISO 27001.
- Naše zabezpečení zatím neotestovala žádná firma zvenku (penetrační test).
- Nemáme placený program odměn za nalezené chyby (bug bounty).
- Až se cokoli z toho změní, tuto stránku aktualizujeme.
Když se něco pokazí
- Pokud mohl klíč uniknout, vypněte ho ve svém přehledu. Okamžitě přestane fungovat. Pak si vytvořte nový.
- Našli jste bezpečnostní problém? Napište na [email protected]. Každé hlášení čte skutečný člověk.
- Prosím, netestujte na datech jiných lidí a dejte nám čas problém opravit, než o něm řeknete ostatním.
