🏠 Dom
Budować nadzieję
Pomóż, by każda rodzina miała swój dom — finansowane przez OseloHelp.com, naszą zwolnioną z podatku organizację non-profit.
Bezpieczeństwo i Twoje dane
Jak TimTim.Live chroni partnerów, kupujących i ich dane. Wszystko na tej stronie opisuje, jak to działa dziś.
Klucze i logowanie
- Tajny klucz pokazujemy tylko raz. Trzymamy tylko jego pomieszaną kopię (skrót SHA-256), więc nawet my nie możemy go odczytać.
- Klucze testowe i klucze live są osobne. Klucze testowe widzą tylko przykładowe wydarzenia i nigdy nie dotykają prawdziwych pieniędzy.
- Klucz do strony działa tylko na stronach, które dla niego wpiszesz.
- Logujesz się jednorazowym linkiem wysłanym na Twój e-mail. Nie ma hasła partnera, które można by ukraść.
- Każda osoba w Twoim zespole ma własny login i tylko taki dostęp, jakiego potrzebuje w swojej pracy.
Dodatkowe zamki dla dużych partnerów
- OAuth 2.0: wymień swój identyfikator klienta i sekret na token ważny jedną godzinę.
- Zamki na adres serwera: klucz działa tylko z serwerów, które wpiszesz.
- Zamki na certyfikat (mTLS) w api.timtim.live: klucz działa tylko z Twoim własnym certyfikatem TLS.
Dane w drodze
- Każdy adres TimTim.Live używa HTTPS. Przeglądarki dostają polecenie, by u nas nigdy nie używać zwykłego HTTP.
Wiadomości, które Ci wysyłamy
- Każdy webhook jest podpisany HMAC-SHA256 i czasem wysłania. Odrzucaj wszystko starsze niż pięć minut.
- Twoje sekrety webhooków są przechowywane w formie zaszyfrowanej (AES-256-GCM).
- Nigdy nie wysyłamy wiadomości na prywatne ani wewnętrzne adresy sieciowe i nigdy nie idziemy za przekierowaniami.
Kupujący i płatności
- Nigdy nie dajemy partnerom imienia, e-maila, adresu, numeru telefonu ani danych karty kupującego.
- Płatności kartą odbywają się na własnej bezpiecznej stronie płatności Stripe. Numery kart nigdy nie trafiają na serwery TimTim.Live.
- Linki zakupu są podpisane, więc nikt nie podrobi linku, żeby zabrać Ci zasługę za sprzedaż.
Gdzie są dane
- Nasze serwery są w Stanach Zjednoczonych, w Ashburn w Wirginii (Oracle Cloud).
- Te usługi przetwarzają dla nas dane: Stripe (płatności), Cloudflare (ochrona sieci), Oracle Cloud (serwery) i Resend (e-mail).
Jak długo coś przechowujemy
- Historia dostarczania webhooków: 30 dni.
- Zakończone tokeny OAuth: jeden dzień, potem są usuwane.
- Sprawdzenia statusu: 90 dni.
- Użycie API liczymy dziennie. W tych licznikach nigdy nie zapisujemy Twoich kluczy ani tego, co wysyłasz.
Pilnujemy problemów
- Co minutę sprawdzamy z internetu każdą publiczną część. Wyniki zobaczysz na naszej stronie statusu.
- Nasz zespół dostaje alert, jeśli strona przestanie odpowiadać.
- Zatwierdzanie partnerów i wysyłanie pieniędzy wymaga pracownika wskazanego z imienia i nazwiska, który ma takie uprawnienie. Nie ma do tego wspólnego hasła.
Czego jeszcze nie mamy
- Nie mamy jeszcze raportu SOC 2 ani certyfikatu ISO 27001.
- Żadna firma z zewnątrz nie testowała jeszcze naszych zabezpieczeń (test penetracyjny).
- Nie prowadzimy płatnego programu bug bounty.
- Zaktualizujemy tę stronę, gdy cokolwiek z tego się zmieni.
Jeśli coś pójdzie nie tak
- Jeśli klucz mógł wyciec, wyłącz go w swoim panelu. Od razu przestaje działać. Potem utwórz nowy.
- Znalazłeś problem z bezpieczeństwem? Napisz na [email protected]. Każde zgłoszenie czyta prawdziwy człowiek.
- Prosimy, nie testuj na danych innych osób i daj nam czas na naprawę problemu, zanim o nim opowiesz.
