Seguridad at ang Iyong Data

Paano pinananatiling ligtas ng TimTim.Live ang mga partner, mamimili at ang kanilang data. Lahat ng nasa page na ito ay kung paano ito gumagana ngayon.

Mga key at pag-sign in

Isang beses lang namin ipinapakita ang secret key. Isang ginulong kopya lang (isang SHA-256 hash) ang itinatago namin, kaya kahit kami ay hindi ito mababasa.
Magkahiwalay ang mga test key at live key. Mga sample na event lang ang nakikita ng test key at hindi ito kailanman humahawak ng totoong pera.
Gumagana lang ang website key sa mga website na inilista mo para dito.
Nagsa-sign in ka gamit ang isang beses na link na ipinapadala sa email mo. Walang partner password na mananakaw.
Bawat tao sa team mo ay may sariling login at ang access lang na kailangan ng trabaho nila.

Dagdag na lock para sa malalaking partner

OAuth 2.0: ipagpalit ang client ID at secret mo sa isang token na tumatagal nang isang oras.
Lock sa address ng server: gumagana lang ang key mula sa mga server na inilista mo.
Lock sa certificate (mTLS) sa api.timtim.live: gumagana lang ang key gamit ang sarili mong TLS certificate.

Data habang bumibiyahe

Bawat address ng TimTim.Live ay gumagamit ng HTTPS. Sinasabihan ang mga browser na huwag kailanman gumamit ng simpleng HTTP sa amin.

Mga mensaheng ipinapadala namin sa iyo

Bawat webhook ay pinipirmahan gamit ang HMAC-SHA256 at ang oras na ipinadala ito. Tanggihan ang anumang mas luma sa limang minuto.
Naka-encrypt ang pagkakatago ng mga webhook secret mo (AES-256-GCM).
Hindi kami kailanman nagpapadala ng mensahe sa mga pribado o internal na network address, at hindi kami kailanman sumusunod sa mga redirect.

Mga mamimili at bayad

Hindi kailanman namin ibinibigay sa mga partner ang pangalan, email, address, numero ng telepono o detalye ng card ng mamimili.
Ang bayad gamit ang card ay nangyayari sa sariling ligtas na checkout page ng Stripe. Hindi kailanman umaabot ang mga numero ng card sa mga server ng TimTim.Live.
Pinipirmahan ang mga buy link, kaya walang makakapeke ng link para agawin ang credit mo.

Saan nakatira ang data

Nasa Estados Unidos ang mga server namin, sa Ashburn, Virginia (Oracle Cloud).
Ang mga serbisyong ito ang humahawak ng data para sa amin: Stripe (bayad), Cloudflare (proteksyon ng network), Oracle Cloud (mga server) at Resend (email).

Gaano katagal namin itinatago ang mga bagay

History ng paghahatid ng webhook: 30 araw.
Mga natapos na OAuth token: isang araw, tapos binubura.
Mga status check: 90 araw.
Binibilang ang paggamit ng API kada araw. Hindi kailanman namin itinatago ang mga key mo o ang ipinapadala mo sa mga bilang na iyon.

Pagbabantay sa mga problema

Sinusuri namin ang bawat pampublikong bahagi bawat minuto mula sa internet. Makikita mo ang mga resulta sa status page namin.
Nakakatanggap ng alert ang team namin kapag tumigil sa pagsagot ang site.
Ang pag-apruba ng mga partner at pagpapadala ng pera ay nangangailangan ng isang staff na may pangalan at may ganoong pahintulot. Walang shared password para sa mga ito.

Ang wala pa kami

Wala pa kaming SOC 2 report o ISO 27001 certificate.
Wala pang kompanya sa labas na sumubok sa seguridad namin (isang penetration test).
Wala kaming bayad na bug bounty program.
Ia-update namin ang page na ito kapag may nagbago sa alinman diyan.

Kung may magkaproblema

Kung baka na-leak ang isang key, i-off ito sa dashboard mo. Titigil agad itong gumana. Pagkatapos ay gumawa ng bago.
May nakitang problema sa seguridad? Mag-email sa [email protected]. Isang totoong tao ang nagbabasa ng bawat report.
Pakiusap, huwag mag-test sa data ng ibang tao, at bigyan kami ng oras na ayusin ang problema bago mo ito ibahagi.

Status Mga Tuntunin ng Partner [email protected]