🏠 Дім
Будувати надію
Допомогти кожній родині мати свій дім — за кошти OseloHelp.com, нашої неприбуткової організації, звільненої від податків.
Безпека і ваші дані
Як TimTim.Live захищає партнерів, покупців і їхні дані. Усе на цій сторінці — це те, як усе працює сьогодні.
Ключі та вхід
- Секретний ключ ми показуємо лише один раз. Ми зберігаємо лише перемішану копію (хеш SHA-256), тож навіть ми не можемо його прочитати.
- Тестові та робочі ключі розділені. Тестові ключі бачать лише приклади подій і ніколи не торкаються справжніх грошей.
- Ключ для сайту працює лише на тих сайтах, які ви для нього вкажете.
- Ви входите за одноразовим посиланням, яке приходить на вашу пошту. Пароля партнера немає, тож красти нічого.
- Кожна людина у вашій команді має свій вхід і лише той доступ, який потрібен для її роботи.
Додаткові замки для великих партнерів
- OAuth 2.0: обміняйте ID клієнта й секрет на токен, який діє одну годину.
- Замки за адресою сервера: ключ працює лише з тих серверів, які ви вкажете.
- Замки за сертифікатом (mTLS) на api.timtim.live: ключ працює лише з вашим власним сертифікатом TLS.
Дані в дорозі
- Кожна адреса TimTim.Live використовує HTTPS. Браузерам сказано ніколи не використовувати з нами звичайний HTTP.
Повідомлення, які ми вам надсилаємо
- Кожен webhook підписаний за допомогою HMAC-SHA256 і часом надсилання. Відхиляйте все, що старше за п’ять хвилин.
- Секрети ваших webhooks зберігаються в зашифрованому вигляді (AES-256-GCM).
- Ми ніколи не надсилаємо повідомлення на приватні чи внутрішні мережеві адреси і ніколи не переходимо за перенаправленнями.
Покупці та платежі
- Ми ніколи не передаємо партнерам ім’я, пошту, адресу, телефон або дані картки покупця.
- Оплата карткою відбувається на власній захищеній сторінці оплати Stripe. Номери карток ніколи не потрапляють на сервери TimTim.Live.
- Посилання на покупку підписані, тож ніхто не може підробити посилання, щоб забрати вашу заслугу за продаж.
Де зберігаються дані
- Наш основний сервер розташований у Франції, в Lauterbourg (Contabo).
- Ці сервіси обробляють дані для нас: Stripe (платежі), Cloudflare (захист мережі), Contabo (сервери), Oracle Cloud (резервний сервер) і Resend (пошта).
Скільки ми зберігаємо дані
- Історія доставки webhooks: 30 днів.
- Завершені токени OAuth: один день, потім видаляються.
- Перевірки статусу: 90 днів.
- Використання API рахується по днях. У цих підрахунках ми ніколи не зберігаємо ваші ключі чи те, що ви надсилаєте.
Стежимо за проблемами
- Щохвилини ми перевіряємо з інтернету кожну відкриту частину. Результати видно на нашій сторінці статусу.
- Наша команда отримує сповіщення, якщо сайт перестає відповідати.
- Щоб схвалити партнера чи надіслати гроші, потрібен конкретний працівник, названий на ім’я, з таким правом. Спільного пароля для цього немає.
Чого в нас поки немає
- У нас поки немає звіту SOC 2 чи сертифіката ISO 27001.
- Жодна стороння компанія ще не перевіряла наш захист (тест на проникнення).
- У нас немає платної програми bug bounty (винагород за знайдені помилки).
- Ми оновимо цю сторінку, коли щось із цього зміниться.
Якщо щось пішло не так
- Якщо ключ міг витекти, вимкніть його у своєму кабінеті. Він одразу перестане працювати. Потім створіть новий.
- Знайшли проблему з безпекою? Напишіть на [email protected]. Кожне повідомлення читає жива людина.
- Будь ласка, не тестуйте на чужих даних і дайте нам час виправити проблему, перш ніж розповідати про неї.
