Usa Bookafy con confianza y únete a más de 15.000 empresas que confían en Bookafy en todo el mundo.
Cuando se conecta a una aplicación de 3a parte (icloud, google cal, outlook, exchange) Bookafy sólo importa la línea de asunto del calendario, la fecha, hora y duración con el fin de bloquear la hora en Bookafy para evitar reservas dobles. No importamos, almacenamos ni guardamos ninguna información personal o identificable.
Bookafy no tiene acceso a ninguna información dentro de su calendario o cuenta de correo electrónico conectado, incluidos contactos, dirección de correo electrónico o correos electrónicos. Las direcciones de correo electrónico se pueden utilizar para autenticar la propiedad de la cuenta en Bookafy, pero no recopilamos ninguna información relacionada con sus datos personales.
Todas las integraciones de 3a parte se realizan a través de la autenticación de Oath. Esto permite a Bookafy conectarse con proveedores de terceros sin ver, recopilar o almacenar sus nombres de usuario o contraseñas. Bookafy está conectado a través de un código de autenticación que se proporciona a medida que se conecta a través de Oath.
Azul
Bookafy está hospedado en Azure. Puede leer acerca de las disposiciones de seguridad exhaustivas de Azure y AWS en su sitio.
Bookafy aprovecha todas las funciones integradas de seguridad, privacidad y redundancia de la plataforma. Azure supervisa continuamente sus centros de datos en busca de riesgos y se somete a evaluaciones para garantizar el cumplimiento de los estándares del sector. Las operaciones del centro de datos de Azure se han acreditado en: ISO 27001, SOC 1 y SOC 2/SSAE 16/ISAE 3402 (anteriormente SAS 70 Tipo II), PCI Nivel 1, FISMA Moderada y Sarbanes-Oxley (SOX).
Aws
Bookafy utiliza AWS CDN para imágenes. Bookafy aprovecha todas las funciones integradas de seguridad, privacidad y redundancia de la plataforma. AWS supervisa continuamente sus centros de datos en busca de riesgos y se somete a evaluaciones para garantizar el cumplimiento de los estándares de la industria. Las operaciones del centro de datos de AW se han acreditado bajo: ISO 27001, SOC 1 y SOC 2/SSAE 16/ISAE 3402 (Previamente SAS 70 Tipo II), PCI Nivel 1, FISMA Moderada y Sarbanes-Oxley (SOX).
Backups
Bookafy ejecuta copias de seguridad de todos los datos y la base de código diariamente en servidores redundantes en 2 geografías independientes. Además, las copias de seguridad de código y datos se alojan en Dropbox Cloud Storage.
Cifrado
Los datos que pasan a través de Bookafy se cifran, tanto en tránsito como en reposo. Todas las conexiones desde el navegador a la plataforma Bookafy se cifran en tránsito mediante TLS SHA-256 con rsa cifrado. Bookafy requiere HTTPS para todos los servicios.
Para los datos confidenciales donde los valores originales no son necesarios, como nuestras propias contraseñas, hash los datos utilizando el algoritmo BCrypt. Cuando se necesitan los valores originales, como los detalles de autenticación para acceder a calendarios, los valores se cifran mediante el algoritmo AES-256-GCM mediante una sal única generada aleatoriamente para cada conjunto de datos confidenciales.
Transferencia segura a servidores
Bookafy ha empleado un servicio de seguridad de datos para autenticar las transferencias de datos entre nuestro equipo de desarrollo y las máquinas virtuales. Todos los datos están cifrados y protegidos.
Uso compartido de datos y acceso de terceros
Bookafy no vende datos de clientes a nadie. No compartimos datos con fines de marketing multicanal. Bookafy no concede acceso a ningún proveedor de terceros a menos que a través de la conexión de la cuenta a través de la autenticación de Oath o la clave de API. Ambos se pueden desconectar en cualquier momento desde dentro de Bookafy o desde dentro de la aplicación de 3a parte. De lo contrario, no hay 3a partes a las que se les aporten datos, vendan datos o que se compartan datos por cualquier motivo.
Antecedentes
Todos los empleados de Bookafy pasan por una exhaustiva verificación de antecedentes antes de contratar.
Entrenamiento
Si bien conservamos una cantidad mínima de datos de los clientes y limitamos el acceso interno sobre una base de necesidad de saber, todos los empleados están capacitados en seguridad y manejo de datos para garantizar que mantengan nuestro estricto compromiso con la privacidad y seguridad de sus datos.
Confidencialidad
Todos los empleados han firmado un acuerdo de confidencialidad y acuerdo de confidencialidad antes de contratar.
Acceso a datos
Solo los empleados autorizados tienen acceso a nuestra infraestructura de producción y el uso de administradores de contraseñas para garantizar contraseñas seguras y autorización de dos factores cuando esté disponible en toda la empresa.
Desastre
Contamos con planes de continuidad del negocio y recuperación ante desastres que replican nuestra base de datos y respaldan los datos en varios servidores en la nube en diferentes geografías y centros de datos para garantizar una alta disponibilidad en caso de desastre.
Fiabilidad
Bookafy tiene un historial de tiempo de actividad del 99,3%
Nuevas características
Bookafy desarrolla nuevas características en sprints de 3 semanas. Nuestras implementaciones comienzan en un servidor de desarrollo, luego en el almacenamiento provisional y, a continuación, en directo. La implementación del servidor en vivo se produce el domingo por la mañana PST.
Control de calidad y pruebas
Bookafy ejecuta pruebas automatizadas junto con pruebas manuales antes de cada implementación.
Control de calidad de servidor de desarrollo y ensayo
Antes de que Bookafy se publique en servidores activos, el código se implementa en servidores de ensayo y desarrollo durante el proceso de control de calidad. Una vez completada la prueba, el código se agrega a un repositorio para la implementación del servidor en vivo en la línea de tiempo del ciclo de sprint.
Monitoreo en vivo
Una vez que el código se libera en nuestro servidor de producción, nuestro equipo de control de calidad ejecuta pruebas automatizadas, pruebas manuales y utiliza software externo para supervisar nuestros servicios. El software externo se ejecuta las 24 horas del tiempo, los 7 días de la semana, con alertas que se envían automáticamente a nuestro equipo de desarrollo con cualquier problema. Estas alertas se supervisan las 24 horas del día, los 7 días de la semana y se envían por mensaje de texto y correo electrónico a nuestro equipo.
Firewall
Bookafy se hospeda en servidores de Azure y utiliza Azures Next Generation Firewall Service, que se encuentra detrás del servicio Azures Web Application Gateway. Este servicio incluye protección contra cosas, como inyecciones SQL o solicitudes HTTP con formato incorrecto.
Prevención de malware y virus
Todos nuestros empleados están trabajando desde máquinas propiedad de la empresa que ejecutan software anti-malware y protección antivirus. Nuestro servidor de oficina está protegido por un cortafuegos para la protección de penetración externa.
Escaneo
Nuestro servidor interno, las máquinas de los empleados y el alojamiento de datos ejecutan continuamente software de análisis de vulnerabilidades.
Protección de credenciales de inicio de sesión
Para nuestras aplicaciones externas que trabajan con Bookafy, Bookafy no almacena/recopila contraseñas. Toda la autenticación de Bookafy está utilizando una conexión segura de Oath para conceder acceso a Bookafy con un token seguro utilizado para la cuenta de cada usuario individual. Algunos ejemplos son: Zoom, Stripe, Authorize.net, Google Calendar, Exchange, Office365, Outlook.com, Icloud, mailchimp y más. Toda la 3a parte
Desconectar
Cuando una cuenta se cancela o se degrada a gratuita, todas las conexiones de Oath se desconectan automáticamente de Bookafy a sus aplicaciones de terceros.
Acceso API
Todo el acceso a los datos a través de Bookafy se aprueba explícitamente a través de un mecanismo de autorización de OAuth que concede tokens de acceso que se pueden revocar en cualquier momento.
RGPD
Hemos incorporado los estándares del RGPD en las prácticas de datos para asegurarnos de que todos nuestros clientes reciban apoyo y cumplan con el RGPD. Más información sobre
Bookafy GDPR
.
Preguntas frecuentes sobre seguridad
¿Se han producido violaciones o incidentes de seguridad significativos en los últimos 5 años?
lol
Se controla y revisa de forma periódica el acceso a cuentas privilegiados y genéricos, al menos
¿Anualmente?
Sí.
¿Qué datos se recogen sobre el usuario?
El programa recopila datos sobre el titular de la cuenta y el cliente final. Ambas configuraciones se basan en los datos facilitados por el titular de la cuenta y el cliente final. No recopilamos más datos que los facilitados voluntariamente por el usuario final o el propietario de la cuenta.
El propietario de la cuenta puede crear campos de texto para recoger diferentes datos en el momento de la reserva, pero el cliente es plenamente consciente de los datos que se recogen, ya que es el usuario final quien los introduce en los campos. El usuario final o el propietario de la cuenta pueden solicitar la eliminación de sus datos en cualquier momento enviando un correo electrónico a data@bookafy.com.
¿Con qué fines utiliza la aplicación los datos?
Los datos de la aplicación sólo se utilizan para la transacción que el cliente final ha contratado. Si utiliza una aplicación de terceros para iniciar sesión con SSO, como Facebook o Google, sólo utilizamos esa conexión para acceder a la cuenta. No utilizamos datos de la cuenta como contactos, eventos, mensajes de correo electrónico y no publicamos en su nombre ni participamos en ninguna actividad dentro de su cuenta. Sólo se utiliza para iniciar sesión.
¿Cuáles son los derechos del usuario en materia de supresión de datos y cómo puede solicitar su supresión?
Utilizamos los datos recogidos del titular de la cuenta (nuestro cliente) para ofrecerle una mejor experiencia. Esto incluye cualquier lugar en el que la OA se haya quedado atascada, haya visitado muchas veces, pueda tener preguntas o un error. Utilizamos estos datos para comunicarnos con nuestros clientes (titulares de cuentas) en el momento oportuno con el mensaje adecuado.
Para el usuario final, el cliente de nuestro cliente… sólo utilizamos estos datos en aras de la transacción (reserva) con el titular de la cuenta. No comercializamos con estos clientes ni utilizamos sus datos de ninguna otra forma. Sus datos no se venden ni se prestan… permanecen en nuestro sistema.
Tanto en el caso del AO como en el del cliente final, sus datos pueden suprimirse en cualquier momento. El AO puede enviar un correo electrónico a data@bookafy.com y solicitar que se eliminen su cuenta y sus datos. El cliente final puede solicitar a la OA que elimine sus datos.
¿Están prohibidas las cuentas de usuario compartidas para los empleados? ¿Qué pasa con los clientes?
Los empleados tienen sus propias cuentas dedicadas. Los clientes también tienen sus propias cuentas dedicadas, con acceso a sus datos solamente.
¿La construcción de su contraseña requiere múltiples requisitos de fuerza, es decir, contraseñas seguras y utiliza una secuencia aleatoria de caracteres alfa, numéricos y especiales?
Necesitamos un mínimo de 6 caracteres en contraseñas en el nivel básico de administración de contraseñas. Las opciones de directiva de contraseñas OWASP y NIST SP 800-63-3 pueden estar disponibles el próximo año.
¿Está protegido el límite de red con un firewall con filtrado de entrada y salida?
Sí. Azure y Amazon AWS proporcionan todos los firewalls e instalaciones de equilibrio de carga.
¿Están los servidores públicos en una zona desmilitarizada (DMZ) bien definida?
Sí, esto se hereda de la zonificación de la infraestructura por defecto de Azure y Bookafy tiene servidores regionales repartidos por todo el mundo.
¿Se utiliza la segmentación de red interna para aislar aún más los recursos de producción confidenciales, como los datos PCI?
Los datos PCI no se almacenan, ya que solo los enmarca Bookafy de proveedores de terceros de 3a parte como Stripe y Authorize.net. Bookafy no recopila ni almacena datos.
¿Se implementa y supervisa la detección o prevención de intrusiones en la red?
Un amplio espectro de herramientas de supervisión, complementada por notificaciones y alertas proporcionadas por Azure, permanece constantemente activa. Esto incluye la detección de intrusiones y las confirmaciones por correo electrónico del acceso a la red.
¿Están protegidos todos los escritorios utilizando virus, gusanos, spyware y software de código malicioso actualizados regularmente?
Sí.
¿Los servidores están protegidos mediante prácticas de protección de la industria? ¿Están documentadas las prácticas?
Se recurre regularmente a los servicios de seguridad para realizar auditorías de seguridad de los sistemas.
¿Existe una administración activa de parches de proveedores para todos los sistemas operativos, dispositivos de red y aplicaciones?
Sí. Azure proporciona esto automáticamente a través de su servicio.
¿Se registran y conservan todos los errores del sistema de producción y los eventos de seguridad?
Los registros se conservan durante un mínimo de 1 mes, y algunos permanecen hasta 6 meses, dependiendo de la gravedad y la acción requerida.
¿Los eventos de seguridad y los datos de registro se revisan regularmente?
Sí. Los registros se revisan diariamente, semanalmente y mensualmente, dependiendo de la naturaleza de los eventos de registro.
¿Existe un programa de privacidad documentado con medidas de seguridad para garantizar la protección de la información confidencial del cliente?
Sí.
¿Existe un proceso para notificar a los clientes si se produce alguna violación de privacidad?
Sí.
¿Almacena, procesa, transmite (es decir, «manejar») Información Personnally Idenfiable (PII)?
Sí.
¿En qué país o países se almacena la PII?
La mayoría de nuestros datos de PII se almacenan en los EE.UU. Sin embargo, podemos almacenar datos de cuentas para nuestros clientes empresariales en un centro regional específico. Ejemplo. La organización australiana podría optar por almacenar sus datos en nuestra ubicación de Canberra Azure. O los países europeos pueden almacenar en un centro de datos europeo.
¿Están los registros del sistema protegidos contra la alteración y la destrucción?
Esto lo proporciona Azure y se realiza una copia de seguridad en Dropbox Cloud Storage.
¿Están protegidos los límites y los puntos de entrada VLAN mediante dispositivos de detección y protección contra intrusiones que proporcionan alertas cuando están bajo ataque?
Sí. Estos servicios están incluidos en nuestro cortafuegos Azure, que protege contra intrusiones y envía alertas automáticas a nuestro equipo de desarrollo.
¿Los registros y eventos están correlacionados con una herramienta que proporciona advertencias de un ataque en curso?
Sí, nuestro servicio de seguridad incluye registro y alertas de ataques en tiempo real.
¿Cómo se seseparan los datos de otros clientes dentro de la solución, incluidas las redes, los front-end, el almacenamiento de servidores back-end y las copias de seguridad?
Cada cuenta de cliente se separa lógicamente de otros clientes, mediante el uso de un identificador de inquilino persistente necesario en todos los registros de base de datos.
Además, todo el código de aplicación requiere este identificador de inquilino para todas las operaciones, tanto de lectura como de escritura. También existe un régimen de pruebas automatizadas para proteger los cambios de código de las regresiones y la posible contaminación de datos entre inquilinos.
El identificador de inquilino está «vinculado de forma rígida» a cada cuenta de usuario y se aplica lógicamente a través de cláusulas fijas «WHERE» en consultas de base de datos y medidas equivalentes para el acceso a archivos. Un usuario de plataforma no puede cambiar o desvincular su sesión o cuenta de este identificador de inquilino. Por lo tanto, no hay ninguna posibilidad lógica de que un usuario tenga autorización de inicio de sesión bajo un identificador de inquilino diferente. Incluso si intentaran tener acceso a las páginas con el identificador de inquilino diferente, el sistema rechazaría la solicitud debido a que la cuenta de usuario no se registra en el identificador de inquilino solicitado.
¿Tiene un plan de respuesta a incidentes?
Sí, se mantiene un «documento vivo» que describe la respuesta a desastres e incidentes
listas de verificación, detalles de contacto e instalaciones clave del sistema para comprender y responder a los incidentes.
¿Qué nivel de protección de red se implementa?
Utilizamos Azures Web Application gateway (balanceador de carga) y Next Generation Firewall para proteger nuestra red de máquinas virtuales que se ejecutan en Azure Cloud.
¿Proporciona la plataforma informes para las mediciones de rendimiento de calidad de servicio (QOS) (utilización de recursos, rendimiento, disponibilidad, etc.)?
Estas métricas no se proporcionan a los clientes, aparte de los tiempos de disponibilidad y respuesta según nuestra página de estado en status.pingdom.com
¿Se prueba el programa de recuperación ante desastres al menos una vez al año?
Sí, comprobaciones de recuperación y se realizan y se prueban anualmente.
¿Qué es el objetivo de tiempo de recuperación (RTO) y el objetivo de punto de recuperación (RPO) del sistema?
El RTO es de 4 horas, con RPO siendo 1 hora.
¿Proporciona planes de copia de seguridad y restauración para clientes individuales?
Todos los aspectos son multiinquilino, por lo que las copias de seguridad se realizan en toda la base de clientes. Las copias de seguridad completas de archivos se ejecutan cada 24 horas y se benefician de las copias de seguridad puntuales de la base de datos de Azure realizadas cada 5 minutos. Las copias de seguridad se almacenan en Dropbox Cloud, así como en máquinas virtuales redundantes de Azure.
¿Cuál es el tiempo máximo que se conservan las copias de seguridad?
Las copias de seguridad puntuales de la base de datos se conservan durante 30 días, con copias de seguridad de archivos generales durante un mínimo de 90 días.
¿Cuál es el tiempo de respuesta esperado para una restauración de datos?
Cualquier restauración de cliente en cualquier escenario que no sea de desastre debe solicitarse y programarse con nosotros. El plazo de entrega es de 1 a 2 días laborables.
¿Se puede restaurar una sola cuenta de entidad sin afectar a toda la plataforma?
Si un cliente requiere la restauración de un registro o artefacto específico, esto se puede realizar en línea a través de una base por solicitud y es un trabajo de pago. No hay ningún impacto en la plataforma o la cuenta de cliente.
Es alta disponibilidad proporcionada – i. e. e. donde una instancia de servidor deja de estar disponible ¿ otra está disponible?
Varias instancias de servidor se ejecutan en todos los niveles del sistema a través de la máquina virtual de Azure, con Web Application Gateway controlando el equilibrio de carga. Azure WAG controla el error de una instancia de servidor dentro del centro de datos, con la instancia del problema reciclada o quitada y reemplazada por una nueva instancia.
¿Los datos se almacenan y están disponibles en otra ubicación (centro de datos) para cumplir con los requisitos de recuperación ante desastres?
Sí. Todos los datos se replican en un segundo centro de datos que difiere por ubicación geográfica, además de tener los datos de copia de seguridad almacenados en Dropbox Cloud Storage. .
¿El proceso de conmutación por error es un proceso de conmutación activo/activo y automatizado?
Los balanceadores de carga de Azure WAG controlan el error de una instancia de servidor dentro del centro de datos principal, y la instancia problemática se recicla o quita y se reemplaza por una nueva instancia.
En el caso de que todo el centro de datos tuviera un error crítico, entonces el cambio al centro secundario es un proceso manual, ya que necesitamos realizar una evaluación completa del problema primero para asegurarnos de que no hay soluciones simples para mantener el centro primario existente presencia disponible. Si se determina que se requiere un movimiento al centro secundario, el cambio se iniciará manualmente para cumplir los objetivos de recuperación objetivo.
