JwumaQuello che facciamo davvero, non un badge
Oggi non esiste alcuna certificazione formale di terze parti. Invece di una fila di badge che esagererebbe questo, questa pagina descrive i meccanismi specifici che la piattaforma effettivamente gestisce, così che la tua revisione della sicurezza possa verificare un'affermazione reale contro un sistema reale.
Dove siamo oggi
Corpshore AI non possiede oggi una certificazione SOC 2, ISO 27001 o equivalente di terze parti. Segue l'insieme dei controlli effettivamente realizzati e funzionanti, che una certificazione formalizzerebbe e verificherebbe ma non crea da sola. Se il tuo processo di approvvigionamento richiede una certificazione specifica, dillo direttamente invece di presupporre una risposta.
Dove sono conservati i dati e chi può accedervi
I dati di collaboratori e attività sono logicamente ripartiti in cinque database regionali in base al paese di residenza del collaboratore, ciascuno con il proprio ambito di accesso. Tale ripartizione è applicata nel software, non solo documentata in una policy. Tutti e cinque operano oggi su infrastruttura fisicamente situata negli Stati Uniti; la ripartizione è oggi un confine logico e di controllo degli accessi, non geografico, e lo diciamo chiaramente invece di lasciare che un'etichetta regionale suggerisca altro.
I clienti non vedono mai chi ha svolto il lavoro
Il lavoro consegnato arriva senza l'identità o la tariffa del collaboratore allegate. Quella separazione è strutturale, imposta da ciò che la pipeline di consegna effettivamente legge e scrive, non un'impostazione che qualcuno potrebbe disattivare.
I trasferimenti tra regioni usano garanzie reali
Quando i dati si spostano tra regioni, per la consegna o altrimenti, usiamo clausole contrattuali standard e meccanismi di trasferimento equivalenti invece di spostarli senza alcuna garanzia.
I file archiviati si raggiungono tramite link di breve durata
I file acquisiti e inviati non vengono serviti da un percorso pubblico. L'accesso passa attraverso un link firmato che scade in pochi minuti, generato appositamente per la persona e la richiesta che ne ha bisogno.
I dettagli di pagamento non vengono mai più mostrati per intero
I dati bancari o del portafoglio salvati da un collaboratore sono mascherati ovunque vengano mostrati di nuovo, incluso al collaboratore stesso che li ha salvati. Nessuno rilegge un numero di conto completo su questa piattaforma dopo il giorno in cui è stato inserito.
Chi può fare cosa, e il relativo registro
Permessi basati sui ruoli, verificati lato server
Ogni azione sensibile — esaminare un lavoro, cambiare un canale di pagamento, leggere le analisi — viene verificata lato server rispetto al ruolo dell'account che agisce prima di essere eseguita, non nascosta dietro un menu che il client semplicemente non mostra.
Accesso a due fattori per gli account cliente
Gli account del portale clienti possono registrare un'app di autenticazione basata sul tempo come secondo fattore dalle proprie impostazioni di sicurezza. Il segreto è archiviato in forma cifrata, mai in una forma che chiunque, noi compresi, possa rileggere direttamente.
Ogni modifica scrive un record di audit
Chi ha fatto cosa, cosa è cambiato e quando, registrato al momento dell'azione anziché ricostruito in seguito da registri che risultano ancora esistere.
Cifrato in transito, cifrato a riposo
Ogni connessione alla piattaforma passa attraverso TLS. I dati a riposo sono cifrati dall'infrastruttura su cui sono archiviati, i nostri fornitori di database e archiviazione file, che è il loro comportamento predefinito e non un'impostazione che abbiamo dovuto attivare correttamente.
Chi svolge effettivamente il lavoro
Controlli sulla forza lavoro, non solo sull'infrastruttura. Un database sicuro non serve a nulla se la persona che invia il lavoro non è chi dice di essere.
Verifica dell'identità prima del lavoro retribuito
Un controllo di vivacità, non una foto statica, conferma una persona reale dietro un account prima che possa svolgere lavoro sensibile, con risultati esaminati dal personale anziché decisi automaticamente in silenzio.
I controlli di sanzioni e screening vengono eseguiti continuamente
Gli account vengono verificati continuamente rispetto alle liste di sanzioni, non solo una volta all'iscrizione, e una corrispondenza blocca l'account affinché una persona lo esamini invece di agire automaticamente.
Chiedicelo direttamente
Un questionario di sicurezza, un accordo sul trattamento dei dati, o una domanda a cui questa pagina non ha risposto: chiedicelo direttamente invece di indovinare da quanto pubblicato qui.