Sa inyo pa rin ang inyong mga account at data
Nakikita ng isang growth partner ang mga budget, resulta at customer pipeline. Dapat makitid, naka-log at madaling bawiin ang access na iyon. Tumatakbo ang serbisyo nang distributed at encrypted sa mahigit 125 bansa, at nakapaloob sa FOCUSADS.si ang mga kontrol sa ibaba. Inilalarawan namin kung ano ang ginagawa ng mga ito, hindi ang mga vendor at bersyon sa likod nito, kaya hindi nagiging mapa para sa mga umaatake ang pahinang ito.
Tatlong patakarang batayan ng aming disenyo
Kayo ang may-ari
Nananatili sa inyong pangalan ang mga advertising account, pixel, analytics at CRM. Nagtatrabaho kami sa pamamagitan ng user o partner access na ibinibigay ninyo at maaari ninyong alisin anumang oras. Hindi kami kailanman humihingi ng password.
Pinakamababang pribilehiyo, palagi
Nakikita lamang ng staff ang kailangan ng kanilang tungkulin. Nakikita lamang ng mga kliyente ang sarili nilang workspace. Bawat sensitibong aksyon ay nag-iiwan ng audit record na hindi na mababago pagkatapos.
Ebidensya, hindi basta pahayag
Kasama sa mga iniulat na numero ang pinagmulang platform, account, saklaw ng petsa, currency at oras ng pagkolekta, kaya maihahambing ninyo ang mga ito sa sariling dashboard ng platform.
Mga kontrol sa produkto
Mandatoryong two-factor authentication
Bawat account ng kliyente at staff ay kailangang mag-enroll ng authenticator app (Google Authenticator o anumang TOTP app) bago mabuksan ang dashboard o ang operations console.
- QR code at manual na key sa pag-enroll, kinukumpirma gamit ang unang code.
- Mga recovery code na isang beses lang magagamit, nakaimbak lamang bilang hash.
- Isinusulat sa audit log ang mga event ng pag-sign in at MFA.
Paghihiwalay ng tenant sa dalawang layer
Hiwalay ang bawat workspace ng kliyente sa application code at muli sa loob mismo ng data layer, kaya kahit may makaligtaang pagsusuri sa code, hindi pa rin nito maibabalik ang mga record ng ibang kliyente.
- Tumatakbo ang bawat request sa isang saklaw na nagtatakda ng workspace at ng tungkulin.
- Server-side na awtorisasyon sa bawat pagbasa at pagsulat; hindi kailanman pinagkakatiwalaan ang browser para sa mga tungkulin.
- Sinusubukan ng mga automated na test ang cross-tenant na access sa mga ulat, gastos, gawain, invoice at plano.
Delegadong access sa platform
Humihiling kami ng access sa pamamagitan ng mga Google Ads manager link, Meta Business partner access, mga role sa LinkedIn account at katumbas na feature ng platform. Makikita at mababawi ninyo ang bawat grant mula sa mga setting ng inyong platform.
- Walang shared login, walang pagkolekta ng password.
- Ipinapakita sa inyong dashboard ang status ng access kada account.
Append-only na audit log
Itinatala ang mga pag-sign in, pagbabago sa MFA, pagbabago sa role at access, mga event sa billing, paglalathala ng ulat at mga data export. Tinatanggihan ng database ang pag-edit o pagbura ng mga audit record.
- Pinapa-pseudonymise ang mga IP address bago iimbak.
- Hindi kailanman isinusulat sa mga log ang mga secret at token.
Encrypted na transport at mahigpit na header
Gumagamit ng TLS na may HSTS ang lahat ng traffic. Nagpapadala ang application ng content security policy, frame protection, mahigpit na referrer policy at mahigpit na permissions policy.
- HttpOnly, Secure at SameSite=Lax ang mga session cookie.
- May rate limit ang mga endpoint ng pag-sign in at mga form.
Hindi dumaraan sa aming mga sistema ang mga card payment
Tumatakbo ang checkout, mga invoice at ang billing portal sa isang payment provider na sertipikado sa PCI DSS. Hindi kailanman umaabot sa aming mga server ang mga numero ng card. Nagbabago lamang ang status ng bayad sa mga signed at beripikadong event, at isang beses lamang pinoproseso ang bawat isa.
- Walang epekto ang mga paulit-ulit na event.
- Hindi sinisingil sa pamamagitan ng FOCUSADS ang gastos sa media maliban kung nakasaad ito sa inyong order form.
Signed na pagpasok ng data
Pumapasok lamang ang ebidensya ng performance sa platform sa pamamagitan ng mga request na cryptographically signed, may limitasyon sa oras at isang beses lang magagamit, kaya hindi mapepeke o mauulit ang nakuhang data.
- Tinatanggihan ang mga huli o paulit-ulit na request.
- Iniimbak ang mga pagwawasto bilang mga rebisyon; hindi na mababago ang mga nailathalang bersyon ng ulat.
Distributed at encrypted sa 125+ bansa
Inihahatid ang serbisyo mula sa isang distributed na network na sumasaklaw sa mahigit 125 bansa, encrypted habang ipinapadala at habang nakaimbak. Ganap na hiwalay ang production at test environment, at hindi kailanman ini-index ang mga test environment.
- Nakatago ang mga secret sa managed na secret storage, hiwalay kada environment, hindi kailanman sa source code.
- Tumatakbo ang dependency, secret at code scanning sa bawat pagbabago.
Pangangasiwa ng data sa isang sulyap
- Data controller
- THEFOCUS LTD para sa mga tanong sa website at mga account; kayo, ang kliyente, para sa data sa inyong workspace.
- Naaangkop na batas
- UK GDPR, ang Data Protection Act 2018 at PECR.
- Data na espesyal na kategorya
- Hindi tinatanggap. Hindi dapat i-upload o gamitin para sa targeting ang data sa kalusugan o iba pang sensitibong data.
- Abiso sa paglabag sa data
- Inaabisuhan ang mga kliyente nang walang hindi makatwirang pagkaantala, sa loob ng 48 oras mula nang malaman namin ito.
- Tagal ng pagtatago ng data
- Mga audit log, 24 na buwan; mga record ng kliyente, tagal ng kontrata at 6 na taon; mga tanong na hindi naging kliyente, 24 na buwan.
- Mga subprocessor
- Nakalista ayon sa kategorya sa pahina ng Mga subprocessor: imprastraktura at hosting, mga bayad, email, at analytics (kapag may pahintulot lamang). Available sa mga kliyente ang listahang may pangalan sa dashboard at kapag hiniling.
May nakita kayong vulnerability?
Iulat ito sa pamamagitan ng contact form at piliin ang "Security report". Isama ang apektadong URL, mga hakbang para maulit ito at ang epekto. Pakiusap, huwag i-access ang data na hindi sa inyo at huwag guluhin ang serbisyo. Kinikilala namin ang mga ulat sa loob ng dalawang araw ng trabaho sa UK at pinapanatili namin kayong updated hanggang mailabas ang ayos.
Magpadala ng security reportAng hindi namin inaangkin
- Wala kaming sertipikasyong ISO 27001 o SOC 2 sa ngayon. Kung magbago iyon, sasabihin ito ng pahinang ito kasama ang mga detalye ng sertipiko.
- Hindi kami opisyal na partner ng mga advertising platform na binanggit sa site na ito maliban kung tinutukoy ng isang pahina ang partikular na programa.
- Walang security control na nag-aalis ng lahat ng panganib. Inilalarawan namin kung ano ang nakalagay at kung paano kami tumutugon kapag may nangyaring mali.
Kailangan ba ninyo ang mga password ng aming advertising account? Hindi. Humihiling kami ng access sa pamamagitan ng sariling sistema ng pahintulot ng bawat platform, halimbawa isang Google Ads manager-account link o Meta Business partner access. Inaaprubahan ninyo ito sa platform at maaari ninyo itong alisin anumang oras.
Makikita ba ng ibang kliyente ang aming data? Hindi. Hiwalay ang mga workspace sa application code at muli sa data layer, at awtomatiko naming sinusubok ang mga pagtatangkang cross-tenant na access.
Opsyonal ba ang two-factor authentication? Hindi. Bawat account ng kliyente at staff ay kailangang mag-set up ng authenticator app bago ma-access ang dashboard o ang operations console.
Saan naka-host ang aming data? Sa isang distributed at encrypted na network na sumasaklaw sa mahigit 125 bansa. Umaasa ang mga paglilipat sa labas ng UK sa mga kinikilalang safeguard na inilarawan sa abiso sa privacy at sa pahina ng Mga subprocessor.
Kailangan ba ninyo ng security review bago pumirma?
Maaaring humiling ang mga enterprise team ng aming mga sagot sa security questionnaire at ng data processing addendum sa panahon ng kwalipikasyon.