Kontoene og dataene dine forblir dine
En vekstpartner ser budsjetter, resultater og kundepipeliner. Den tilgangen bør være begrenset, logget og enkel å tilbakekalle. Tjenesten kjøres distribuert og kryptert i mer enn 125 land, og kontrollene nedenfor er bygget inn i FOCUSADS.si. Vi beskriver hva de gjør, ikke leverandørene og versjonene bak dem, slik at denne siden ikke blir et kart for angripere.
Tre prinsipper vi bygger på
Du beholder eierskapet
Annonsekontoer, piksler, analyse og CRM står i ditt navn. Vi arbeider via bruker- eller partnertilgang som du gir, og som du kan fjerne når som helst. Vi ber aldri om passord.
Minst mulig tilgang, hver gang
Ansatte ser bare det rollen deres krever. Kunder ser bare sitt eget arbeidsområde. Hver sensitiv handling etterlater en revisjonsoppføring som ikke kan redigeres i ettertid.
Dokumentasjon fremfor påstander
Rapporterte tall har med kildeplattform, konto, datoperiode, valuta og innsamlingstidspunkt, slik at du kan kontrollere dem mot plattformens eget dashbord.
Kontroller i produktet
Obligatorisk tofaktorautentisering
Hver kunde- og ansattkonto må registrere en autentiseringsapp (Google Authenticator eller en annen TOTP-app) før dashbordet eller driftskonsollen åpnes.
- QR-kode og manuell nøkkel ved registrering, bekreftet med en første kode.
- Gjenopprettingskoder til engangsbruk, lagret bare som hasher.
- Innlogginger og MFA-hendelser skrives til revisjonsloggen.
Isolering av kunder i to lag
Hvert kundearbeidsområde er adskilt i applikasjonskoden og på nytt i selve datalaget, slik at en kontroll som glipper i koden, likevel ikke kan returnere en annen kundes oppføringer.
- Hver forespørsel kjøres i en kontekst som låser arbeidsområdet og rollen.
- Autorisasjon på serversiden ved hver lesing og skriving. Vi stoler aldri på nettleseren når det gjelder roller.
- Automatiserte tester forsøker tilgang på tvers av kunder til rapporter, forbruk, oppgaver, fakturaer og planer.
Delegert plattformtilgang
Vi ber om tilgang via administratorkoblinger i Google Ads, partnertilgang i Meta Business, kontoroller i LinkedIn og tilsvarende plattformfunksjoner. Du kan se og tilbakekalle hver tilgang i plattforminnstillingene dine.
- Ingen delte innlogginger, ingen innsamling av passord.
- Tilgangsstatus vises per konto i dashbordet ditt.
Revisjonslogg der oppføringer bare kan legges til
Innlogginger, MFA-endringer, endringer i roller og tilgang, faktureringshendelser, publisering av rapporter og dataeksport registreres. Databasen avviser redigering eller sletting av revisjonsoppføringer.
- IP-adresser pseudonymiseres før lagring.
- Hemmeligheter og tokener skrives aldri til logger.
Kryptert overføring og strenge headere
All trafikk bruker TLS med HSTS. Applikasjonen sender en innholdssikkerhetspolicy, rammebeskyttelse, en streng referrer-policy og en restriktiv tillatelsespolicy.
- Øktinformasjonskapsler er HttpOnly, Secure og SameSite=Lax.
- Endepunkter for innlogging og skjemaer har ratebegrensning.
Kortbetalinger holdes utenfor systemene våre
Betalingsløsningen, fakturaene og faktureringsportalen kjøres hos en PCI DSS-sertifisert betalingsleverandør. Kortnumre når aldri serverne våre. Betalingsstatus endres bare ved signerte, verifiserte hendelser, som hver behandles én gang.
- Gjentatte hendelser har ingen effekt.
- Mediekjøp belastes ikke via FOCUSADS med mindre det står i bestillingsskjemaet ditt.
Signert datainnhenting
Resultatdata kommer inn i plattformen bare via kryptografisk signerte, tidsbegrensede forespørsler til engangsbruk, slik at innsamlede data ikke kan forfalskes eller spilles av på nytt.
- Sene eller gjentatte forespørsler avvises.
- Rettelser lagres som revisjoner. Publiserte rapportversjoner kan ikke endres.
Distribuert og kryptert i 125+ land
Tjenesten leveres fra et distribuert nettverk som spenner over mer enn 125 land, kryptert under overføring og ved lagring. Produksjons- og testmiljøer er helt adskilt, og testmiljøer indekseres aldri.
- Hemmeligheter oppbevares i administrert hemmelighetslagring, adskilt per miljø, aldri i kildekoden.
- Skanning av avhengigheter, hemmeligheter og kode kjøres ved hver endring.
Databehandling kort oppsummert
- Behandlingsansvarlig
- THEFOCUS LTD for henvendelser via nettstedet og kontoer, og du som kunde for data i arbeidsområdet ditt.
- Gjeldende lov
- UK GDPR, Data Protection Act 2018 og PECR.
- Særlige kategorier av personopplysninger
- Godtas ikke. Helseopplysninger eller andre sensitive opplysninger må ikke lastes opp eller brukes til målretting.
- Varsling av brudd
- Kundene varsles uten ugrunnet opphold, innen 48 timer etter at vi ble kjent med bruddet.
- Retensjon
- Revisjonslogger: 24 måneder. Kundeopplysninger: avtaleperioden pluss 6 år. Henvendelser som ikke ble til kunder: 24 måneder.
- Underleverandører
- Oppført etter kategori på siden Underleverandører: infrastruktur og hosting, betalinger, e-post og analyse (bare med samtykke). Den navngitte listen er tilgjengelig for kunder i dashbordet og på forespørsel.
Har du funnet en sårbarhet?
Rapporter den via kontaktskjemaet og velg «Sikkerhetsrapport». Oppgi berørt URL, steg for å gjenskape feilen og konsekvensene. Ikke skaff deg tilgang til data som ikke er dine, og ikke forstyrr tjenesten. Vi bekrefter mottak av rapporter innen to britiske virkedager og holder deg oppdatert til rettelsen er ute.
Send en sikkerhetsrapportHva vi ikke påstår
- Vi har i dag ikke ISO 27001- eller SOC 2-sertifisering. Hvis det endres, vil denne siden si det, med detaljer om sertifikatet.
- Vi er ikke offisiell partner for annonseplattformene som nevnes på dette nettstedet, med mindre en side oppgir det konkrete programmet.
- Ingen sikkerhetskontroll fjerner all risiko. Vi beskriver hva som er på plass, og hvordan vi reagerer når noe går galt.
Trenger dere passordene til annonsekontoene våre? Nei. Vi ber om tilgang via hver plattforms eget tilgangssystem, for eksempel en administratorkontokobling i Google Ads eller partnertilgang i Meta Business. Du godkjenner det i plattformen og kan fjerne det når som helst.
Kan en annen kunde se dataene våre? Nei. Arbeidsområdene er isolert i applikasjonskoden og på nytt i datalaget, og vi tester automatisk forsøk på tilgang på tvers av kunder.
Er tofaktorautentisering valgfri? Nei. Hver kunde- og ansattkonto må sette opp en autentiseringsapp før den får tilgang til dashbordet eller driftskonsollen.
Hvor lagres dataene våre? På et distribuert, kryptert nettverk som spenner over mer enn 125 land. Overføringer ut av Storbritannia bygger på anerkjente garantier beskrevet i personvernerklæringen og på siden Underleverandører.
Trenger du en sikkerhetsgjennomgang før du signerer?
Enterprise-team kan be om svarene våre på sikkerhetsspørreskjemaer og databehandlertillegget under kvalifiseringen.