보안 및 데이터

데이터 보관 위치

• 앱과 데이터베이스는 Cloudflare 네트워크(Cloudflare Workers 및 Cloudflare D1)에서 실행됩니다. 패치하거나 분실할 자체 서버가 없습니다.
• 카드 결제는 전적으로 Stripe가 처리합니다. 당사는 전체 카드 번호를 보거나 저장하지 않습니다.
• 당사는 데이터를 판매하거나 광고를 표시하지 않습니다. 이용하는 제공업체는 개인정보 처리방침에 나와 있습니다.

보호 방식

• 모든 연결은 HTTPS로 암호화되며, 브라우저에는 그 외의 연결을 거부하도록 지시합니다(HSTS).
• 비밀번호는 저장되지 않습니다. 솔트를 적용한 PBKDF2-SHA256 해시만 보관하므로 당사도 비밀번호를 읽을 수 없습니다.
• 로그인 세션은 페이지의 스크립트가 읽을 수 없는 보안 HTTP-only 쿠키를 사용합니다. 비밀번호를 재설정하면 모든 기기에서 로그아웃됩니다.
• 비밀번호 추측을 막기 위해 반복된 로그인 실패 시 속도를 늦춥니다.
• 페이지는 콘텐츠 보안 정책과 다른 사이트의 프레임 삽입 방지를 포함한 엄격한 보안 헤더와 함께 전송됩니다.

데이터 열람 권한

• 각 조직의 데이터는 분리되어 보관되며, 모든 요청은 로그인한 조직을 기준으로 확인됩니다. 자동화된 테스트로 한 조직이 다른 조직의 데이터를 읽거나 삭제할 수 없음을 확인합니다.
• 조직 내에서 소유자, 관리자, 구성원은 서로 다른 권한을 가집니다. 소유자와 관리자만 설정을 변경하고, 사용자를 초대하고, 결제를 관리할 수 있습니다.
• 초대 및 비밀번호 재설정 링크는 1회용이며 만료됩니다(각각 7일, 1시간).
• 데이터를 요청받은 공급업체는 비공개 링크로 단일 양식에 접속합니다. 귀사 계정은 볼 수 없습니다.
• 결제 및 설정 변경 같은 중요한 변경 사항은 감사 로그에 기록됩니다.

데이터는 귀사의 것입니다

• 요금제가 활성 상태인 동안 언제든지 모든 활동 및 배출량 항목을 각 수치에 사용된 계수와 함께 스프레드시트로 내보낼 수 있습니다.
• 결제를 중단해도 아무것도 삭제되지 않습니다. 요금제를 다시 선택하면 모든 데이터가 그대로 있습니다.
• 소유자는 설정에서 조직과 그 안의 모든 데이터를 삭제할 수 있습니다. 운영 데이터베이스에서 즉시 제거됩니다.

쿠키 및 분석

• 로그인에 필요한 쿠키만 묻지 않고 설정됩니다. Google Analytics와 Microsoft Clarity는 동의한 경우에만 로드되며, 각 페이지 하단의 "쿠키 설정"에서 언제든지 변경할 수 있습니다.
• 쿠키를 사용하지 않는 Cloudflare Web Analytics로 페이지 조회수를 집계합니다.

아직 갖추지 못한 것

당사는 신생 서비스이므로, 직접 확인하시게 하기보다 먼저 말씀드리고자 합니다. 아직 2단계 인증 로그인, SSO(통합 인증), ISO 27001이나 Cyber Essentials 같은 독립 인증이 없습니다. 2단계 인증 로그인이 다음 개발 과제입니다. 귀사 구매팀에 보안 설문지가 있다면 보내 주십시오. 정직하게 답변하겠습니다.