Securitate

1. Cum protejăm datele

• Criptare în timpul transmiterii: toate comunicațiile trec prin HTTPS (TLS), cu HSTS.
• Criptare în timpul stocării: baza de date și fișierele sunt stocate criptat.
• Găzduire exclusiv în UE: serverele se află la Frankfurt, Germania.
• Coduri de unică folosință: deschiderea unui rezultat necesită întotdeauna un cod din 6 cifre, valabil 10 minute, cu 5 încercări.
• Limitarea numărului de cereri de cod și de încercări de conectare, împotriva atacurilor prin încercări succesive.
• Verificare în doi pași obligatorie pentru personalul laboratoarelor: un cod prin e-mail sau SMS pe fiecare dispozitiv nou.
• Separare între laboratoare: fiecare laborator vede doar proprii pacienți și rezultate, printr-o izolare la nivel de rând în baza de date.
• PDF-uri inalterabile: fiecare rezultat este păstrat cu amprenta sa SHA-256, astfel încât orice modificare ar fi detectată.
• Înregistrarea completă a accesărilor: fiecare deschidere a unui rezultat și fiecare modificare a telefonului sau a e-mailului sunt consemnate.
• Niciun rezultat nu se deschide doar cu linkul din e-mail: codul este întotdeauna necesar.
• Antete de securitate: site-ul nu poate fi încorporat în alte site-uri și nu transmite adresa sa altor site-uri (fără referrer).
• Personalul deschide PDF-urile doar prin serverele noastre: fiecare deschidere este înregistrată, iar peste 200 într-o oră accesul este oprit.
• Analize sensibile (HIV, hepatite, genetică): laboratorul poate decide să le predea personal. Pacientul nu este anunțat și nu vede nimic online până când laboratorul nu permite.
• Registru pentru inspecție: fiecare laborator poate preda inspecției sanitare lista trimiterilor sale, fără niciun conținut medical.

2. Verificabil de oricine

Aceste verificări independente sunt publice: oricine le poate relua pentru rezulto.app.

• Qualys SSL Labs — configurația HTTPS: A+
• Mozilla HTTP Observatory — antete de securitate: A+
• Starea serviciului — verificată în fiecare oră, ultimele 90 de zile

3. Sfaturi pentru pacienți

• Nu comunicați niciodată codul nimănui.
• Rezulto nu vă va cere niciodată codul la telefon.
• Verificați ca adresa din browser să fie rezulto.app.
• Pe un dispozitiv folosit în comun, deconectați-vă după ce ați terminat.

4. Raportarea unei vulnerabilități

Dacă descoperiți o vulnerabilitate de securitate, scrieți-ne la security@rezulto.app, descriind problema și pașii pentru a o reproduce.

Nu formulăm acțiuni în justiție împotriva cercetătorilor care acționează cu bună-credință și respectă aceste reguli:

• să nu acceseze date dincolo de ceea ce este necesar pentru a dovedi vulnerabilitatea;
• să nu efectueze atacuri care perturbă serviciul (DoS);
• să ne lase timp să remediem problema înainte de a o face publică.

5. Incidente

În cazul unui incident de securitate care afectează date cu caracter personal, laboratoarele vizate sunt informate în termen de 48 de ore, pentru a putea lua măsurile necesare și a informa pacienții și autoritățile conform legii.