1. Opatření služby
Služba používá HTTPS, hashování hesel a PINů, šifrování vybraných údajů členů, HTTP-only cookies pro autentizaci, auditní záznamy, omezení požadavků, oddělení dat podle gym prefixu a řízení přístupů podle rolí.
2. Odpovědnost zákazníka
Zákazník odpovídá za silná hesla, ochranu PINu, správu přístupů zaměstnanců, bezpečnost vlastních zařízení, odhlašování nepoužívaných zařízení, kontrolu exportů a zákonné používání dat. Exporty stažené mimo službu chrání zákazník.
3. Veřejný členský profil
Veřejný členský profil je ve výchozím stavu vypnutý. Po zapnutí může celé jméno člena, vybrané údaje o členství a návštěvách a odměny fitka vidět bez přihlášení kdokoli, kdo získá veřejný kód nebo odkaz. Kód proto funguje jako přístupový údaj: zákazník jej smí předat jen zamýšlenému členovi, nesmí jej zveřejnit a při podezření na únik musí profil vypnout a zajistit změnu kódu nebo vydání nové permanentky.
Služba omezuje rozsah veřejných odpovědí, odesílá je s pokynem k neukládání a nezobrazuje interní poznámky, identity obsluhy, NFC UID ani interní systémové identifikátory. Tato opatření však nenahrazují utajení kódu ani právní povinnosti zákazníka jako správce.
4. Přístup provozovatele
K produkčním datům má přístup provozovatel a osoby, kterým provozovatel udělí nezbytné oprávnění pro provoz, podporu, bezpečnost nebo vývoj. Tyto osoby jsou vázány povinností mlčenlivosti.
5. Hlášení zranitelností
Bezpečnostní chyby nesmí být zneužity ani veřejně šířeny před nápravou. Nahlášení posílejte na info@activecard.cz s popisem dopadu a kroky k reprodukci.