Infrastruktúra
A Bokko elsődleges alkalmazásinfrastruktúrája és adatbázisa a Google Firebase / Google Cloud Platform (GCP) europe-west1 (Belgium) régiójában üzemel — az adatok elsődleges tárolása és backend-feldolgozása az EU-n belül történik.
- Adatbázis: Google Cloud Firestore — natív adattartóssággal és platformszintű replikációval
- Backend: Firebase Cloud Functions — szervermentes, izolált futtatókörnyezet
- Webtárhely: Firebase Hosting — Google-menedzselt SSL tanúsítvánnyal, HTTP nem engedélyezett
- Hitelesítés: Firebase Authentication — a Bokko jelszavakat cleartext formában nem lát és nem tárol
Hozzáférés és titkosítás
Titkosítás
- Minden adat HTTPS/TLS védett csatornán közlekedik; a transzportvédelmi paramétereket a Google/Firebase infrastrukturális rétege biztosítja
- Tárolt adatok AES-256 titkosítással védve (Google platform-szintű kontroll)
Hozzáférés-kezelés
- Alapértelmezett tiltás: hozzáférés kizárólag explicit engedéllyel lehetséges — amit a szabályok nem engednek, az tiltott
- Adat-elkülönítés: minden szolgáltató kizárólag a saját adataihoz fér hozzá; más előfizetők adataihoz hozzáférés technikailag kizárt
- Kritikus műveletek: billing és előfizetési státuszváltás kliensből nem végezhető — kizárólag backend komponensen keresztül hajtható végre
- Admin hozzáférés: Firebase Console MFA-val védve; az éles infrastruktúrához való hozzáférés korlátozott és minimalizált
- Secrets: API kulcsok és webhook secret-ek Google Cloud Secret Manager-ben tárolva; kódba soha nem kerülnek
Monitoring
Kritikus és biztonsági szempontú eseményeket naplózunk és monitorozunk. Incidens észlelésekor belső incidenskezelési eljárás szerint járunk el.
Mentés és helyreállítás
A Bokko Firestore adatbázisán több helyreállítási és mentési kontroll aktív:
- Point-in-time recovery (PITR): 7 napos visszaállítási ablakkal — véletlen törlés vagy hibás írás esetén a visszaállítási időablakon belüli korábbi adatállapot helyreállítható
- Napi mentés: automatikus, 14 napos megőrzéssel
- Heti mentés: automatikus (hétfőnként), 84 napos megőrzéssel
A backend komponensek verziókezelt forrásból újratelepíthetők.
Adatkezelés és megőrzés
A Bokko megőrzési rendet alkalmaz, és a lejárt adatokat automatizált, ütemezett folyamattal távolítja el:
- Lezárt foglalások: 24 hónap után törlődnek
- Inaktív vendégprofilok: 24 hónap aktivitás hiánya után törlődnek
- Számlázási bizonylatok: mindenkori számviteli jogszabály szerint megőrizve
Részletek: Megőrzési és törlési rend
Fizetési biztonság
A Bokko fizetési kártyaadatot nem kezel és nem tárol. A fizetés Stripe Hosted Checkout-on keresztül történik — a kártyaadatok kizárólag a Stripe infrastruktúráján belül kerülnek feldolgozásra. A Stripe PCI DSS Level 1 minősítésű szolgáltató.
A Bokko csak a tranzakció státuszát és a számlázási metaadatokat kapja meg, aláírás-ellenőrzéssel és ismételt feldolgozás elleni védelemmel ellátott webhook-csatornán keresztül.
GDPR és adatvédelem
A Bokko adatkezelési és adatfeldolgozási folyamatai a GDPR követelményeinek figyelembevételével kerültek kialakításra.
- Adatkezelési tájékoztató: részletes leírás a célokról, jogalapokról és az érintetti jogokról
- Adatfeldolgozói melléklet (DPA): GDPR 28. cikk szerinti adatfeldolgozói szerződés minden aktív előfizető számára
- Érintetti jogok (DSAR): hozzáférési, törlési, helyesbítési és hordozhatósági kérelmek kezelése support@bokko.app-on keresztül, 1 hónapon belül
- Incidenskezelés: adatvédelmi incidens esetén az alkalmazandó GDPR-kötelezettségek szerint járunk el, ideértve szükség esetén a hatósági bejelentést
- Al-adatfeldolgozók: teljes listájuk és az alkalmazott adattovábbítási garanciák publikusan elérhetők
Dokumentumok: Adatkezelési tájékoztató · DPA melléklet · Al-adatfeldolgozók
Harmadik fél szolgáltatók
A Bokko az alábbi infrastruktúra- és kommunikációs szolgáltatókat veszi igénybe. Az egyes szolgáltatókra vonatkozó adattovábbítási garanciák és megfelelőségi keretek részleteit az al-adatfeldolgozói nyilvántartás tartalmazza.
| Szolgáltató | Szerepkör | Megfelelőségi keret |
|---|---|---|
| Google Firebase / GCP | Infrastruktúra, adatbázis, hitelesítés, hosting | ISO 27001, SOC 2 Type II, DPF, SCC |
| Stripe Inc. | Fizetési feldolgozás (Bokko számlázás) | PCI DSS Level 1, SOC 2 Type II, DPF, SCC |
| Twilio Inc. | SMS értesítések | ISO 27001, SOC 2 Type II, DPF, SCC |
| Mailjet (Sinch) | Email értesítések | Elsődlegesen EGT-n belüli; SCC ahol alkalmazandó |
Kapcsolat
-
Adatvédelmi kérdések és érintetti joggyakorlás (DSAR):
support@bokko.app -
Biztonsági bejelentés:
Sérülékenység esetén kérjük, jelezd felénk emailben a nyilvános közzététel előtt, hogy lehetőségünk legyen a javításra — support@bokko.app - Üzemeltető: Mácsik Dávid E.V.