Securitate

1. Principiile noastre

• Minimul necesar. Colectăm doar datele fără de care ședința nu se poate presta în siguranță.
• Acces strict necesar. Nimeni din echipă nu vede date medicale din curiozitate; accesul se verifică pe rol la nivelul backendului.
• Securitate din proiectare. Fiecare funcționalitate nouă trece printr-o analiză de risc înainte de lansare, conform art. 25 și 32 GDPR.
• Presupunem că se poate greși. De aceea avem jurnale, proceduri de restaurare și de răspuns la incidente, care trebuie verificate prin exerciții documentate.

2. Criptare

• În tranzit: tot traficul dintre dispozitivul tău și serverele noastre este criptat cu TLS 1.2 sau superior, cu HSTS activat și redirecționare forțată către HTTPS.
• În repaus: bazele de date, fișierele încărcate și copiile de siguranță sunt criptate cu AES-256 la nivelul furnizorului de infrastructură.
• Secrete și chei: păstrate într-un serviciu dedicat de gestionare a secretelor, niciodată în cod sau în fișiere de configurare din depozitul de cod.
• Parole: stocate exclusiv sub formă de amprentă criptografică, cu algoritmi moderni și sare unică. Nu putem citi parola nimănui.
• Date de card: nu ajung pe serverele noastre. Sunt procesate direct de furnizorul de plăți, certificat PCI DSS.

3. Autentificare

• Autentificare cu cod de unică folosință (OTP) trimis prin SMS sau e-mail, valabil câteva minute și utilizabil o singură dată.
• Limitarea numărului de încercări și întârzieri progresive la încercări repetate, pentru a bloca atacurile automate.

4. Acces pe roluri

• Rolurile sunt separate strict: pacient, terapeut, administrator de clinică, asistență KinetoNow, administrator tehnic.
• Un terapeut vede exclusiv datele pacienților cu care are o programare confirmată, pe durata necesară prestării și documentării ședinței.
• Administratorii nu pot citi planuri de recuperare, jurnale de durere sau mesaje clinice prin interfețele platformei.
• Jurnalul de audit înregistrează operațiuni financiare și schimbări de stare, fără text medical. Nu înregistrează fiecare citire a datelor de sănătate.
• Accesul se acordă potrivit rolului și relației cu pacientul; revizuirea periodică a drepturilor face parte din procedura operațională.

5. Infrastructură și dezvoltare

• Găzduire la furnizori cu certificări recunoscute, cu preferință pentru regiunile din Uniunea Europeană.
• Medii separate pentru dezvoltare, testare și producție. Nu folosim date reale de pacienți în teste.
• Fiecare modificare de cod trece prin revizuire și prin verificări automate înainte de a ajunge în producție.
• Dependențele sunt scanate automat pentru vulnerabilități cunoscute, iar actualizările critice se aplică prioritar.
• Copiile de siguranță depind de configurația furnizorului. Dovada restaurării necesită un exercițiu documentat într-un mediu izolat.
• Furnizorii care prelucrează date în numele nostru necesită acorduri conform art. 28 GDPR. Serviciile folosite sunt descrise în Politica de confidențialitate.

6. Monitorizare și incidente

• Monitorizăm continuu disponibilitatea, erorile și tiparele de acces neobișnuite, cu alerte către echipa tehnică.
• Avem un plan de răspuns la incidente cu roluri, praguri de escaladare și comunicare.
• În cazul unei încălcări a securității datelor care poate genera un risc pentru drepturile persoanelor, notificăm ANSPDCP în cel mult 72 de ore și informăm direct persoanele afectate atunci când riscul este ridicat, conform art. 33 și 34 GDPR.
• După fiecare incident facem o analiză a cauzelor și publicăm, unde este relevant pentru utilizatori, măsurile luate.

7. Raportarea vulnerabilităților

Dacă ai descoperit o problemă de securitate în KinetoNow, vrem să aflăm de la tine înainte să afle altcineva. Scrie-ne la contact@kinetonow.ro.

Ce ne ajută într-un raport:

• descrierea vulnerabilității și impactul estimat;
• pașii de reproducere, cât mai exacți;
• adresa URL, dispozitivul și versiunea aplicației;
• capturi de ecran sau un scurt videoclip, dacă ajută.

Ce îți promitem:

• confirmăm primirea în 2 zile lucrătoare;
• îți comunicăm o evaluare inițială în 10 zile lucrătoare;
• remediem problemele critice cu prioritate maximă și te ținem la curent până la închidere;
• te menționăm public, cu acordul tău, în lista celor care ne-au ajutat.

Nu avem, deocamdată, un program de recompense financiare. Dacă lansăm unul, anunțăm aici. Nu inițiem acțiuni legale împotriva cercetătorilor care respectă regulile de mai jos.

8. Reguli pentru cercetarea de securitate

• Nu accesa, nu modifica și nu descărca date care nu îți aparțin. Dacă dai peste date personale, oprește-te imediat și spune-ne.
• Nu rula atacuri de tip denial of service, nu trimite spam și nu face inginerie socială asupra utilizatorilor sau a angajaților noștri.
• Folosește conturi de test proprii; nu prelua conturi reale.
• Nu publica vulnerabilitatea până nu o remediem sau până nu trec 90 de zile de la raportare, oricare survine prima.
• Respectă legislația română, inclusiv dispozițiile Codului penal privind accesul ilegal la un sistem informatic.

9. Ce poți face tu

• Nu comunica nimănui codul OTP. Noi nu ți-l cerem niciodată, pe niciun canal.
• Verifică expeditorul e-mailurilor. Îți scriem doar de pe adrese ale domeniilor kinetonow.ro sau kinetonow.com.
• Ține sistemul de operare și aplicația actualizate și blochează ecranul dispozitivului.
• Deconectează-te de pe dispozitivele pe care nu le mai folosești.
• Dacă bănuiești un acces neautorizat, scrie-ne imediat la contact@kinetonow.ro.