Găzduire
HONESTAS rulează în unul din două locuri, cu același software în ambele.
- Cloud-ul nostru din UE. Centre de date în Irlanda. Datele dumneavoastră sunt stocate și prelucrate în Uniunea Europeană și dumneavoastră alegeți unde este păstrat fiecare tip de date: în cloud-ul nostru din UE sau în propriul centru de date.
- Propriul dumneavoastră centru de date. HONESTAS instalat pe propriul hardware, în spatele propriilor controale de rețea. Actualizările sosesc sub formă de pachete semnate pe care le aprobați înainte de a rula.
În ambele cazuri, înregistrările sigilate sunt scrise într-un depozit de înregistrări din afara instalării, cu o marcă temporală externă, astfel încât compromiterea unei instalări nu îi poate rescrie istoricul.
Criptare și chei
- Datele sunt criptate în tranzit și în repaus, cu o cheie separată pentru fiecare companie.
- Vă puteți păstra propriile chei în propriul depozit de chei. Dacă retrageți cheia, datele pe care le protejează nu mai pot fi citite.
- Cheile care sigilează înregistrările sunt păstrate separat de cheile care protejează datele și nu sunt niciodată disponibile persoanelor care semnează deciziile.
- Apelurile IA rulează pe propriile conturi și chei de la furnizorii de modele, în baza propriilor contracte. Fiecare apel este înregistrat împreună cu cheia, modelul și versiunea utilizată.
- Numerele de card nu ajung niciodată în HONESTAS. Clienții le introduc direct în câmpurile proprii ale procesatorului de plăți.
Izolare
Fiecare cerere în HONESTAS indică trei lucruri: compania căreia îi aparține, ale cui sunt datele și unitatea care face solicitarea. O cerere care nu le poate indica pe toate trei este refuzată cu codul SCOPE_REFUSED, iar refuzul este înregistrat.
- Între companii. Fiecare asigurător, broker, MGA sau TPA are propriul spațiu și propriile chei. Într-o cameră comună de plasare a riscului, separarea dintre piețe este verificată înainte de trimiterea fiecărui mesaj.
- Între proprietari. Un TPA sau un broker care lucrează pentru mai mulți clienți păstrează înregistrările fiecărui client sub numele clientului respectiv.
- Între unități. Echipe precum unitatea de investigații speciale (SIU) pot fi izolate în interiorul aceleiași companii.
Fiecare fișier încărcat este deschis într-un mediu izolat (sandbox) fără acces la rețea, este citit și apoi șters definitiv.
Acces
- Utilizatorii se autentifică prin propriul dumneavoastră furnizor de identitate prin SAML sau OIDC, conturile fiind sincronizate prin SCIM. Semnăturile pe decizii folosesc chei de acces (passkeys) de pe dispozitivul propriu al persoanei.
- Rolurile decid ce poate vedea și face fiecare persoană. Modificările riscante, cum ar fi o nouă limită de competență sau o nouă versiune de model, așteaptă aprobarea unei a doua persoane.
- În caz de urgență, unui administrator i se poate acorda acces complet pentru o perioadă scurtă, sub supravegherea unei a doua persoane și cu fiecare pas înregistrat.
- Accesul personalului Adverant este limitat, aprobat și înregistrat.
Jurnalizare
Fiecare autentificare, citire, modificare, apel IA și acțiune de administrator este jurnalizată cu detalii despre cine, ce, când și de unde. Jurnalele sunt păstrate în afara instalării dumneavoastră, nu pot fi editate și sunt păstrate pentru perioada pe care o stabiliți. Le puteți trimite către propriile instrumente de securitate prin API-ul de evenimente.
Testare
- Testeri independenți verifică HONESTAS pentru vulnerabilități. Remedierea constatărilor se face în ordinea severității.
- Fiecare versiune compilată (build) este semnată, iar software-ul pe care îl conține este verificat pentru vulnerabilități cunoscute înainte de livrare.
- Verificările care refuză decizii, sigiliul și barierele dintre companii sunt testate la fiecare lansare.
Incidente
Dacă un incident vă afectează datele, anunțăm persoana de contact pentru securitate desemnată de dumneavoastră fără întârzieri nejustificate și urmăm planul din contract. Vă oferim o cronologie de la prima alertă și datele necesare pentru a vă îndeplini propriile obligații de raportare conform DORA și GDPR.
Raportați o problemă
Trimiteți un e-mail la security@honestas.ai. Vă rugăm să includeți:
- ce ați găsit și unde (adresa, ecranul sau componenta);
- pașii pentru a reproduce problema, cu orice cod demonstrativ (proof-of-concept) sau capturi de ecran;
- ce ar putea face un atacator cu această vulnerabilitate, în opinia dumneavoastră;
- cum vă putem contacta și dacă doriți să vi se acorde credit.
Scrieți în limba engleză, dacă puteți. Un singur raport clar este mai util decât mai multe rapoarte scurte. Vă rugăm să nu includeți date cu caracter personal peste care ați dat; descrieți-le în schimb. Remediem mai întâi cele mai grave probleme, vă anunțăm când remedierea este lansată și stabilim de comun acord când pot fi făcute publice detaliile.
Ce intră în domeniul de aplicare
- honestas.ai și subdomeniile sale, inclusiv consola HONESTAS;
- HONESTAS așa cum îl rulăm în cloud-ul nostru din UE, inclusiv autentificarea, depozitul de înregistrări și verificatorul de înregistrări;
- aplicațiile HONESTAS pentru iOS și Android, SDK-ul storefront și API-ul public.
În afara domeniului de aplicare: atacuri asupra personalului nostru (phishing, inginerie socială), atacuri fizice, atacuri de tip refuz-serviciu (DoS), constatări care necesită un dispozitiv deja compromis și rapoarte de la scanere automate fără un impact demonstrat. O instalare în centrul de date propriu al unui client aparține acelui client; vă rugăm să raportați problemele de acolo atât lor, cât și nouă.
Reguli pentru cercetători
- Folosiți doar conturi și date care vă aparțin sau care v-au fost oferite pentru testare.
- Faceți doar minimul necesar pentru a demonstra problema. Opriți-vă și anunțați-ne imediat ce ajungeți la datele altei companii.
- Nu modificați și nu ștergeți date, nu degradați serviciul și nu păstrați accesul mai mult decât este necesar.
- Păstrați detaliile private până când am convenit asupra unei date de divulgare.
Protecție juridică (Safe harbour)
Dacă acționați cu bună-credință și respectați aceste reguli, vom trata cercetarea dumneavoastră ca fiind autorizată. Nu vom intenta acțiuni legale împotriva dumneavoastră și nu vă vom raporta autorităților pentru aceasta, iar dacă altcineva o face, vom clarifica faptul că ați acționat cu permisiunea noastră. Acest lucru nu acoperă acțiunile care încalcă legea în moduri pe care aceste reguli nu le pot autoriza.
Divulgare
Preferăm să publicăm detaliile după ce o remediere este disponibilă pentru toți cei care au nevoie de ea. Vom conveni asupra momentului împreună cu dumneavoastră și nu vă vom cere să păstrați tăcerea mai mult decât este necesar pentru a ne proteja clienții. Dacă nu suntem de acord, vă vom explica de ce.
Dacă sunteți client, raportați un incident suspectat prin persoana de contact pentru securitate din contractul dumneavoastră sau prin serviciul de asistență din interiorul HONESTAS, astfel încât să putem urma planul dumneavoastră de incident. Pentru a vedea unde sunt stocate datele dumneavoastră și reglementările pe care le acoperim, vizitați centrul de încredere.
Ultima actualizare: 23 octombrie 2026