უსაფრთხოებისა და მონაცემთა დაცვის პოლიტიკა
ბოლო განახლება: 1 ოქტომბერი, 2026
ეს დოკუმენტი აღწერს უსაფრთხოების ზომებს, რომლებიც COFOS-ში მოქმედებს, და რას ველით თქვენგან სანაცვლოდ. უსაფრთხოება საერთო პასუხისმგებლობაა — ჩვენი მხრიდან არც ერთი ზომა არ ცვლის თქვენი მხრიდან გონივრულ პრაქტიკას.
1. რას აკეთებს COFOS
1.1 ავტორიზაცია და სესიის უსაფრთხოება
- პაროლებს მთლიანად ამუშავებს ჩვენი ავტორიზაციის პროვაიდერი, Supabase Auth, სტანდარტული ჰეშირებით. ჩვენ არასდროს ვინახავთ პაროლის ღია ტექსტს და არ გვაქვს მასზე წვდომა.
- მობილურზე თქვენი სესიის ტოკენი ინახება მოწყობილობის ოპერაციული სისტემის უსაფრთხო საცავში — iOS Keychain ან Android Keystore — და არა უბრალო, დაუშიფრავ აპლიკაციის საცავში. დაკარგული ან გატეხილი მოწყობილობა თავისთავად არ გადასცემს გამოსადეგ სესიას.
- ადმინისტრატორის გარდა ანგარიშები ნაგულისხმევად ებმება ერთ რეგისტრირებულ მოწყობილობას, რაც ზღუდავს ერთი გაჟონილი შესვლის მონაცემის შედეგებს.
- ადმინისტრატორებს შეუძლიათ ნებისმიერი თანამშრომლის ანგარიშის დაბლოკვა (შესვლის დაუყოვნებლივი შეჩერება).
1.2 წვდომის კონტროლი
წვდომის კონტროლი მონაცემთა ბაზის დონეზე ხორციელდება row-level security წესებით, რომლებიც თითოეული მომხმარებლის როლზეა მიბმული (მოლარე, მენეჯერი, ადმინისტრატორი) — და არა მხოლოდ აპლიკაციის ინტერფეისში დამალვით. ეს ნიშნავს, რომ აპლიკაციის ინტერფეისის გვერდის ავლით გაგზავნილი მოთხოვნაც კი იგივე როლებზე დაფუძნებულ შეზღუდვებს ექვემდებარება.
1.3 მონაცემები გადაცემისას და შენახვისას
აპლიკაციასა და ჩვენს სერვერულ ნაწილს შორის მთელი კომუნიკაცია დაშიფრულია გადაცემისას (TLS). შენახული მონაცემები დაშიფრულია ჩვენი ინფრასტრუქტურის პროვაიდერის, Supabase-ის, მიერ, მისი სტანდარტული ჰოსტინგის კონფიგურაციის ფარგლებში.
1.4 გადახდის მონაცემები
COFOS PCI DSS-ის მოქმედების სფეროში არ ექცევა: ის არასდროს იღებს, გადასცემს, ამუშავებს ან ინახავს საბანკო ბარათის ნომრებს ან ბარათის მფლობელის სხვა მონაცემებს. ბარათით გადახდებს, რომლებსაც თქვენი ბიზნესი იღებს, მთლიანად ამუშავებს თქვენი საკუთარი გარე გადახდის ტერმინალი ან პროვაიდერი. ბარათს, რომლითაც COFOS-ის გამოწერას იხდით, შეგყავთ Flitt-ის გადახდის გვერდზე და არა აპლიკაციაში; ჩვენ მას არასდროს ვხედავთ.
1.5 ავარიებისა და შეცდომების მონიტორინგი
ჩვენი შეცდომების მონიტორინგის პროვაიდერი (Sentry) განზრახ არის დაკონფიგურირებული ისე, რომ პერსონალური ინფორმაციის ნაგულისხმევი შეგროვება გამორთულია. ავარიის ანგარიშები გამოიყენება შეცდომების გამოსასწორებლად და არა თქვენი ბიზნესის ან მომხმარებლების მონაცემების აღსადგენად.
1.6 მომწოდებლების უსაფრთხოება
ვეყრდნობით დამკვიდრებულ ინფრასტრუქტურის პროვაიდერებს (Supabase, Sentry, PostHog, Firebase/Apple, Flitt) და არა საკუთარი სერვერების მართვას, ამიტომ თქვენი მონაცემების ფიზიკური და ქსელური უსაფრთხოება, ზემოთ აღწერილ აპლიკაციის დონის კონტროლებთან ერთად, მათი უსაფრთხოების პროგრამებითა და სერტიფიკატებითაც სარგებლობს.
2. რას ველით თქვენგან
- დაიცავით საკუთარი შესვლის მონაცემები. ადმინისტრატორის შესვლის მონაცემებს ნუ გაუზიარებთ სხვას. თანამშრომლის წასვლისას ან მოწყობილობის დაკარგვისას შეგნებულად გამოიყენეთ ანგარიშისა და მოწყობილობის დაბლოკვის ფუნქციები.
- აპლიკაცია განაახლეთ. უსაფრთხოების შესწორებები აპლიკაციის განახლებებით მოდის — მოძველებულ ვერსიას შეიძლება აკლდეს დაცვა, რომელიც მიმდინარე ვერსიაში არსებობს.
- საეჭვო შემთხვევები დაუყოვნებლივ შეგვატყობინეთ. თუ გჯერათ, რომ ანგარიში გატეხილია, მოწყობილობა სისტემაში შესულ მდგომარეობაში დაიკარგა, ან შეამჩნიეთ რაიმე, რაც უნებართვო წვდომას ჰგავს, დაგვიკავშირდით დაუყოვნებლივ info@getcofos.com-ზე.
- გამოიყენეთ საკუთარი მოწყობილობის უსაფრთხოების ფუნქციები. COFOS-ის მომხმარებელ ფიზიკურ მოწყობილობებზე ეკრანის დაბლოკვა, ბიომეტრიული ავტორიზაცია და ოპერაციული სისტემის განახლებები თქვენი პასუხისმგებლობაა და არსებითად აისახება ამ მოწყობილობაზე არსებული მონაცემების უსაფრთხოებაზე.
3. უსაფრთხოების მოწყვლადობის შეტყობინება
თუ გჯერათ, რომ COFOS-ში უსაფრთხოების მოწყვლადობა აღმოაჩინეთ (და არა უბრალო შეცდომა), გთხოვთ, პასუხისმგებლობით შეგვატყობინოთ info@getcofos.com-ზე, ნაცვლად საჯარო გახმაურებისა. კეთილსინდისიერად დავადასტურებთ მიღებას და დადასტურებული პრობლემების სწრაფად გამოსწორებას შევეცდებით. ამჟამად ფორმალურ bug bounty პროგრამას არ ვმართავთ.
4. ინციდენტზე რეაგირება
თუ მოხდება უსაფრთხოების ინციდენტი, რომელიც, ჩვენი შეფასებით, თქვენს მონაცემებს ეხება, უსაფუძვლო დაყოვნების გარეშე შევატყობინებთ დაზარალებულ ადმინისტრატორებს მას შემდეგ, რაც ამის შესახებ გავიგებთ და გვექნება საკმარისი ინფორმაცია მნიშვნელოვანი შეტყობინებისთვის, აღვწერთ რა მოხდა, რა მონაცემები იყო ჩართული და რა ნაბიჯებს ვდგამთ. ეს ვალდებულება მოქმედებს მიუხედავად იმისა, ვრცელდება თუ არა თქვენს კონკრეტულ სიტუაციაზე ფორმალური კანონმდებლობა დარღვევის შეტყობინების შესახებ.
5. ამ ზომების ფარგლები
არც ერთი სისტემა არ არის სრულყოფილად დაცული და არც ერთი უსაფრთხოების ზომა — ჩვენი თუ თქვენი — რისკს მთლიანად არ აცილებს. ამ რეალობის სამართლებრივ მოწესრიგებას ჩვენი მომსახურების პირობების პასუხისმგებლობის უარყოფისა და შეზღუდვის პუნქტები არეგულირებს; ეს დოკუმენტი ჩვენს პრაქტიკას აღწერს და არა გარანტიას.