Chính sách bảo mật

Authagonal ("chúng tôi", "của chúng tôi") được vận hành bởi Sam Critchley (ABN 69 472 204 717), một cá nhân kinh doanh tại Úc. Chính sách này mô tả cách chúng tôi thu thập, sử dụng, lưu trữ và tiết lộ thông tin cá nhân phù hợp với Các Nguyên tắc Bảo mật Úc (APPs) theo Đạo luật Bảo mật 1988 (Cth).

1. Thông tin chúng tôi thu thập

Chúng tôi thu thập các loại thông tin cá nhân sau:

• Thông tin tài khoản — tên, địa chỉ email và mã băm mật khẩu khi bạn đăng ký với tư cách chủ sở hữu tenant hoặc quản trị viên cổng.
• Dữ liệu xác thực người dùng cuối — địa chỉ email, mã băm mật khẩu, thông tin xác thực MFA, siêu dữ liệu phiên và dấu thời gian đăng nhập của người dùng xác thực qua tenant của bạn. Dữ liệu này được xử lý thay mặt bạn với tư cách bên xử lý dữ liệu.
• Thông tin thanh toán — chúng tôi thu thập email và tên tenant của bạn cho thanh toán Stripe. Chi tiết thẻ thanh toán được xử lý hoàn toàn bởi Stripe và không bao giờ đi qua máy chủ của chúng tôi.
• Dữ liệu sử dụng — các chỉ số tổng hợp (số lần đăng nhập, tỷ lệ phát hành token, lượng gọi API) được thu thập theo tenant cho phân tích bảng điều khiển. Những dữ liệu này không chứa thông tin cá nhân.
• Dữ liệu kỹ thuật — địa chỉ IP, chuỗi user agent và siêu dữ liệu yêu cầu trong nhật ký máy chủ. Nhật ký được giữ lại 30 ngày.

2. Cách chúng tôi sử dụng thông tin

• Để cung cấp và vận hành dịch vụ xác thực Authagonal.
• Để xác thực người dùng, phát hành token và thực thi các chính sách bảo mật do quản trị viên tenant cấu hình.
• Để xử lý thanh toán và quản lý đăng ký qua Stripe.
• Để gửi email giao dịch (xác nhận tài khoản, đặt lại mật khẩu). Chúng tôi không gửi email tiếp thị.
• Để giám sát tình trạng dịch vụ, phát hiện lạm dụng và thực thi giới hạn tốc độ.
• Để phản hồi yêu cầu hỗ trợ.

3. Vai trò bên xử lý dữ liệu

Khi người dùng cuối xác thực qua Authagonal, chúng tôi hoạt động với tư cách bên xử lý dữ liệu thay mặt bạn. Bạn (tenant) là bên kiểm soát dữ liệu và xác định dữ liệu nào được thu thập và sử dụng như thế nào. Chúng tôi xử lý dữ liệu người dùng cuối chỉ để cung cấp dịch vụ xác thực theo cấu hình của bạn.

4. Cách chúng tôi lưu trữ và bảo vệ dữ liệu

• Tất cả dữ liệu được lưu trữ trong các trung tâm dữ liệu Microsoft Azure. Dữ liệu tenant được lưu trong Azure Table Storage với cách ly theo tenant (tiền tố bảng riêng biệt cho mỗi shard).
• Tất cả kết nối sử dụng TLS 1.2 trở lên. Dữ liệu ở trạng thái nghỉ được mã hóa bởi Azure Storage Service Encryption.
• Mật khẩu được băm bằng bcrypt. Chúng tôi không bao giờ lưu trữ mật khẩu dạng văn bản thuần.
• Truy cập hạ tầng sản xuất yêu cầu xác thực đa yếu tố và bị hạn chế cho nhân sự được ủy quyền.
• Khóa ký được xoay tự động và lưu trữ mã hóa trong Azure Key Vault.

5. Tiết lộ thông tin

Chúng tôi không bán thông tin cá nhân. Chúng tôi có thể tiết lộ thông tin cá nhân cho:

• Stripe — để xử lý thanh toán.
• Microsoft Azure — với tư cách nhà cung cấp hạ tầng.
• Cơ quan thực thi pháp luật — khi luật pháp Úc hoặc lệnh tòa hợp lệ yêu cầu.

6. Chuyển dữ liệu xuyên biên giới

Hạ tầng Azure của chúng tôi được lưu trữ tại Úc (Central US trong giai đoạn beta). Một số dữ liệu có thể được xử lý ở các khu vực pháp lý khác bởi các bên xử lý phụ (Stripe, Microsoft). Chúng tôi thực hiện các bước hợp lý để đảm bảo các bên này tuân thủ nghĩa vụ bảo mật tương đương với APPs.

7. Lưu giữ dữ liệu

• Dữ liệu tenant được lưu giữ trong suốt thời gian đăng ký. Khi hủy, dữ liệu được giữ lại 30 ngày rồi xóa vĩnh viễn.
• Quản trị viên tenant có thể cấu hình chính sách lưu giữ người dùng (tự động vô hiệu hóa và xóa sau thời gian không hoạt động).
• Nhật ký máy chủ được giữ lại 30 ngày.
• Bản sao lưu được giữ lại 90 ngày.

8. Quyền của bạn

Theo APPs, bạn có quyền:

• Truy cập thông tin cá nhân chúng tôi lưu giữ về bạn.
• Yêu cầu sửa chữa thông tin không chính xác.
• Yêu cầu xóa tài khoản và dữ liệu liên quan.
• Khiếu nại với Văn phòng Ủy viên Thông tin Úc (OAIC) nếu bạn cho rằng chúng tôi đã vi phạm APPs.

Quản trị viên tenant có thể truy cập, xuất và xóa dữ liệu người dùng cuối thông qua cổng tenant hoặc SCIM API bất cứ lúc nào.

9. Cookie

Authagonal sử dụng cookie phiên chỉ cho mục đích xác thực. Chúng tôi không sử dụng cookie theo dõi, cookie phân tích hoặc cookie quảng cáo bên thứ ba. Cổng quản lý tenant sử dụng sessionStorage để quản lý trạng thái OIDC.

10. Thay đổi chính sách này

Chúng tôi có thể cập nhật chính sách này theo thời gian. Các thay đổi quan trọng sẽ được thông báo qua địa chỉ email liên kết với tài khoản tenant của bạn. Ngày "cập nhật lần cuối" ở đầu trang này cho biết bản sửa đổi gần nhất.

11. Liên hệ

Để hỏi về bảo mật hoặc thực hiện quyền của bạn, liên hệ chúng tôi tại privacy@authagonal.io.