Salewise

Güvenlik ve temellendirme

Güven bir mekanizmadır,
rozet değil.

Bu sayfa kanıttır: sistemin neyi zorunlu kıldığı, neyi sakladığı, ona kimin erişebildiği ve henüz neyi geliştirmediğimiz.

Güvenlik sorusu sorunGizlilik bildirimini okuyun

Güvenlik iletişimi

support@salewise.co.uk

Yeniden üretme adımlarını ekleyin. Lütfen başka bir satıcının verisine erişmeyin veya hizmeti aksatmayın.

Mevcut durum

  • SOC 2 veya ISO 27001 sertifikası yok.
  • Henüz bağımsız sızma testi yok.
  • Kart verisi tutulmuyor.

Kısa versiyon

Dört iddia ve kanıtın bulunduğu yer.

Pazarlama sıfatları değil. Arkasında kod olan tasarım kararları.

01

Model fiyat belirleyemez.

Getirme, üretimden önce çalışır. Model aday kimlikler arasından seçer; sunucu bunları doğrular ve fiyatı, stoğu ve varyantları kendisi oluşturur.

Mekanizmayı okuyun

02

Sağlayıcı sırları durağan halde şifrelenir.

AES-256-GCM, kayıt başına rastgele bir IV ve her şifreli metni sağlayıcısına, hesabına ve entegrasyon kaydına bağlayan ek kimlik doğrulamalı veri.

Mekanizmayı okuyun

03

Salewise'e kart verisi girmez.

Ödeme sayfası ve PAN saklama yoktur. Müşteri telefonunda karar verir ve satıcının mevcut kasasında öder.

Mekanizmayı okuyun

04

Erişim paylaşılmaz, kapsamlandırılır.

Her mağaza rotasında mağaza sahipliği kontrol edilir. Erişim belirteçleri 15 dakika geçerlidir; yenileme belirteçleri karma hale getirilir ve kullanımda döndürülür.

Mekanizmayı okuyun

Tasarımı gereği temellendirilmiş

Model seçer. Sunucu oluşturur.

Getirme, üretimden önce çalışır. Model adaylar arasından seçer; aritmetiği ve oluşturmayı sunucu yapar.

01

Önce katalogdan getirme

Modelden herhangi bir şey istenmeden önce sunucu, satıcının kataloğundan aday ürünleri getirir. Model açık web'de hiçbir zaman arama yapmaz.

02

Model seçer. Sunucu oluşturur.

Fiyatlar, stok, varyantlar ve kampanyalar katalog kayıtlarından sunucu tarafında oluşturulur. Modelin metnindeki bir sayı hiçbir zaman doğruluk kaynağı değildir.

03

Kimlikler doğrulanır

Modelin seçtiği her ürün, getirilen aday kümesinde bulunmak zorundadır. Geçersiz kimlikler yanıt müşteriye ulaşmadan önce atılır.

04

Dürüst ret

Katalogda bir yanıt yoksa asistan bunu söyler ve bir devir önerir. Model yapılandırılmamışsa veya kullanılamıyorsa asistan yanıt veremediğini bildirir; müşteri yeniden deneyebilir ya da bir çalışana sorabilir.

Modele gidenler

  • Müşterinin sorusu.
  • Getirilen katalog adayları kümesi.
  • Mağaza ayarları ve ilgili politika metni.

Modele asla gidenler

  • Kart verisi veya ödeme kimlik bilgileri.
  • Parolalar, API anahtarları veya Salewise ana anahtarı.
  • POS sistemine yazabilen bir araç.

Kontrol defteri

Güven rozeti değil, kontrol defteri.

Her satır kontrolü, arkasındaki mekanizmayı ve sınırın nerede olduğunu belirtir. Bir anket daha fazla ayrıntı gerektiriyorsa sorun.

Temellendirilmiş yanıtlar

Katalog, doğruluk kaynağıdır.

Sunucu, model çalışmadan önce aday ürünleri getirir. Model yalnızca bu kümeden kimlik seçebilir. Geçersiz kimlikler atılır ve fiyat, stok, varyantlar ve kampanyalar sunucu tarafında oluşturulur. Katalogda yanıt yoksa asistan bunu söyler ve bir devir önerir.

Durağan haldeki kimlik bilgileri

Sırlar şifrelenir, bağlanır ve sürümlenir.

Sağlayıcı kimlik bilgileri, kayıt başına rastgele 96 bitlik IV ile AES-256-GCM kullanır. Ek kimlik doğrulamalı veri, şifreli metni provider:{providerId}:account:{accountId}:credentials değerine bağlar; böylece başka bir kiracıya kopyalanan kayıt çözülemez. keyVersion anahtar rotasyonunu destekler; başarısız bir çözme işlemi sır döndürmek yerine kapalı şekilde başarısız olur.

Salewise istekleri

Yalnızca taşıyıcı değil, imzalı.

Salewise ana API'sine yapılan istekler, yöntem, yol, zaman damgası, nonce ve gövdenin SHA-256 değeri üzerinden bir HMAC-SHA256 imzası taşır. İmza sabit zamanda karşılaştırılır ve bir tekrar oynatma penceresiyle sınırlanır. Ana anahtar sunucu tarafındadır, bir kez yapılandırılır, durağan haldeyken şifrelenir ve hiçbir zaman bir tarayıcıya döndürülmez.

Hesaplar ve roller

Satıcı hesabı, sunucu yöneticisi değildir.

Sage'de satıcı ve sunucu yöneticisi rolleri vardır. Parolalar, hesap başına tuzlarla birlikte scrypt kullanır. Erişim belirteçleri 15 dakika sonra sona erer; yenileme belirteçleri karma olarak saklanır, kullanımda döndürülür ve 30 gün sonra sona erer. Davetler 7 gün sonra sona erer ve davet edilen e-postaya bağlıdır.

Kiracı izolasyonu

Mağaza araması bir sahiplik kontrolüdür.

Her mağaza rotası mağazayı çözer ve veri döndürmeden önce kimliği doğrulanmış hesaba ait olduğunu kontrol eder. Veri erişim yöntemleri hesap ve mağaza kapsamındadır; SQL, rota işleyicilerinde değil veri erişim katmanının arkasında bulunur.

Kart verisi

Ödeme yok, PAN yok.

Salewise ödeme almaz ve kart verisi saklamaz. Müşteri PWA'sında ödeme sayfası yoktur ve işlem satıcının POS sisteminde kalır. Kart ödemelerini işlemediğimizden, kart ödemeleri için PCI DSS kapsamı iddia etmiyoruz.

Saklama

Yapılandırılmış, süresiz değil.

Referans kurulum, oturum dökümleri için 180 gün ve olay kayıtları için 365 gün olarak yapılandırılmıştır; bu süreler ortam ve DPA tarafından belirlenir. Satıcıya özel saklama süresi DPA'da kararlaştırılır ve silme talep üzerine yapılır. Bugün planlı bir temizleme işi iddia edilmemektedir.

Denetim izi

Güvenlikle ilgili olaylar kayıt bırakır.

Kayıt, giriş, başarısız giriş, davetler, kurulum ve entegrasyon kimlik bilgisi değişiklikleri bir denetim günlüğüne yazılır. Denetim ayrıntılarında e-postalar ham olarak saklanmak yerine karma hale getirilir. Günlük bugün dahiliidir; henüz satıcıya açık bir denetim ekranı yoktur.

Model sınırı

Model yalnızca ihtiyaç duyduğu minimumu alır.

Model; müşterinin sorusunu, getirilen katalog adaylarını, mağaza ayarlarını ve ilgili politika metnini alır. Parolaları, API kimlik bilgilerini veya kart verisini almaz ve POS sistemine yazabilen bir aracı yoktur.

“Geliştirildi”, kontrolün bugün üründe bulunduğu anlamına gelir. Her kontrolün bağımsız olarak denetlendiği anlamına gelmez. Eksikler bu sayfanın altında listelenmiştir.

Kimlik bilgileri ve istekler

Durağan halde şifreli. Aktarımda imzalı.

Bir güvenlik incelemecisinin genellikle ilk talep ettiği iki mekanizma.

Durağan haldeki kimlik bilgileri

Algoritma
AES-256-GCM, kimlik doğrulamalı şifreleme.
IV
Kayıt başına 12 rastgele bayt, asla yeniden kullanılmaz.
Bağlama
AAD provider:{providerId}:account:{accountId}:credentials. Kopyalanan bir kayıt çözülemez.
Rotasyon
Her kayıtta keyVersion; rotasyon sırasında önceki anahtar kabul edilir.
Hata
Başarısız bir çözme işlemi kapalı şekilde başarısız olur. Eski bir sırla yeniden denemez.

Salewise istekleri

Ana anahtar, sunucu kurulumu sırasında bir kez yapılandırılır. Her istek onunla imzalanır; imza bir taşıyıcı belirteç değildir.

canonical =
  method + "\n" +
  path + "\n" +
  timestamp + "\n" +
  nonce + "\n" +
  sha256(body);

signature =
  HMAC-SHA256(masterKey, canonical);
  • Zaman damgası ve nonce başlıklarıyla X-Sage-Signature olarak gönderilir.
  • Bir tekrar oynatma penceresiyle sabit zamanda karşılaştırılır.
  • Ana anahtar sunucu tarafında tutulur ve durağan halde şifrelenir.
  • Hiçbir zaman bir tarayıcıya döndürülmez veya günlüğe yazılmaz.

Veri, roller ve saklama

Dar veri. Kapsamlandırılmış erişim. Bir kayıt.

Asistanın bir ürün sorusunu yanıtlamak için müşterinin kim olduğunu bilmesi gerekmez.

Bir oturumun kaydettikleri

  • Bir oturum kimliği, QR kod ve oturumu başlatan reyon.
  • Sorular, yanıtlar ve öneriler.
  • Devir olayları ve zaman damgaları.

Ad, hesap veya kart verisi yok. Demo, bir oturumu adlandırılmış bir müşteriye bağlamaz.

Ona kim erişebilir

  • Bağlı olduğu mağazalarla sınırlı bir satıcı hesabı.
  • Kurulum ve sağlayıcı yapılandırması için bir sunucu yöneticisi.
  • Mağaza rotaları üzerinden satıcılar arası mağaza erişimi yok.

Davetler bir e-postaya bağlıdır ve 7 gün sonra sona erer.

Ne kadar saklanır

  • Oturum dökümleri: 180 gün olarak yapılandırılmıştır.
  • Olay kayıtları: 365 gün olarak yapılandırılmıştır.
  • Satıcıya özel koşullar: DPA'da belirlenir.

Silme talep üzerine yapılır. Bugün planlı bir temizleme işi iddia edilmemektedir.

Denetim olayları

Kayıt, giriş, başarısız giriş, davetler, kurulum ve entegrasyon kimlik bilgisi değişiklikleri bir denetim günlüğüne yazılır. Denetim ayrıntılarında e-postalar ham olarak saklanmak yerine karma hale getirilir. Günlük bugün dahiliidir; onu satıcıya açık bir denetim ekranı olarak sunmuyoruz.

Atıf

Kayıt bir denetimden geçebilmeli.

Eşleşen bir satış ya kesindir ya da modellenmiştir. Satıcı hangisi olduğunu ve nedenini görebilir.

Deterministik

Oturumdan satışa taşınan bir kullanım kodu. Güven 1.0. Modellenmiş olarak işaretlenmemiştir. Satış doğrudan atfedilir.

Modellenmiş

Önerilen ürünleri içeren, iki saatlik bir pencere içindeki aynı mağaza satışı. Bir güven puanı saklanır, 0.92 ile sınırlandırılır ve eşleşme raporlandığı her yerde modellenmiş olarak etiketlenir.

Kesin eşleşmeler kesindir. Modellenmiş eşleşmeler raporlandıkları her yerde modellenmiş olarak etiketlenir. Tek ücret aboneliktir ve atıf gelir olarak sunulmaz.

Dürüst sınırlar

Neyi iddia etmiyoruz.

Eksikler belirtildiğinde güveni kontrol etmek daha kolaydır.

Bir anket bu listede bir şey gerektiriyorsa söyleyin.

Anlaşmayı kaybetmeyi, etrafından dolaşarak yanıt vermeye tercih ederiz.

  • 01

    Bugün SOC 2 veya ISO 27001 sertifikasına sahip değiliz.

  • 02

    Bugün bağımsız bir sızma testi veya güvenlik denetimi tamamlamadık.

  • 03

    Kart ödemeleri için PCI DSS kapsamı iddia etmiyoruz, çünkü kart ödemelerini işlemiyoruz.

  • 04

    Mevcut üründe bir satıcının kataloğu veya konuşmaları üzerinde paylaşılan bir model eğitmiyoruz.

  • 05

    Hiçbir yapay zekâ sistemi risksiz değildir. Temellendirme uydurmayı azaltır; satıcı incelemesi ve devir kuralları ihtiyacını ortadan kaldırmaz.

  • 06

    Bugün planlı bir saklama temizliği çalıştırmıyoruz; silme, DPA kapsamında operasyonel bir prosedürdür.

  • 07

    Denetim günlüğümüz dahilidir ve satıcıya açık bir denetim ekranı olarak sunulmaz.

  • 08

    Bu sayfada bir hizmet seviyesi vaat etmiyoruz; herhangi bir kullanılabilirlik taahhüdü sipariş formunda belirlenir.

Sorumlu bildirim

Bir güvenlik açığı bulduğunuzu düşünüyorsanız, yeniden üretmeye yetecek ayrıntıyla support@salewise.co.uk adresine ulaşın. Lütfen başka bir satıcının verisine erişmeyin, hizmeti aksatmayın veya yanıt verme fırsatımız olmadan kamuya açıklamayın.

Güvenlik soruları

Zor soruyu sorun.

Güvenlik anketleri, veri işleme koşulları ve mimari soruları memnuniyetle karşılarız. Elimizde olanı yanıtlar, olmayanı söyleriz.

Bize ulaşınÜrün ayrıntılarını okuyun