Co chronimy i jak.

Gdzie są Twoje dane

Dane aplikacji są przechowywane we Frankfurcie, w Niemczech, w Supabase. Monitorowanie błędów (Sentry) również jest hostowane we Frankfurcie.

Niektóre dalsze podmioty przetwarzające znajdują się poza Unią Europejską: Vercel (hosting aplikacji, obliczenia we Frankfurcie, spółka prawa amerykańskiego), Resend (e-maile) i Anthropic (asystent). Te przekazania danych są objęte EU-US Data Privacy Framework lub standardowymi klauzulami umownymi Komisji Europejskiej.

Pełna lista, z rolą każdego z nich, znajduje się na stronie Podmioty przetwarzające.

Do czego Hokku ma dostęp w Twoim sklepie

Hokku prosi Shopify wyłącznie o dostęp potrzebny do działania swoich funkcji: produkty, stany magazynowe, rabaty, koszyk, motyw, pliki, zamówienia, dostawa, rynki.

• Zamówienia służą do mierzenia Twoich wyników: odczytujemy kwotę i numer zamówienia.
• Hokku nie przechowuje żadnych danych kontaktowych Twoich klientów: ani imienia i nazwiska, ani adresu e-mail, ani adresu.
• Wizyty są powiązane z losowym identyfikatorem, nigdy z imieniem i nazwiskiem.

Każda wymiana danych jest weryfikowana

• Każde połączenie korzysta z HTTPS. Przeglądarki otrzymują polecenie, by przez rok nigdy nie wracać do HTTP.
• Każda wiadomość wysyłana przez Shopify do Hokku jest sprawdzana za pomocą podpisu. Wiadomość z nieprawidłowym podpisem jest odrzucana.
• Żądania pochodzące z Twojego sklepu są sprawdzane w ten sam sposób.
• W Twoim panelu Shopify aplikacja otwiera się z tokenem sesji wydanym przez Shopify, ważnym przez ograniczony czas.

Od strony technicznej: HSTS max-age 31536000 · podpisy HMAC SHA-256 porównywane w stałym czasie · nagłówki nosniff, Referrer-Policy i Permissions-Policy, ścisła CSP w App Proxy.

Jak długo przechowujemy Twoje dane

• Gdy odinstalujesz Hokku, Twoje sesje są usuwane od razu.
• Około 48 godzin później Shopify zgłasza żądanie usunięcia danych Twojego sklepu: tokeny dostępu, zgłoszenia do wsparcia i rozmowy są usuwane, a numery zamówień anonimizowane.
• Twoja konfiguracja jest przechowywana przez 60 dni na wypadek Twojego powrotu, a następnie usuwana.
• Rozmowy z asystentem: 30 dni.
• Zgłoszenia do wsparcia: 12 miesięcy. Adres e-mail do odpowiedzi: 90 dni.
• Usunięte dane mogą pozostać w kopiach zapasowych przez maksymalnie 7 dni.
• Kopie wysyłanych przez nas e-maili pozostają przez 30 dni u naszego dostawcy poczty e-mail, plus 7 dni w kopii zapasowej.
• Na żądanie dostępu do danych złożone przez jednego z Twoich klientów odpowiadamy w ciągu 30 dni.

Szczegóły znajdziesz w naszej polityce prywatności i w umowie powierzenia przetwarzania danych.

Kopie zapasowe i logi

• Kopia zapasowa bazy danych jest wykonywana codziennie. Każda kopia jest przechowywana przez 7 dni.
• Supabase deklaruje: „All customer data is encrypted at rest with AES-256 and in transit via TLS.” (supabase.com/security)
• Monitorowanie błędów nie rejestruje danych osobowych, adresów IP ani treści żądań.
• Logi serwera są przechowywane przez 1 dzień, logi bazy danych przez 7 dni.

Nasz kod jest monitorowany

• Każdą zmianę skanujemy w poszukiwaniu hasła lub klucza pozostawionego w kodzie.
• Używane przez nas biblioteki są stale sprawdzane w bazach znanych podatności.
• Poprawki bezpieczeństwa tych bibliotek są proponowane automatycznie.
• Dostęp do kont administracyjnych jest ograniczony i chroniony silnym uwierzytelnianiem.

Od strony technicznej: automatyczne kontrole przy każdej zmianie kodu, na całej jego historii, oraz stałe monitorowanie znanych podatności.

Zgłoś podatność

Napisz na support@gethokku.com. W przypadku poważnej podatności dodaj „[URGENT]” w temacie wiadomości: takie wiadomości czytamy codziennie.

• Potwierdzenie otrzymania w ciągu 5 dni roboczych.
• Pierwsza ocena w ciągu 14 dni.
• Informacja o postępach co najmniej raz w miesiącu.
• Dążymy do wdrożenia poprawki w ciągu 90 dni, a następnie uzgadniamy z Tobą datę publikacji.
• Badania prowadzone w dobrej wierze, w ramach tej polityki, nie spowodują żadnych kroków prawnych z naszej strony.