Veiligheidsbeleid

We nemen beveiliging en privacy serieus en houden ons aan de beveiligingsnormen op ondernemingsniveau die uw klantgegevens beschermen.

Veiligheidsteam

Ons team houdt voortdurend beveiligingsmeldingen van alle softwarebibliotheken van derden in de gaten en als ze worden geïdentificeerd, passen we onmiddellijk relevante beveiligingspatches toe zodra ze worden vrijgegeven. Onze ingenieurs werken samen met de productteams om ervoor te zorgen dat alle code en infrastructuur van TaxDome een veilig ontwikkelingsproces volgt.

Infrastructuur

Alle TaxDome’s applicatie- en data-infrastructuur wordt op Amazon Web Services (AWS) gehost, een zeer schaalbaar cloud computing-platform met ingebouwde end-to-end beveiligings- en privacyfuncties.

Onze diensten zijn ontworpen met redundantie, fouttolerantie en noodherstel voorop, en zijn verdeeld over drie afzonderlijke beschikbaarheidszones (datacenters). Al onze infrastructuur bevindt zich in onze virtuele privécloud (VPC), waarbij de productietoegang is beperkt tot medewerkers die operationele ondersteuning bieden. Hierdoor kunnen wij gebruikmaken van volledige firewallbescherming, privé IP-adressen en andere beveiligingsfuncties.

Raadpleeg https://aws.amazon.com/security/ voor meer specifieke details over AWS-beveiliging.

Uptime en Beschikbaarheid van Gegevens

Wij streven naar een uptime van 99,99% voor al onze producten en om dat te ondersteunen, hosten wij onze monitoring- en loggingsystemen buiten AWS en gebruiken wij diverse hulpmiddelen om elke anomalie die de levering van onze diensten zou kunnen beïnvloeden, nauwkeurig te monitoren en te rapporteren.

Al onze diensten worden ingezet in ten minste drie beschikbaarheidszones om eventuele problemen met de beschikbaarheid van één datacenter te beperken. In het geval van een dergelijke noodsituatie waardoor AWS geen service kan leveren aan een van de beschikbaarheidszones (AZ) in een regio, kunnen wij geen gegevens ophalen totdat de service in onze AZ’s is hersteld.

In het onwaarschijnlijke geval dat gegevens in de TaxDome-database verloren zouden gaan of beschadigd zouden raken, zullen wij in staat zijn om gegevens te herstellen vanuit een back-up met een verlies van niet meer dan 5 minuten. Gedurende deze tijd bieden we geen aanvullende noodplannen om gegevens te leveren vanwege de zeer korte aard van de hersteltijd.

Gegevens en Datacenter

Alle gegevens worden in de VS opgeslagen in HIPAA-conforme datastores met meerdere huurders in door Amazon Web Services gecontroleerde datacenters, en worden beschermd onder een ondertekende BAA met AWS. Alleen degenen binnen Amazon die een legitieme zakelijke behoefte hebben aan dergelijke informatie kennen de werkelijke locatie van deze datacenters, en de datacenters zelf zijn beveiligd met een verscheidenheid aan fysieke controles om onbevoegde toegang te voorkomen.

Applicatie

Door het gebruik van geautomatiseerde en handmatige analyses en een constante veiligheidscontrole van bibliotheken van derden, zorgen wij er zo goed mogelijk voor dat wij producten leveren die vrij zijn van veiligheidsgebreken en dat de gegevens strikt volgens de instructies van onze klant worden verwerkt. Alle TaxDome webapplicatie communicatie is PCI compliant en ondersteunt TLS v1.2, en kan niet door derden worden bekeken. Wij hanteren hetzelfde coderingsniveau als banken en financiële instellingen.

Bovendien ondersteunen wij een aantal op beveiliging gerichte functies om uw gegevens veilig te houden

• Gegevenscodering – Alle klantgegevens zijn encrypted at rest, inclusief: e-mailadressen van gebruikers, gebruikerswachtwoorden, API-sleutels, inclusief sleutels van derden die zijn opgeslagen door Apps.
• Bedrijfsspecifieke gegevens worden gescheiden gehouden door logische scheiding op het gegevensniveau, op basis van toegangsrechten en rollen op applicatieniveau.
• API Beveiliging – In onze API v2.0 ondersteunen wij OAuth/SAML-authenticatie en een UI voor het intrekken van apparaattokens.

E-mailveiligheid

TaxDome ondersteunt TLS-codering op alle inkomende en uitgaande e-mails. Voor een uitleg over hoe e-mailcodering werkt, raden wij u dit overzicht van Google aan.

Technische- en Operationele Praktijken

Wij ontwerpen alle diensten met een hoge beschikbaarheid in gedachten. Ons doel is een uptime van 99,99% voor al onze producten. Om dit doel te bereiken volgen wij een aantal engineering best practices

• Onveranderlijke infrastructuur – Wij brengen geen wijzigingen aan in live code of actieve servers in productie. Waar toepasselijk behandelen wij zowel onze software als onze infrastructuurconfiguratie als code. Dat betekent dat alle wijzigingen een formele codecontrole, geautomatiseerd testen en geautomatiseerd implementatieproces doorlopen.
• Continue integratie en levering – Wij maken gebruik van automatisering voor continue integratie en implementatie en van hulpmiddelen voor configuratiebeheer om meerdere keren per dag code te bouwen, te testen en te implementeren.
• Reactie op incidenten – Ons toegewijde infrastructuur- en beveiligingsteam heeft een roulerend oproepschema om onmiddellijk te kunnen reageren op beveiligings- of beschikbaarheidsproblemen.
• Beveiligingsaudits – Regelmatig voert een onafhankelijk beveiligingsbedrijf een white-box penetratietest uit op ons systeem en onze codebasis. Op verzoek kunnen de resultaten van de laatste audit worden verstrekt aan huidige of potentiële klanten.
• Maandelijkse PCI-scan – Wij voeren elke maand een PCI-scan uit om voortdurend op niveau 3 PCI-naleving te handhaven, waarbij wij ons houden aan de strenge industrienormen voor het online opslaan, verwerken en verzenden van creditcardgegevens. Daarnaast versleutelen wij de betalingsgegevens van klanten. Elke ontdekte kwetsbaarheid krijgt prioriteit, wordt opgelost en zo snel mogelijk na ontdekking ingezet.
• Toestemming en administratieve controles – TaxDome maakt het mogelijk toestemmingsniveaus voor alle medewerkers met toegang tot TaxDome in te stellen. Wij volgen het principe van de minste privileges voor elk systeem met toegang tot persoonlijke gegevens en hebben een geautomatiseerde tool-based controle en logging van de toegang, invoer, verwijdering en wijziging van gegevens.