Prezentare generală a securității

Versiunea 1.11 — în vigoare din 28 octombrie 2026

Domeniu

SYNRADX TECHNOLOGIES S.R.L. aplică măsuri tehnice și organizatorice proporționale cu natura unui serviciu cloud profesional. Această prezentare descrie controalele generale, nu dezvăluie configurații sensibile și nu reprezintă o certificare independentă.

Infrastructură

Runtime-ul administrat, baza de date și serviciile principale sunt configurate în regiunea Google Cloud europe-west1 din Belgia. Mediile de producție și cele neproductive sunt separate. Credentialele server-side sunt păstrate în Secret Manager și nu sunt incluse în bundle-ul browserului sau în repository.

Identitate și acces

• sesiuni opace, hashuri server-side și cookie-uri HttpOnly, SameSite și Secure pe HTTPS;
• parole stocate prin algoritmi de hashing adaptați parolelor, nu în clar;
• autentificare Google opțională, când este activată, cu state anti-CSRF;
• autentificare în doi pași pentru conturile administrative și furnizorii critici unde este disponibilă;
• acces acordat după principiul minimului necesar și separat pe rol și mediu;
• revocarea sesiunilor și control al dispozitivelor.

Protecția datelor

Datele sunt protejate în tranzit prin HTTPS/TLS. Criptarea la rest este furnizată de serviciile cloud administrate, împreună cu controalele de acces ale proiectului. Conținutul clinic este exclus intenționat din telemetria operațională. Nu introducem chei API, tokenuri sau parole în logurile și răspunsurile utilizatorului.

Înregistrările audio sunt procesate numai pentru funcția cerută. Recuperarea locală folosește IndexedDB pe dispozitiv, cu limită de trei fișiere, 50 MiB și 24 de ore; protecția fizică și criptarea dispozitivului rămân responsabilitatea clientului.

Securitatea aplicației

Aplicăm, după caz:

• validare de intrare și ieșire, limite de dimensiune și time-out;
• autorizare pe rută și separarea datelor între conturi;
• rate limiting partajat, limite de cost și concurență, circuit breaker și fail-closed;
• protecții CSRF, cookie și headere de securitate;
• verificarea semnăturii și idempotentă pentru webhookuri;
• scanarea dependențelor, teste automate și review înainte de release;
• mesaje de eroare controlate, fără stack trace sau secrete către client.

Continuitate și restaurare

Serviciile administrate folosesc backup și mecanisme de restaurare configurate pentru mediul aplicabil. Procedurile de deploy păstrează o revizie de rollback și includ smoke controlat. Obiectivele de recuperare depind de plan și de incident; nu promitem disponibilitate neîntreruptă sau pierdere zero în orice situație.

Furnizori

Evaluăm furnizorii după rol, date, securitate și contract. Datele și accesul sunt limitate la serviciul activ. Lista publică este disponibilă la Subprocesatori.

Incidente

Evenimentele sunt investigate, limitate, documentate și remediate. Dacă un incident privind datele personale necesită notificare, vom informa operatorul client fără întârzieri nejustificate și vom sprijini obligațiile legale aplicabile.

Raportați vulnerabilități la security@imoray.app. Nu testați distructiv, nu accesați datele altora și nu includeți date de pacient în email. Vom confirma primirea și vom comunica proporțional cu severitatea.

Responsabilitatea clientului

Clientul trebuie să securizeze dispozitivele și rețeaua, să folosească conturi individuale și autentificare puternică, să limiteze accesul, să anonimizeze conținutul, să mențină software-ul actualizat și să verifice exporturile înainte de transmitere în alte sisteme.