Χρήματα και δεδομένα, στη σωστή θέση

1. Τα στοιχεία κάρτας δεν περνούν από εμάς

Η πληρωμή γίνεται μέσα σε πεδία που φιλοξενεί η Stripe, πιστοποιημένος πάροχος PCI DSS Level 1. Ο πλήρης αριθμός κάρτας, η ημερομηνία λήξης και το CVV δεν φτάνουν ποτέ στους διακομιστές μας.

Εμείς βλέπουμε ότι μια πληρωμή πέτυχε, το ποσό, και τα τέσσερα τελευταία ψηφία ώστε να αναγνωρίζεις την κάρτα σου στο ιστορικό. Δεν αποθηκεύουμε κάρτες.

Αυτό δεν είναι μόνο μέτρο ασφαλείας· είναι σχεδιαστική απόφαση. Δεδομένα που δεν κρατάς δεν μπορούν να διαρρεύσουν από εσένα.

2. Τα χρήματα δεν στέκονται σε εμάς

Κάθε παίκτης πληρώνει το μερίδιό του με τη δική του κάρτα, και το ποσό πηγαίνει απευθείας στον λογαριασμό Stripe του συνεργάτη. Κρατάμε την προμήθεια πάνω στη συναλλαγή και τίποτα άλλο.

Το Kourt δεν κρατά χρήματα τρίτων και δεν λειτουργεί ως πάροχος υπηρεσιών πληρωμών. Δεν υπάρχει λογαριασμός μεσεγγύησης με τα έσοδα των γηπέδων μέσα.

3. Κρυπτογράφηση

• Στη μεταφορά: όλη η επικοινωνία εφαρμογής, ιστότοπου και Desk με το API γίνεται πάνω από TLS 1.2 και άνω. Δεν σερβίρουμε τίποτα σε HTTP.
• Στην αποθήκευση: η βάση δεδομένων και τα αντίγραφα ασφαλείας κρυπτογραφούνται σε επίπεδο δίσκου.
• Κωδικοί: δεν αποθηκεύονται σε αναγνώσιμη μορφή. Η ταυτοποίηση γίνεται μέσω ξεχωριστού παρόχου ταυτότητας με σύγχρονους αλγόριθμους κατακερματισμού.
• Μυστικά: κλειδιά API και διαπιστευτήρια ζουν σε μεταβλητές περιβάλλοντος, ποτέ μέσα στον κώδικα ή στο αποθετήριο.

4. Πρόσβαση βάσει ρόλου

Η πλατφόρμα έχει τέσσερα διακριτά περιβάλλοντα διαχείρισης — γήπεδο, προπονητής, κατάστημα και εσωτερική διαχείριση. Ο ρόλος καθορίζει τι βλέπει ο καθένας, και ο έλεγχος γίνεται στο API, όχι στη διεπαφή.

• Ένα γήπεδο βλέπει μόνο τις δικές του κρατήσεις. Δεν βλέπει τα δεδομένα άλλου γηπέδου.
• Ένας προπονητής βλέπει μόνο τους δικούς του μαθητές.
• Οι εσωτερικοί λογαριασμοί έχουν το ελάχιστο εύρος που χρειάζεται η δουλειά τους.

Το ότι μια οθόνη δεν εμφανίζει ένα κουμπί δεν είναι ασφάλεια. Ο περιορισμός επιβάλλεται στον διακομιστή, όπου δεν μπορεί να παρακαμφθεί από τον browser.

5. Μητρώο ενεργειών

Οι ενέργειες που έχουν συνέπειες καταγράφονται: αλλαγή διαθεσιμότητας, επιβεβαίωση ή ακύρωση κράτησης, επιστροφή χρημάτων, μεταβολή ρόλου, πρόσβαση σε δεδομένα πελάτη.

Το μητρώο μας επιτρέπει να απαντήσουμε στο «ποιος το άλλαξε και πότε» — που είναι η μόνη χρήσιμη απάντηση όταν κάτι πάει λάθος.

6. Ελαχιστοποίηση δεδομένων

Δεν ζητάμε δεδομένα «για παν ενδεχόμενο». Δεν ζητάμε ΑΦΜ από παίκτες, δεν ζητάμε ταυτότητα για να παίξεις, δεν ζητάμε πρόσβαση στις επαφές σου.

Η άδεια τοποθεσίας είναι προαιρετική: η εφαρμογή δουλεύει με την περιοχή που δηλώνεις μόνος σου.

Οι περίοδοι διατήρησης είναι γραμμένες και πεπερασμένες — δες τον πίνακα στην Πολιτική Απορρήτου, ενότητα 9. Ο λογαριασμός και το ιστορικό διαγράφονται από εσένα, με ένα κλικ.

7. Αντίγραφα και ανάκτηση

Κρατάμε αυτόματα κρυπτογραφημένα αντίγραφα της βάσης, με δοκιμασμένη διαδικασία επαναφοράς. Ένα αντίγραφο που δεν έχει δοκιμαστεί δεν είναι αντίγραφο.

8. Πώς γράφουμε τον κώδικα

• Κάθε αλλαγή περνά από έλεγχο κώδικα πριν φτάσει στην παραγωγή.
• Αυτοματοποιημένες δοκιμές στα κρίσιμα μονοπάτια: κρατήσεις, πληρωμές, δικαιώματα.
• Οι εξαρτήσεις παρακολουθούνται για γνωστές ευπάθειες και ενημερώνονται.
• Ξεχωριστά περιβάλλοντα ανάπτυξης και παραγωγής. Δεν δοκιμάζουμε με αληθινά δεδομένα πελατών.
• Οι είσοδοι επικυρώνονται στον διακομιστή, με αυστηρά σχήματα.

9. Σε περιστατικό

Αν συμβεί παραβίαση δεδομένων που ενέχει κίνδυνο για τα δικαιώματά σου:

1. Περιορίζουμε το περιστατικό και σταματάμε την αιτία.
2. Ενημερώνουμε την ΑΠΔΠΧ μέσα σε 72 ώρες από τη στιγμή που το αντιληφθούμε.
3. Ενημερώνουμε εσένα χωρίς αδικαιολόγητη καθυστέρηση, με το τι συνέβη, τι δεδομένα αφορά και τι να κάνεις.
4. Δημοσιεύουμε τι αλλάξαμε ώστε να μην επαναληφθεί.

Δεν θα μάθεις για ένα περιστατικό από κάπου αλλού.

10. Τι μπορείς να κάνεις εσύ

• Χρησιμοποίησε μοναδικό κωδικό, ιδανικά από διαχειριστή κωδικών.
• Μη μοιράζεσαι τον λογαριασμό σου.
• Δεν θα σου ζητήσουμε ποτέ κωδικό, πλήρη αριθμό κάρτας ή κωδικό επαλήθευσης με email, μήνυμα ή τηλέφωνο. Αν σου το ζητήσει κάποιος, δεν είμαστε εμείς.
• Κράτα την εφαρμογή ενημερωμένη.
• Αν δεις κάτι ύποπτο, γράψε στο hello@dinami.ai.

11. Αναφορά ευπάθειας

Αν βρήκες κενό ασφαλείας, θέλουμε να το μάθουμε. Στείλε στο hello@dinami.ai τι βρήκες και πώς αναπαράγεται.

Δεσμευόμαστε να:

• απαντήσουμε μέσα σε τρεις εργάσιμες,
• σε κρατάμε ενήμερο για την πορεία,
• μην κινηθούμε νομικά εναντίον σου για καλόπιστη έρευνα που δεν έβλαψε δεδομένα χρηστών και δεν διέκοψε την υπηρεσία.

Σε παρακαλούμε μην δημοσιοποιήσεις το εύρημα πριν το διορθώσουμε, και μην αποκτήσεις πρόσβαση σε δεδομένα άλλων χρηστών για να αποδείξεις το ζήτημα.