Seguridad

Dónde viven tus datos

La aplicación y sus bases de datos funcionan en la UE, en Núremberg, Alemania.

Los archivos que subes se almacenan en Cloudflare R2, en la región de Europa Occidental de Cloudflare. Se entregan a través de la red de Cloudflare, por lo que un archivo puede servirse desde una ubicación cercana a la persona que lo solicita.

Tus datos están separados de los de cualquier otro cliente

Fóir decide quién puede leer y escribir cada fila dentro de la propia base de datos, mediante row-level security. El lugar habitual para esa comprobación es una capa de API por encima de la base de datos, y ahí es donde la mayoría de las plataformas son más débiles. Nuestras reglas las compila a partir de una sola especificación Demesne, nuestro motor de código abierto, y la row-level security está forzada en cada tabla que gobierna la especificación. Una prueba enumera todas las tablas de nuestro esquema y falla ante cualquiera que se haya añadido sin una decisión registrada sobre cómo está protegida.

Una comprobación en una capa de API cubre solo las rutas que alguien se acordó de proteger. Una regla dentro de la base de datos cubre también las rutas que nadie recordó, incluido el código que se escriba más adelante y el que escribimos nosotros mismos. Hay más en la página sobre la aplicación en la base de datos.

Cifrado

En tránsito, toda conexión externa usa TLS.

En reposo, los archivos que subes están cifrados por Cloudflare R2.

Los secretos que almacenas en Fóir, como las credenciales de tus propias integraciones, se cifran con AES-256-GCM antes de escribirse. Al listar tus secretos se devuelven sus nombres y fechas, no sus valores. Las herramientas del asistente y de los agentes pueden almacenar y listar secretos, pero no pueden leer ninguno. Un valor solo se devuelve a quien llama que tenga permiso de lectura sobre ese secreto, y cada lectura queda registrada.

Copias de seguridad y recuperación

Las bases de datos de producción tienen copia de seguridad continua, con recuperación a un punto en el tiempo. Nuestros objetivos son como máximo una hora de pérdida de datos y como máximo cuatro horas para restablecer el servicio.

También ensayamos las restauraciones.

Disponibilidad

Todavía no publicamos un SLA de disponibilidad. El estado actual y los incidentes pasados están en nuestra página de estado, status.foir.io.

Cómo informar de una vulnerabilidad

Escribe a info@foir.io. Cuéntanos qué encontraste y cómo reproducirlo, y por favor danos la oportunidad de corregirlo antes de hacerlo público.

Cumplimiento

No contamos con la certificación SOC 2.

Ofrecemos un Acuerdo de Encargado del Tratamiento de Datos si se solicita: escribe a info@foir.io. Todos los subencargados que usamos figuran en la página de privacidad.