Sécurité et confiance
Ce que nous faisons, et ce que nous n'allons pas prétendre.
Les pages sécurité énumèrent généralement des certifications. Vous trouverez ci-dessous ce qui est réellement mis en œuvre, puis un état clair de ce que Runner ne détient pas encore, car c'est cette seconde liste qui compte dans une revue achats.
Accès
Qui voit quoi, et comment cela prend fin à leur départ.
- Rôles
- Administrateur, responsable d'agence, opérateur de commandes, commercial et chauffeur. Chacun voit les sites et les tâches que son rôle autorise.
- Accès par site
- Chaque personne se voit attribuer les sites et les dépôts précis où elle travaille, et non l'ensemble de l'entreprise par défaut.
- Révocation
- Retirer quelqu'un supprime ses accès partout en même temps, y compris dans l'application sur son propre téléphone.
- Un seul compte Runner
- La même connexion que le reste de la plateforme Runner : e-mail et mot de passe, ou un code à usage unique par téléphone.
Données
Où elles se trouvent et qui peut y accéder.
- Isolation des clients
- Chaque lecture est limitée à l'entreprise à laquelle les données appartiennent, une règle appliquée par le serveur plutôt que laissée au bon vouloir du client.
- Transport
- TLS partout, y compris entre l'application et le service de synchronisation.
- Hébergement
- Régions Royaume-Uni et Union européenne. Si vous avez une exigence de localisation des données, indiquez-le-nous et nous vous le confirmerons par écrit.
- Conservation
- Les enregistrements sont conservés pendant la durée exigée par le secteur ; la suppression d'une entreprise efface ses données sur demande.
Vérification
La confiance entre acheteur et fournisseur, consignée.
- Dossiers d'entreprise
- L'entreprise d'un acheteur est vérifiée une seule fois, auprès des registres publics lorsqu'ils existent, avec des références commerciales et des garanties, et conservée sous forme de conclusions plutôt que de rapports bruts.
- Partagé à dessein
- Un acheteur partage son dossier avec un fournisseur pour une finalité donnée, et peut le retirer.
- Un point de masquage unique
- Tout ce qu'un fournisseur voit d'un client passe par un point unique, afin que rien ne fuite par accident.
- Journal des accès
- Chaque consultation du dossier d'un client est journalisée, et le client peut lire ce journal.
Exploitation
Comment les modifications arrivent en production.
- Limitation du débit
- Par utilisateur et par point d'accès, sur les routes susceptibles d'être détournées.
- Protection contre les robots
- L'inscription, les codes de connexion et les formulaires publics sont protégés contre les abus automatisés.
- Piste d'audit
- Chaque commande conserve un historique de chaque modification en termes clairs, avec son origine et son auteur.
- Gestion des changements
- Chaque modification de schéma est livrée sous forme de migration relue et appliquée par le déploiement, jamais à la main sur une base de données.
Ce que nous ne prétendons pas
La liste honnête.
Certifications que Runner ne détient pas actuellement
Runner n'est certifié ni ISO 27001, ni SOC 2, ni Cyber Essentials Plus. À tout questionnaire fournisseur qui les demande, nous apporterons cette réponse par écrit, sans réponse nuancée.
Ce que nous fournirons : un questionnaire de sécurité complété, la liste de nos sous-traitants, un accord de traitement des données et un interlocuteur désigné pour les incidents. Si la certification est une exigence achats pour vous, dites-le tôt. Cela modifie le calendrier, et nous préférons vous le dire à la première réunion plutôt qu'à la cinquième.
Les documents complets
Les politiques sont publiées sur le site Runner.
Une seule entreprise se tient derrière chaque produit Runner. Le détail de la sécurité et les documents juridiques sont donc publiés une seule fois, sur runnerapp.io.
Envoyez-nous le questionnaire.
Les questionnaires de sécurité, les accords de traitement des données et les listes de sous-traitants sont traités par les personnes qui construisent la plateforme.