Beveiliging

PandaDoc erkent dat voor de bescherming van de privacy een holistisch beveiligingsprogramma nodig is. Wij hebben uitgebreid onderzoek gedaan en een bronnenpagina gemaakt met gedetailleerde informatie over wat de AVG is en hoe PandaDoc daaraan voldoet.

PandaDoc is SOC 2 Type II gecertificeerd. Wij kunnen op verzoek een SSAE 18 SOC 2-rapport en attesten van naleving leveren. De diensten van PandaDoc worden gehost op het Amazon AWS-platform, en dit document beschrijft de manieren waarop wij gebruik maken van de enorme investeringen die Amazon blijft doen in beveiliging, ten voordele van onze klanten.

De datacenters van PandaDoc (beheerd door Amazon AWS) zijn ultramodern, en maken gebruik van innovatieve architectonische en technische benaderingen. Amazon heeft vele jaren ervaring in het ontwerpen, bouwen en exploiteren van grootschalige datacenters. Deze ervaring is toegepast op het AWS-platform en de infrastructuur.

PandaDoc gebruikt momenteel externe Subverwerkers om verschillende bedrijfsfuncties te vervullen, na due diligence om hun defensieve houding te evalueren, en voert een overeenkomst uit die vereist dat elke Subverwerker minimaal aanvaardbare beveiligingspraktijken handhaaft.

Alle servers waarop PandaDoc-software in productie draait, zijn recente, continu gepatchte Linux-systemen. Extra gehoste diensten waarvan we gebruikmaken, waaronder Amazon RDS en S3, zijn uitvoerig in de praktijk geteste AWS IaaS-platforms (Infrastructure-as-a-Service).

PandaDoc slaat documentgegevens zoals metadata, activiteit, originele bestanden en gegevens van klanten op verschillende locaties op. Daarbij worden desgevraagd ook documenten samengesteld en gegenereerd. Alle inactieve gegevens op elke locatie worden versleuteld met AES-256 en een geavanceerd beheer van encryptiesleutels.

PandaDoc maakt gebruik van programmeertechnieken die in de industrie gebruikelijk zijn, zoals het hanteren van een gedocumenteerd ontwikkelings- en kwaliteitsborgingsproces. Ook volgen we richtlijnen zoals het OWASP-rapport om ervoor te zorgen dat de toepassingen aan de veiligheidsnormen voldoen.

Wij hanteren het beginsel van de minste toegangsrechten in de manier waarop we software schrijven, evenals voor het toegangsniveau dat medewerkers moeten gebruiken bij het diagnosticeren en oplossen van problemen in onze software en bij het beantwoorden van klantverzoeken om ondersteuning.

De productienetwerksegmenten zijn logisch geïsoleerd van andere Corporate, QA, en Development-segmenten.

PandaDoc gebruikt externe beveiligde betalingsverwerking en verwerkt of verzendt geen betaalkaartgegevens en slaat die ook niet op.

Bij PandaDoc worden de productietoepassing en de onderliggende infrastructuurcomponenten 24/7/365 dagen per jaar gemonitord, door speciale monitoringsystemen. Kritische waarschuwingen die door deze systemen worden gegenereerd, worden naar 24/7/365 oproepbare DevOps-teamleden gestuurd en op de juiste manier geëscaleerd naar het operationeel beheer.

De infrastructuur van PandaDoc maakt gebruik van vele gelaagde technieken voor een steeds betrouwbaardere uptime, waaronder het gebruik van auto-scaling, load balancing, task queues en rolling deployments. Wij maken dagelijks volledig geautomatiseerde back-ups van onze databases. Alle back-ups zijn gecodeerd.

De beveiliging van webapplicaties wordt geëvalueerd door het ontwikkelingsteam, synchroon met de releasecyclus van de applicatie. Deze kwetsbaarheidstests omvatten het gebruik van algemeen bekende toolkits en scanners voor de beveiliging van webapplicaties, om kwetsbaarheden van applicaties op te sporen voordat zij in productie worden genomen.

De PandaDoc-webapplicatie heeft meerdere niveaus in logische segmenten (front-end, mid-tier en database), die elk onafhankelijk van elkaar gescheiden zijn in een DMZ-configuratie. Dit garandeert maximale bescherming en onafhankelijkheid tussen de niveaus.