Seguridad y protección de datos
Cómo Populiva protege los datos de investigación y la privacidad de los participantes. Para un HECVAT Lite completo, un acuerdo de tratamiento de datos u otras preguntas de seguridad, escribe a tyler@populiva.com.
Dónde están los datos
La aplicación y la base de datos funcionan en servidores de un centro de datos de Hetzner en Ashburn, Virginia, EE. UU.
Las copias de seguridad se hacen cada hora. Cada una se cifra en nuestro servidor antes de salir (con age, con una clave que Hetzner nunca tiene) y se guarda en un Storage Box de Hetzner en Falkenstein, Alemania. Hetzner no puede leerlas. Probamos las restauraciones.
Cifrado
Todo el tráfico usa HTTPS (TLS). Los campos delicados se cifran en la base de datos con AES-256-GCM: raza u origen étnico, partido e ideas políticas, ingresos del hogar, código postal, respuestas opcionales del perfil, datos del W-9 (nombre legal, dirección, número de contribuyente), mensajes y apelaciones.
Seudónimo por diseño
Los investigadores nunca ven los nombres ni los correos de los participantes. Cada participante tiene un PARTICIPANT_ID distinto en cada laboratorio, así que los laboratorios no pueden vincular a las personas entre sí. Los mensajes bloquean los datos de contacto. Los informes de procedencia y el informe público de calidad solo contienen totales.
El fragmento de calidad que los investigadores pueden agregar a sus encuestas solo envía conteos (tiempo, cambios de pestaña, pegados, velocidad de escritura), nunca respuestas ni pulsaciones de teclas.
Control de acceso
Las cuentas de administrador requieren autenticación de dos factores. Las cuentas de investigadores usan enlaces de inicio de sesión de un solo uso y autenticación de dos factores. El acceso a los servidores es solo con clave SSH, desde una dirección autorizada, detrás de un cortafuegos que solo expone tráfico web (el HTTP simple solo redirige a HTTPS).
Las acciones de los administradores se registran en un registro de auditoría que solo admite agregar. Las direcciones IP de ese registro se guardan solo como hashes con clave.
Dinero
Cada movimiento de dinero es una transacción de contabilidad de partida doble que la base de datos verifica y no permite cambiar después. La contabilidad se concilia cada noche.
Cómo lo construimos y operamos
Cada cambio pasa pruebas automáticas (incluidas las de accesibilidad), análisis de seguridad estático y auditorías de vulnerabilidades de dependencias antes de publicarse. Los servidores instalan actualizaciones de seguridad automáticamente. Los formularios públicos tienen límites de uso.
Se monitorean la disponibilidad y los errores. Los informes de errores se limpian de datos personales antes de salir de nuestros servidores, y nuestra analítica nunca recibe direcciones IP.
Proveedores de servicios
Hetzner (alojamiento y copias cifradas), PayPal (pagos de laboratorios y pagos a participantes), Resend (correo, EE. UU.) y PostHog (analítica de producto y seguimiento de errores, EE. UU.; sin nombres, correos, direcciones IP ni respuestas). Los controles de riesgo de direcciones IP usan bases de datos de MaxMind que funcionan en nuestros propios servidores, así que no se envían datos a MaxMind.
Si algo sale mal
Si confirmamos una brecha que afecte los datos de un laboratorio o de un participante, avisaremos a los afectados sin demora indebida, y dentro de las 72 horas siguientes a confirmarla, con lo que pasó y lo que estamos haciendo al respecto.
Conservación y eliminación
Los laboratorios pueden borrar los datos individuales de un estudio cerrado (datos demográficos compartidos y señales de la encuesta) desde la página del estudio. Conservamos lo que exigen los pagos, las normas fiscales, los reembolsos por fraude y los informes de procedencia firmados. Los participantes pueden pedirnos que borremos su cuenta en cualquier momento.