Kepercayaan, dijelaskan.

Klausa kejujuran

Kami belum menyelesaikan audit SOC 2 atau ISO 27001 luaran bagi sistem kami sendiri. Kami tidak akan memaparkan lencana tersebut untuk diri kami sendiri. Di mana kami bergantung kepada vendor yang memegang audit tersebut — Clerk, Convex, Vercel, Dodo — kami menyenaraikan pensijilan mereka dalam bahagian infrastruktur di bawah, kerana pensijilan tersebut terpakai kepada lapisan hosting dan identiti yang kami duduki, bukan kepada kod asas kami sendiri. Kami lebih suka menjadi syarikat kecil yang berkata benar daripada syarikat kecil yang meminjam lencana orang lain.

— Ditandatangani, pasukan zlabz.io

1. 01

   GDPR · Peraturan EU 2016/679

   Diakui sendiri

   Asas yang sah (persetujuan + kontrak), notis privasi yang telus, pengurangan data, had pengekalan 13 bulan, hak subjek penuh (akses, pembetulan, pemadaman, kebolehgunaan, bantahan, sekatan), subprosesor yang dinamakan, pemindahan mesra EU, dan langkah keselamatan yang didokumentasikan.

   Bagaimana kami memenuhinya/privacy · persetujuan kuki terperinci · /api/user/export · pemadaman akaun dalam /settings · /subprocessors

2. 02

   UK GDPR · 2021

   Diakui sendiri

   Peraturan GDPR khusus UK selepas Brexit. Kami menggunakan kawalan yang sama seperti GDPR EU — versi UK adalah secara substansial sama di peringkat operasi, jadi pematuhan dijalankan melalui mekanisme yang sama.

   Bagaimana kami memenuhinyaKawalan yang sama seperti GDPR EU · notis privasi yang selaras dengan ICO

3. 03

   CCPA / CPRA · California, USA

   Diakui sendiri

   Tiada penjualan atau perkongsian maklumat peribadi, notis jelas semasa pengumpulan, hak untuk tahu / akses / hapus / betulkan, hak untuk mengehadkan penggunaan maklumat sensitif, tiada diskriminasi untuk melaksanakan hak. Kami melayan semua pengguna CA dengan pendekatan hak maksimum.

   Bagaimana kami memenuhinya/privacy · 'Do Not Sell or Share' bukan isu kerana kami tidak · /api/user/export · pemadaman akaun

4. 04

   LGPD · Brazil Lei 13.709/2018

   Diakui sendiri

   Undang-undang privasi Brazil yang dimodelkan pada GDPR. Kami bergantung pada persetujuan dan asas kontrak yang sah, menghormati semua hak subjek data, dan menandakan LGPD secara eksplisit dalam banner kuki kami supaya pengguna Brazil mengenali kerangka tersebut.

   Bagaimana kami memenuhinyaPenanda LGPD dalam banner kuki · /privacy · /api/user/export

5. 05

   ePrivacy · Arahan EU 2002/58 (undang-undang kuki)

   Diakui sendiri

   Tiada kuki tidak penting yang diaktifkan sebelum persetujuan eksplisit. 'Terima semua' dan 'Tolak pilihan' mempunyai keutamaan yang sama. Tiada kotak yang telah ditandai, tiada 'X' yang secara senyap menerima. Persetujuan adalah versi dan tamat secara automatik pada 13 bulan supaya perubahan material meminta semula.

   Bagaimana kami memenuhinyaPenyekatan skrip sebelum persetujuan dalam cookie-consent.tsx · persetujuan versi dalam use-cookie-consent.ts

6. 06

   COPPA · USA · Kanak-kanak di bawah 13 tahun

   Diakui sendiri

   Perkhidmatan kami tidak ditujukan kepada kanak-kanak di bawah 13 tahun. Kami tidak secara sedar mengumpul maklumat peribadi daripada kanak-kanak, dan kami menjelaskan ini dalam bahasa yang mudah dalam dasar privasi kami. Jika kami mengetahui seorang kanak-kanak telah mendaftar, kami akan memadamkan akaun tersebut setelah diberitahu.

   Bagaimana kami memenuhinyaBahagian 'Kanak-kanak' dalam /privacy · tiada ciri yang menyasarkan kanak-kanak

7. 07

   PCI DSS · Skop SAQ-A

   Diakui sendiri

   Data kad tidak pernah menyentuh pelayan kami. Semua pembayaran dialihkan ke Dodo Payments (penyedia yang disahkan PCI DSS Tahap 1). Itu meletakkan kami dengan jelas dalam skop SAQ-A — bentuk pematuhan PCI yang paling ringan, dan satu-satunya dakwaan jujur untuk pedagang yang tidak pernah mengendalikan PAN.

   Bagaimana kami memenuhinyaPembayaran dihoskan oleh Dodo · tiada penyimpanan PAN · tiada tangkapan CVV

01

Hosting · Vercel + Coolify

Beban kerja web dan API utama dijalankan di Vercel (SOC 2 Type II, ISO 27001). Perkhidmatan render dan carian dijalankan pada VPS EU yang diuruskan oleh Coolify dengan fail2ban, firewall UFW, dan pengguna deploy bukan root. TLS dikuatkuasakan dari hujung ke hujung.

02

Pangkalan data · Convex (disulitkan ketika rehat)

Semua data pengguna disimpan dalam Convex, yang menyulitkan data ketika rehat secara lalai dan disahkan SOC 2 Type II. Kami membuat pertanyaan dengan skop per pengguna yang ketat melalui identiti Clerk — tiada laluan akses rentas penyewa.

03

Identiti · Clerk (kami tidak pernah menyentuh kata laluan)

Clerk mengendalikan log masuk, penyimpanan kata laluan, MFA, putaran sesi, dan OAuth. Kami tidak pernah melihat atau menyimpan kata laluan. Sesi adalah berasaskan JWT dan disahkan per permintaan terhadap JWKS Clerk.

04

Pembayaran · Dodo (PCI Tahap 1)

Pembayaran dialihkan ke Dodo Payments. Nombor kad, CVV, dan PAN penuh tidak pernah dihantar ke zlabz.io atau disimpan dalam pangkalan data kami — hanya status pelan, ID langganan, dan metadata pengebilan.

05

Pengangkutan · HTTPS sahaja, TLS moden

Semua titik akhir menguatkuasakan HTTPS melalui HSTS. Kami menetapkan header COOP/COEP yang ketat pada laluan editor untuk keselamatan SharedArrayBuffer, dan aplikasi berjalan dalam konteks tanpa kelayakan CORS.

06

Pengekalan · Had 13 bulan

Data akaun disimpan semasa akaun anda aktif. Pada pemadaman, tugas kaskade Convex menghapuskan profil, langganan, kredit, projek, dan sejarah sokongan. Rekod pengebilan disimpan mengikut minimum undang-undang cukai (biasanya 7 tahun) seperti yang diperlukan.

• Dasar Privasi—>
• Syarat Perkhidmatan—>
• Senarai Subprosesor—>
• Perjanjian Pemprosesan Data (DPA)—>