Ασφάλεια #

Το EthicsPortal επεξεργάζεται ευαίσθητα δεδομένα αναφορών. Η σελίδα αυτή καταγράφει τα συγκεκριμένα τεχνικά και οργανωτικά μέτρα που εφαρμόζουμε. Απευθύνεται σε υπευθύνους συμμόρφωσης, υπευθύνους προστασίας δεδομένων (DPO) και νομικές ομάδες που αξιολογούν την πλατφόρμα.

Τελευταία ενημέρωση: 2026-11-04.

Κρυπτογράφηση δεδομένων #

Τα ευαίσθητα πεδία της βάσης δεδομένων που παρατίθενται παρακάτω κρυπτογραφούνται σε κατάσταση ηρεμίας με Rails Active Record Encryption και μη ντετερμινιστική κρυπτογράφηση (κάθε κρυπτογράφηση παράγει μοναδικό κρυπτογράφημα, αποτρέποντας την ανάλυση μοτίβων). Η κρυπτογράφηση πεδίων δεν καλύπτει ολόκληρα αντίγραφα της βάσης δεδομένων ούτε συνημμένα αρχεία· αυτά κρυπτογραφούνται χωριστά, όπως περιγράφεται στις ενότητες συνημμένα αρχεία και αντίγραφα ασφαλείας.

Η μη ντετερμινιστική κρυπτογράφηση σημαίνει ότι τα πεδία αυτά δεν μπορούν να αναζητηθούν βάσει τιμής σε επίπεδο βάσης δεδομένων. Ακόμη και με πλήρη πρόσβαση στη βάση δεδομένων, ένας επιτιθέμενος δεν μπορεί να αναζητήσει συγκεκριμένο όνομα προσώπου που αναφέρει στις εγγραφές.

Συνημμένα αρχεία #

Τα αρχεία που επισυνάπτονται σε αναφορές, μηνύματα και εσωτερικές σημειώσεις, οι ηχογραφήσεις φωνής και οι εξαγωγές δεδομένων υποθέσεων κρυπτογραφούνται σε κατάσταση ηρεμίας στο Hetzner Object Storage με AES-256, με ξεχωριστό τυχαίο κλειδί για κάθε αρχείο (κρυπτογράφηση από την πλευρά του διακομιστή με κλειδιά που παρέχει ο πελάτης). Το κλειδί αποστέλλεται με κάθε αίτημα προς τον χώρο αποθήκευσης, και το Hetzner αρνείται κάθε ανάγνωση χωρίς αυτό. Το EthicsPortal αποθηκεύει το κλειδί στη βάση δεδομένων με το Active Record Encryption που περιγράφεται παραπάνω, ώστε τα διαπιστευτήρια του χώρου αποθήκευσης από μόνα τους να μην αρκούν για την ανάγνωση αρχείου: απαιτούνται επίσης η βάση δεδομένων και τα κλειδιά κρυπτογράφησης της εφαρμογής. Τα αρχεία φτάνουν στους εξουσιοδοτημένους χρήστες με ροή μέσω της εφαρμογής, ποτέ μέσω άμεσου συνδέσμου προς τον χώρο αποθήκευσης.

Τα αρχεία που μεταφορτώθηκαν πριν από τις 6 Οκτωβρίου 2026 κρυπτογραφήθηκαν εκ νέου εκείνη την ημερομηνία, και τα μη κρυπτογραφημένα αντίγραφά τους, συμπεριλαμβανομένων των διατηρούμενων προηγούμενων εκδόσεων, διαγράφηκαν. Αρχεία που δεν αποτελούν δεδομένα αναφορών, όπως φωτογραφίες προφίλ και εικόνες κοινοποίησης οργανισμών, δεν κρυπτογραφούνται με αυτόν τον τρόπο. Τίποτα από αυτά δεν προστατεύει από παραβίαση του διακομιστή εφαρμογής, ο οποίος διαθέτει μαζί τα διαπιστευτήρια αποθήκευσης, τη βάση δεδομένων και τα κλειδιά.

Όλες οι συνδέσεις στο EthicsPortal χρησιμοποιούν HTTPS/TLS. Τα μη κρυπτογραφημένα αιτήματα HTTP ανακατευθύνονται.

Ανωνυμία και απόρρητο #

Διευθύνσεις IP #

Το EthicsPortal δεν καταγράφει τη διεύθυνση IP του αναφέροντος μαζί με αναφορές, μηνύματα ή καταχωρίσεις ελέγχου, και τα αρχεία καταγραφής της εφαρμογής για τον δίαυλο αναφορών δεν περιέχουν διευθύνσεις IP.

Ο περιορισμός ρυθμού στον δίαυλο αναφορών (υποβολή αναφοράς, αναζήτηση υπόθεσης, μηνύματα) βασίζεται σε περικομμένο SHA-256 hash με κλειδί της IP του αιτήματος. Το hash είναι ψευδώνυμο, όχι ανώνυμο: δεν μπορεί να διαβαστεί ως διεύθυνση, αλλά όποιος κατέχει το μυστικό κλειδί της εφαρμογής θα μπορούσε να ελέγξει υποψήφιες διευθύνσεις έναντι αυτού. Χρησιμοποιείται μόνο για το διάστημα του περιορισμού (το πολύ 10 λεπτά) και μια εργασία παρασκηνίου το διαγράφει από την κρυφή μνήμη εντός 5 λεπτών από τη λήξη του διαστήματος.

Ο διακομιστής μεσολάβησης TLS μπροστά από την εφαρμογή τηρεί δικό του αρχείο καταγραφής αιτημάτων: διεύθυνση IP, διαδρομή αιτήματος, user agent και κατάσταση απόκρισης. Η διαδρομή της σελίδας όπου το πρόσωπο που αναφέρει βλέπει την αναφορά του περιέχει το αναγνωριστικό υπόθεσης, οπότε μια εγγραφή για αυτή τη σελίδα μπορεί να συνδεθεί με την αναφορά. Τηρούνται σε ένα ενιαίο αρχείο καταγραφής 10 MB που αντικαθίσταται καθώς γεμίζει, επί του παρόντος μετά από περίπου δύο ημέρες· τα στιγμιότυπα διακομιστή 7 ημερών που περιγράφονται στην ενότητα αντίγραφα ασφαλείας μπορεί να περιέχουν αντίγραφό τους.

Αφαίρεση μεταδεδομένων αρχείων #

Τα μεταφορτωμένα αρχεία καθαρίζονται αυτόματα από αναγνωριστικά μεταδεδομένα πριν αποθηκευτούν:

Η αφαίρεση μεταδεδομένων γίνεται στην πλευρά του διακομιστή πριν από την αποθήκευση. Για τους τύπους αρχείων που επεξεργάζεται το exiftool, αυτό προϋποθέτει την ύπαρξη των τυπικών εργαλείων παραγωγής.

Μέσα σε ένα PDF διατηρούνται τα ονόματα στα σχόλια και τα μεταδεδομένα των ενσωματωμένων φωτογραφιών, όπως η θέση GPS και ο σειριακός αριθμός της κάμερας. Το πρόσωπο που αναφέρει και επιθυμεί να αφαιρεθούν θα πρέπει να ανεβάσει τις φωτογραφίες ως ξεχωριστά αρχεία εικόνας και να αφαιρέσει τα σχόλια πριν ανεβάσει ένα PDF.

Έλεγχος για κακόβουλο λογισμικό #

Τα αρχεία που επισυνάπτονται σε αναφορές, μηνύματα και εσωτερικές σημειώσεις ελέγχονται αυτόματα για κακόβουλο λογισμικό με το ClamAV, μια μηχανή προστασίας από ιούς ανοιχτού κώδικα. Ο έλεγχος γίνεται στην πλευρά του διακομιστή, σε διεργασία παρασκηνίου μετά τη μεταφόρτωση. Τα αρχεία που δεν έχουν περάσει τον έλεγχο αποκλείονται από την παράδοση, και τα μολυσμένα αρχεία αφαιρούνται αυτόματα.

Τα αρχεία ελέγχονται στην υποδομή του EthicsPortal — κανένα δεδομένο αρχείου δεν αποστέλλεται σε υπηρεσίες ελέγχου τρίτων.

Αναφορές μέσω email #

Κάθε δίαυλος αναφορών έχει τη δική του διεύθυνση ηλεκτρονικού ταχυδρομείου στο report.ethicsportal.eu. Ένα μήνυμα που αποστέλλεται σε αυτήν γίνεται υπόθεση στον συγκεκριμένο δίαυλο, όπως μια αναφορά που υποβάλλεται μέσω της ηλεκτρονικής φόρμας αναφοράς. Οι αναφορές μέσω email είναι ενεργές από προεπιλογή. Ένας οργανισμός μπορεί να τις απενεργοποιήσει στις ρυθμίσεις του διαύλου, και τότε η διεύθυνση απορρίπτει νέα email μέσα σε ένα λεπτό.

• Ιδιόκτητος διακομιστής αλληλογραφίας. Η αλληλογραφία για αυτές τις διευθύνσεις παραλαμβάνεται από τον διακομιστή αλληλογραφίας του ίδιου του EthicsPortal, στην ίδια υποδομή στη Γερμανία, και όχι από τρίτο πάροχο ηλεκτρονικού ταχυδρομείου. Δέχεται αλληλογραφία μόνο για διευθύνσεις διαύλων, απορρίπτει κάθε άλλη διεύθυνση και δεν προωθεί τίποτα.
• Κρυπτογράφηση κατά τη μεταφορά. Ο διακομιστής προσφέρει TLS 1.2 ή νεότερο με πιστοποιητικό Let’s Encrypt. Το TLS χρησιμοποιείται όταν είναι διαθέσιμο: ένας διακομιστής αποστολής που δεν το υποστηρίζει παραδίδει το μήνυμα χωρίς κρυπτογράφηση.
• Η διεύθυνση του αποστολέα δεν εμφανίζεται στους χειριστές. Η διεύθυνση του αποστολέα αποθηκεύεται κρυπτογραφημένη και δεν εμφανίζεται ποτέ στους χειριστές υποθέσεων, ούτε στην υπόθεση ούτε στο PDF της ή στις εξαγωγές. Το EthicsPortal τη χρησιμοποιεί μόνο για να στείλει στο πρόσωπο που αναφέρει την αυτόματη απάντηση και τις ειδοποιήσεις για νέα μηνύματα.
• Πρόσβαση χωρίς email. Η αυτόματη απάντηση περιέχει τον αριθμό υπόθεσης και έναν κωδικό πρόσβασης μίας χρήσης για το ασφαλές εισερχόμενο, ο οποίος αντικαθίσταται κατά την πρώτη σύνδεση. Οι επόμενες ερωτήσεις και απαντήσεις παραμένουν στο εισερχόμενο και όχι στο email. Όταν ο ίδιος ο τομέας του αποστολέα απορρίπτει τη διεύθυνση μέσω της πολιτικής DMARC του, η αναφορά διατηρείται, αλλά δεν αποστέλλεται κωδικός πρόσβασης. Μετά από 10 αναφορές μέσω email σε έναν οργανισμό, ή 50 σε όλο το EthicsPortal, μέσα σε 24 ώρες, οι επόμενες αναφορές διατηρούνται αλλά δεν αποστέλλεται κανένα email: ούτε αυτόματη απάντηση στο πρόσωπο που αναφέρει ούτε ειδοποίηση μέσω email στους διαχειριστές, οι οποίοι εξακολουθούν να βλέπουν την υπόθεση στην εφαρμογή.
• Συνημμένα. Τα αρχεία υφίστανται την ίδια αφαίρεση μεταδεδομένων και τον ίδιο έλεγχο για ιούς με όσα μεταφορτώνονται μέσω της φόρμας. Τα αρχεία που δεν μπορούν να γίνουν δεκτά (άλλος τύπος, υπερβολικό μέγεθος ή αδύνατος καθαρισμός) παραλείπονται, και το πρόσωπο που αναφέρει ενημερώνεται πόσα ήταν.
• Αντίγραφα. Ένα μήνυμα παραμένει στην ουρά του διακομιστή αλληλογραφίας, στον ίδιο διακομιστή, μόνο έως ότου το αποδεχθεί η εφαρμογή. Η εφαρμογή διατηρεί το αρχικό μήνυμα κρυπτογραφημένο έως ότου αποθηκευτεί η υπόθεση και έπειτα το διαγράφει. Τα αρχεία καταγραφής του διακομιστή αλληλογραφίας καταγράφουν τις διευθύνσεις των διαύλων, ποτέ τη διεύθυνση του αποστολέα.
• Έλεγχοι αποστολέα. Οι έλεγχοι SPF, DKIM και DMARC γίνονται στην υποδομή του EthicsPortal. Κανένα δεδομένο μηνύματος δεν αποστέλλεται σε εξωτερική υπηρεσία ελέγχου ανεπιθύμητης αλληλογραφίας ή φήμης.

Το email δεν είναι ανώνυμο: ο πάροχος email του προσώπου που αναφέρει, καθώς και τα συστήματα αλληλογραφίας του οργανισμού αν γράφει από εταιρικό λογαριασμό, μπορούν να διατηρούν αντίγραφα και αρχεία του μηνύματος. Η αυτόματη απάντηση το αναφέρει και παραπέμπει στην ηλεκτρονική φόρμα αναφοράς όσους θέλουν να παραμείνουν ανώνυμοι.

Email για ενημερώσεις #

Η ηλεκτρονική φόρμα αναφοράς έχει ένα προαιρετικό πεδίο email για ενημερώσεις. Στη διεύθυνση αυτή αποστέλλονται η αυτόματη απάντηση και μια ειδοποίηση όταν γράφει ένας χειριστής, ποτέ το περιεχόμενο της αναφοράς. Η διεύθυνση αποθηκεύεται κρυπτογραφημένη και, όπως η διεύθυνση του αποστολέα μιας αναφοράς μέσω email, δεν εμφανίζεται σε καμία σελίδα των χειριστών, σε κανένα PDF ή σε καμία εξαγωγή. Το πεδίο παραμένει διαθέσιμο όταν το πρόσωπο που αναφέρει υποβάλλει ανώνυμα. Μόνο αν το πρόσωπο που αναφέρει απενεργοποιήσει την ανώνυμη υποβολή και επιλέξει «να εμφανίζεται η διεύθυνση email μου και στους χειριστές υποθέσεων», η διεύθυνση γίνεται διεύθυνση επικοινωνίας που βλέπουν οι χειριστές.

Ανωνυμία χειριστών #

Τα πρόσωπα που αναφέρουν δεν βλέπουν ποτέ τα πραγματικά ονόματα ή τις διευθύνσεις ηλεκτρονικού ταχυδρομείου των προσώπων που χειρίζονται την αναφορά τους. Όλα τα μηνύματα των χειριστών εμφανίζονται ως «Χειριστής υπόθεσης». Αυτό προστατεύει την ταυτότητα των χειριστών και αποτρέπει την κοινωνική μηχανική.

Χωρίς παρακολούθηση #

Το EthicsPortal δεν χρησιμοποιεί cookies παρακολούθησης, διαφημιστικά εικονοστοιχεία ή scripts δημιουργίας αποτυπώματος τρίτων. Χρησιμοποιούμε το Plausible Analytics μόνο στον δημόσιο ιστότοπο, μέσω του δικού μας τομέα. Δεν ορίζει cookies και δεν αποθηκεύει διευθύνσεις IP. Η Cloudflare, που παραδίδει τον δημόσιο ιστότοπο, επεξεργάζεται μεταδεδομένα αιτημάτων, συμπεριλαμβανομένων διευθύνσεων IP, όπως περιγράφεται στην Πολιτική απορρήτου. Ο ίδιος ο δίαυλος αναφορών δεν χρησιμοποιεί εργαλεία ανάλυσης.

Τρέχουσα κατάσταση διασφάλισης #

Το EthicsPortal δεν δηλώνει επί του παρόντος σε αυτόν τον ιστότοπο διαπιστευμένη πιστοποίηση ISO 27001. Επίσης δεν δημοσιεύει προς το παρόν ανεξάρτητο έλεγχο τρίτου μέρους για την αρχιτεκτονική ανωνυμίας. Αν αυτό αλλάξει, το πεδίο εφαρμογής και η ημερομηνία θα δημοσιευθούν εδώ.

Υλικά για αξιολόγηση ασφάλειας #

Οι πελάτες που χρειάζονται υλικά για αξιολόγηση από τμήμα προμηθειών ή νομικό έλεγχο μπορούν να τα ζητήσουν κατά την αξιολόγηση. Τα διαθέσιμα υλικά μπορεί να περιλαμβάνουν υπογεγραμμένη DPA, αποδεικτικά μητρώου και φορολογικά έγγραφα, συμπληρωμένο ερωτηματολόγιο ασφάλειας και γραπτές απαντήσεις για διαδικασίες δημιουργίας και επαναφοράς αντιγράφων ασφαλείας, προνομιακή πρόσβαση σε παραγωγή και αντιμετώπιση περιστατικών.

Έλεγχος πρόσβασης #

Η εξουσιοδότηση εφαρμόζεται στο επίπεδο εφαρμογής με πολιτικές Pundit.

• Οι χειριστές δεν βλέπουν αναφορές που ούτε τους έχουν ανατεθεί ούτε συμμετέχουν σε αυτές. Οι συμμετέχοντες προστίθενται ρητά από διαχειριστή ή από τον κύριο υπεύθυνο της ανάθεσης (για παράδειγμα, για να εμπλακεί το νομικό τμήμα ή το τμήμα ανθρώπινου δυναμικού).
• Τα πρόσωπα που αναφέρουν δεν έχουν λογαριασμό χρήστη — ανοίγουν την αναφορά τους με αριθμό υπόθεσης (WB-XXXX-XXXX) και κωδικό πρόσβασης που δημιουργεί το σύστημα κατά την υποβολή της αναφοράς.
• Κάθε ενέργεια ελεγκτή (controller) ελέγχει την εξουσιοδότηση. Οι μη εξουσιοδοτημένες απόπειρες πρόσβασης αποκλείονται και καταγράφονται.

Δύο παράγοντες #

Οι λογαριασμοί χειριστών και διαχειριστών μπορούν να ενεργοποιήσουν έλεγχο ταυτότητας δύο παραγόντων βασισμένο σε TOTP μέσω οποιασδήποτε τυπικής εφαρμογής ελέγχου ταυτότητας (Google Authenticator, 1Password, Authy και συμβατές εναλλακτικές). Μετά την ενεργοποίηση, η σύνδεση απαιτεί τόσο το κύριο διαπιστευτήριο όσο και έναν εναλλασσόμενο εξαψήφιο κωδικό.

Σύνδεση του προσώπου που αναφέρει #

Τα πρόσωπα που αναφέρουν συνδέονται με τον αριθμό υπόθεσης και έναν κωδικό πρόσβασης. Ο αριθμός υπόθεσης προσδιορίζει την υπόθεση και δεν είναι μυστικός. Ο κωδικός πρόσβασης αποτελείται από 16 τυχαία ψηφία και δημιουργείται από το σύστημα κατά την υποβολή της αναφοράς· το πρόσωπο που αναφέρει δεν τον επιλέγει. Αποθηκεύεται μόνο ως σύνοψη bcrypt, οπότε κανείς δεν μπορεί να τον ανακτήσει, και το EthicsPortal δεν διαθέτει λειτουργία που να επιτρέπει στο πρόσωπο που αναφέρει, στον χειριστή της υπόθεσης ή στον φορέα εκμετάλλευσης να τον επαναφέρει. Αν το πρόσωπο που αναφέρει τον χάσει, υποβάλλει νέα αναφορά και σημειώνει σε αυτήν τον αριθμό υπόθεσης. Οι αναφορές που υποβλήθηκαν πριν από τις 18 Οκτωβρίου 2026 διατηρούν τον εξαψήφιο κωδικό πρόσβασης που είχε επιλέξει τότε το πρόσωπο που αναφέρει, και αυτός εξακολουθεί να λειτουργεί. Το ασφαλές εισερχόμενο και η αποστολή μηνυμάτων είναι προσβάσιμα μόνο σε συνεδρία μετά από αυτόν τον έλεγχο, ώστε ένας αριθμός υπόθεσης που έχει διαρρεύσει να μην επιτρέπει από μόνος του την ανάγνωση της αναφοράς ή την πλαστοπροσωπία του προσώπου που αναφέρει.

Αμέσως μετά την υποβολή εμφανίζεται μια σελίδα με τη διεύθυνση του ασφαλούς εισερχομένου, τον αριθμό υπόθεσης και τον κωδικό πρόσβασης. Η σελίδα παραμένει διαθέσιμη σε αυτό το πρόγραμμα περιήγησης μόνο όσο η υπόθεση είναι ξεκλείδωτη και εξαφανίζεται όταν το εισερχόμενο κλειδώσει μετά από 30 λεπτά αδράνειας ή όταν το πρόσωπο που αναφέρει αποχωρήσει. Στη σελίδα σύνδεσης, το πεδίο του κωδικού πρόσβασης είναι ορατό πεδίο κειμένου με απενεργοποιημένη την αυτόματη συμπλήρωση, και όχι καλυμμένο πεδίο κωδικού πρόσβασης, ώστε τα προγράμματα περιήγησης να μην προσφέρονται να αποθηκεύσουν τον κωδικό πρόσβασης, τον οποίο ένα πρόγραμμα περιήγησης που διαχειρίζεται ο εργοδότης θα μπορούσε διαφορετικά να συγχρονίσει με τον λογαριασμό του εργοδότη. Η επικόλληση λειτουργεί και τα κενά αγνοούνται.

Όταν το προσωπικό καταχωρίζει αναφορά που ελήφθη τηλεφωνικά, σε δια ζώσης συνάντηση, με επιστολή ή μέσω email, και το πρόσωπο που αναφέρει θέλει να παρακολουθεί την υπόθεση διαδικτυακά, το σύστημα δημιουργεί κωδικό πρόσβασης μίας χρήσης, τον οποίο ο χειριστής μεταβιβάζει στο πρόσωπο που αναφέρει. Λειτουργεί μόνο μία φορά: κατά την πρώτη σύνδεση του προσώπου που αναφέρει αντικαθίσταται, στον διακομιστή, από νέο κωδικό πρόσβασης που βλέπει μόνο το ίδιο το πρόσωπο που αναφέρει.

Η πρόσβαση του αναφέροντος λήγει όταν επιλέξει «Έξοδος» ή μετά από 30 λεπτά χωρίς δραστηριότητα. Περίπου δύο λεπτά πριν από το κλείδωμα, μια προειδοποίηση προσφέρει να μείνει ανοιχτό το εισερχόμενο· αν κανείς δεν αντιδράσει, η υπόθεση αφαιρείται από την οθόνη. Η πρόσβαση διατηρείται σε κρυπτογραφημένο cookie στο πρόγραμμα περιήγησης του αναφέροντος και ο διακομιστής δεν διατηρεί συνεδρία του αναφέροντος.

Κύκλος ζωής συνεδριών #

Κάθε αυθεντικοποιημένη συνεδρία καταγράφει last_seen_at σε κάθε αίτημα (με αποσυμφόρηση). Οι χρήστες μπορούν να ελέγξουν τις ενεργές συνεδρίες τους, να δουν πότε ήταν τελευταία ενεργή κάθε μία, να ανακαλέσουν οποιαδήποτε συνεδρία μεμονωμένα ή να αποσυνδεθούν από όλες τις άλλες συνεδρίες μαζί από τις ρυθμίσεις λογαριασμού.

Οι συνεδρίες λήγουν αυτόματα μετά από 14 ημέρες αδράνειας. Το επόμενο αίτημα από μια αδρανή συνεδρία καταστρέφει την εγγραφή στην πλευρά του διακομιστή, διαγράφει το cookie και επιβάλλει εκ νέου αυθεντικοποίηση μέσω νέου μαγικού συνδέσμου. Νυχτερινή εργασία εκκαθαρίζει τις εγκαταλελειμμένες συνεδρίες με το ίδιο χρονικό όριο, ώστε τα user_agent και ip_address να μη διατηρούνται πέρα από το παράθυρο αδράνειας, ακόμη και όταν ο χρήστης δεν επιστρέφει.

Η αυθεντικοποίηση μέσω μαγικού συνδέσμου περιορίζει την έκταση επίπτωσης μακρόβιων συνεδριών: ένα υποκλαπέν cookie συνεδρίας δεν αποτελεί επαναχρησιμοποιήσιμο διαπιστευτήριο και η εκ νέου αυθεντικοποίηση απαιτεί πρόσβαση στο ηλεκτρονικό ταχυδρομείο.

Πρόσβαση μελών και αποχώρηση #

Η πρόσβαση στον οργανισμό εφαρμόζεται στο όριο του αιτήματος. Όταν ένα μέλος απενεργοποιείται:

• Η πρόσβαση στον οργανισμό απορρίπτεται αμέσως, ακόμη και σε προηγουμένως αποθηκευμένα URL.
• Οι αναθέσεις ανοιχτών αναφορών αφαιρούνται.
• Οι συμμετοχές αφαιρούνται.
• Το ιστορικό ίχνους ελέγχου που αποδίδεται στο μέλος διατηρείται.
• Το απενεργοποιημένο μέλος ειδοποιείται.
• Η επανενεργοποίηση δεν αποκαθιστά αυτόματα την προηγούμενη πρόσβαση σε υποθέσεις.

Ο κάτοχος του οργανισμού, ο τελευταίος ενεργός διαχειριστής και ο ορισμένος Υπεύθυνος Παραλαβής και Παρακολούθησης Αναφορών (Υ.Π.Π.Α.) του διαύλου αναφορών δεν μπορούν να απενεργοποιηθούν. Όλα τα συμβάντα απενεργοποίησης και επανενεργοποίησης καταγράφονται στο ίχνος ελέγχου μόνο με προσθήκες.

Η αφαίρεση ενός μέλους απενεργοποιεί την ιδιότητα μέλους αντί να τη διαγράφει, ώστε το ίχνος ελέγχου και το ιστορικό των αναφορών να παραμένουν επιλύσιμα. Η ιδιότητα μέλους διαγράφεται οριστικά μόνο όταν διαγράφεται ο ίδιος ο λογαριασμός του μέλους ή ο ίδιος ο οργανισμός.

Διαγραφή λογαριασμού #

Όταν ένα μέλος κλείνει τον λογαριασμό του, η διεύθυνση ηλεκτρονικού ταχυδρομείου του αντικαθίσταται με μη δρομολογήσιμη διεύθυνση κράτησης θέσης, και η εικόνα προφίλ, τα στοιχεία δύο παραγόντων, οι συνεδρίες, τα διακριτικά API και οι προτιμήσεις του διαγράφονται οριστικά· ο λογαριασμός δεν μπορεί πλέον να αυθεντικοποιηθεί ούτε να δεχθεί επικοινωνία. Αν ο λογαριασμός δεν είχε ενεργήσει ποτέ σε οργανισμό, η εγγραφή διαγράφεται εξ ολοκλήρου. Αν είχε ενεργήσει, το όνομα του μέλους παραμένει, ενώ οι ιδιότητες μέλους του απενεργοποιούνται, ώστε οι διατηρούμενες σημειώσεις υποθέσεων, τα μηνύματα και οι καταχωρίσεις ελέγχου να παραμένουν αποδοτέες. Ο υπεύθυνος επεξεργασίας καθορίζει την περίοδο διατήρησης σύμφωνα με τις τεκμηριωμένες οδηγίες του και το εφαρμοστέο δίκαιο· τα δικαιώματα διαγραφής βάσει του ΓΚΠΔ υπόκεινται στις τυχόν εφαρμοστέες εξαιρέσεις για νομικές υποχρεώσεις ή νομικές αξιώσεις.

Ένας εκκαθαρισμένος λογαριασμός δεν μπορεί να αυθεντικοποιηθεί με κανέναν τρόπο: μαγικό σύνδεσμο, δήλωση SSO ή διακριτικό API.

Περιορισμός ρυθμού #

Τα δημόσια σημεία πρόσβασης του διαύλου αναφορών υπόκεινται σε περιορισμό ρυθμού για την αποτροπή κατάχρησης και επιθέσεων απαρίθμησης:

Ο περιορισμός ρυθμού χρησιμοποιεί το hash IP με κλειδί που περιγράφεται παραπάνω — δεν αποθηκεύεται διεύθυνση IP για τον σκοπό αυτό. Το όριο ανά αριθμό υπόθεσης χρησιμοποιεί ως κλειδί τον ίδιο τον αριθμό υπόθεσης, ο οποίος διαγράφεται από την ίδια κρυφή μνήμη εντός 15 λεπτών.

Έλεγχος και συμμόρφωση #

Ίχνος ελέγχου μόνο με προσθήκες #

Καθορισμένα συμβάντα αναφορών και λογαριασμών καταγράφονται με:

• Χρονοσφραγίδα (UTC)
• Εκτελεστή (ποιος χρήστης ή ποια διεργασία του συστήματος εκτέλεσε την ενέργεια)
• Τύπο ενέργειας (για παράδειγμα, δημιουργία αναφοράς, αλλαγή κατάστασης, αποστολή μηνύματος, ανάθεση χειριστή, εξαγωγή ή διαγραφή αναφοράς). Κάθε προβολή μιας αναφοράς από χειριστή καταγράφεται, με απαλοιφή διπλοεγγραφών σε μία καταχώριση ανά χειριστή ανά αναφορά ανά 24 ώρες, και οι προβολές παρακολούθησης από το πρόσωπο που αναφέρει καταγράφονται με τον ίδιο τρόπο. Οι αναγνώσεις άλλων πόρων δεν καταγράφονται.

Οι καταχωρίσεις του ίχνους ελέγχου γίνονται μόνο με προσθήκες. Κανένας χρήστης, ούτε διαχειριστής οργανισμού, δεν μπορεί να τροποποιήσει μια εγγραφή ή να διαγράψει μεμονωμένη εγγραφή: triggers της PostgreSQL απορρίπτουν τροποποίηση και truncate σε επίπεδο βάσης δεδομένων. Εγγραφές αφαιρούνται μόνο από τον κύκλο διατήρησης ή όταν διαγραφεί ο ίδιος ο οργανισμός, ενώ η προνομιακή παρέμβαση στη βάση παραμένει τεκμηριωμένος υπολειπόμενος κίνδυνος (μητρώο κινδύνων R-08). Το πλήρες ίχνος ελέγχου περιλαμβάνεται στις εξαγωγές υποθέσεων σε PDF για κανονιστικό έλεγχο.

Διατήρηση δεδομένων #

Οι οργανισμοί ορίζουν τη δική τους περίοδο διατήρησης: 12, 24, 36, 48 ή 60 μήνες μετά το κλείσιμο μιας αναφοράς. Όταν λήξει η περίοδος διατήρησης, μια εργασία παρασκηνίου διαγράφει την αναφορά και τα σχετικά δεδομένα από την παραγωγή· τα αντίγραφα ασφαλείας λήγουν σύμφωνα με τον χωριστό τεκμηριωμένο κύκλο ζωής τους.

Τα email προς το πρόσωπο που αναφέρει δεν αφήνουν καμία εγγραφή στο ιστορικό αποστολών του EthicsPortal, οπότε καμία διεύθυνση προσώπου που αναφέρει δεν παραμένει μετά τη διαγραφή της αναφοράς.

Ο υπεύθυνος επεξεργασίας παραμένει υπεύθυνος για την επιλογή περιόδου που ικανοποιεί την αρχή του περιορισμού της περιόδου αποθήκευσης του ΓΚΠΔ και τους εφαρμοστέους εθνικούς κανόνες τήρησης αρχείων.

Προστασία CSRF #

Όλες οι υποβολές φορμών προστατεύονται από επιθέσεις πλαστογράφησης αιτημάτων μεταξύ ιστοτόπων (CSRF) με τα ενσωματωμένα διακριτικά CSRF της Rails.

Ασφαλής κύκλος ζωής ανάπτυξης #

Το EthicsPortal ακολουθεί τεκμηριωμένο κύκλο ζωής ανάπτυξης για τις αλλαγές που αφορούν την Υπηρεσία. Τα στάδια παρατίθενται εδώ ώστε ένας αξιολογητής προμηθειών να μπορεί να τα αντιστοιχίσει στα μέτρα A.8.25–A.8.29 του ISO/IEC 27001:2022 (η πλήρης αντιστοίχιση βρίσκεται στον χάρτη μέτρων).

Διαχείριση εξαρτήσεων και ενημερώσεων ασφαλείας #

Το EthicsPortal δεν αναπτύσσει συστατικά λογισμικού που έχουν φτάσει στο τέλος του κύκλου ζωής τους. Η εφαρμογή εκτελείται σε ενεργά υποστηριζόμενες εκδόσεις των Rails, Ruby, PostgreSQL και του υποκείμενου λειτουργικού συστήματος· οι ενημερώσεις ασφαλείας από τους κατασκευαστές εφαρμόζονται σε κυλιόμενη βάση.

Οι εξαρτήσεις σαρώνονται συνεχώς στο CI:

• Το Brakeman εντοπίζει ευπάθειες ειδικές για Rails σε κάθε αλλαγή.
• Το bundler-audit ελέγχει το Gemfile έναντι της Ruby Advisory Database σε κάθε αλλαγή και επιπλέον καθημερινά βάσει προγραμματισμού, ώστε οι νέες δημοσιευμένες ευπάθειες να εντοπίζονται ακόμη και χωρίς αλλαγή κώδικα.
• Το importmap audit σαρώνει τα JavaScript imports για γνωστές ευπάθειες σε κάθε αλλαγή και επιπλέον καθημερινά βάσει προγραμματισμού.
• Το Dependabot ανοίγει εβδομαδιαία pull requests για παρωχημένα Ruby gems και GitHub Actions, ομαδοποιημένα κατά minor/patch ενημερώσεις.

Οι έλεγχοι της εφοδιαστικής αλυσίδας περιορίζουν το τι μπορεί να επηρεάσει μια παραβιασμένη έκδοση εξάρτησης:

• Περίοδος αναμονής. Οι νέες εκδόσεις gems υιοθετούνται μόνο αφού είναι δημόσιες για τρεις ημέρες· οι ενημερώσεις εκδόσεων του Dependabot αναμένουν 3, 7 ή 14 ημέρες για εκδόσεις patch, minor και major. Οι παραβιασμένες εκδόσεις συνήθως αποσύρονται μέσα σε αυτό το διάστημα.
• Καρφιτσωμένες ενέργειες CI. Κάθε βήμα του GitHub Actions είναι καρφιτσωμένο σε πλήρες SHA commit, ώστε μια ανακατευθυνόμενη ετικέτα να μην μπορεί να αλλάξει ό,τι εκτελείται.
• Επαληθευμένες λήψεις. Τα εκτελέσιμα αρχεία που λαμβάνονται κατά τη δημιουργία της εικόνας του container ελέγχονται έναντι σταθερού αθροίσματος ελέγχου SHA-256.
• Ελεγχόμενες αυτόματες ενημερώσεις. Τα pull requests του Dependabot συγχωνεύονται αυτόματα μόνο αφού περάσουν την πλήρη σειρά δοκιμών και τη στατική ανάλυση.

Συστατικά που πλησιάζουν στο τέλος του κύκλου ζωής τους αντικαθίστανται ή αναβαθμίζονται πριν κλείσει το παράθυρο υποστήριξής τους.

Υποδομή #

• Η βασική αποθήκευση δεδομένων αναφορών και υποθέσεων γίνεται στην Ευρωπαϊκή Ένωση. Η παράδοση email και η τηλεμετρία της εφαρμογής έχουν χωριστές αλυσίδες κατάντη προμηθευτών· βλ. τη DPA.
• Κανένας αριθμός πιστωτικής κάρτας ή διαπιστευτήριο πληρωμής δεν αποθηκεύεται στους διακομιστές του EthicsPortal. Όλα τα δεδομένα πληρωμών διαχειρίζεται η Stripe.
• Η Mailjet αποστέλλει τις ειδοποιήσεις προς τους χειριστές και τις προαιρετικές βεβαιώσεις παραλαβής και ειδοποιήσεις νέων μηνυμάτων προς τα πρόσωπα που αναφέρουν. Οι ειδοποιήσεις προς τα πρόσωπα που αναφέρουν περιέχουν τη διεύθυνση email του παραλήπτη, τον αριθμό υπόθεσης και έναν σύνδεσμο, αλλά όχι την αφήγηση της αναφοράς. Η κατάντη αλυσίδα υποστήριξης της Mailjet μπορεί να περιλαμβάνει πρόσβαση εκτός ΕΟΧ· βλ. Η βεβαίωση παραλαβής για αναφορά που στάλθηκε με email περιέχει επιπλέον έναν κωδικό μίας χρήσης για το ασφαλές γραμματοκιβώτιο, ο οποίος αντικαθίσταται κατά την πρώτη σύνδεση του προσώπου που αναφέρει. τη DPA.
• Ο ιστότοπος προβολής εξυπηρετείται μέσω Cloudflare (CDN, Ηνωμένες Πολιτείες)· ο δίαυλος αναφορών και η πύλη χειριστών όχι. Αυτή η χωριστή επεξεργασία του δημόσιου ιστότοπου και οι εγγυήσεις διαβίβασης περιγράφονται στην Πολιτική απορρήτου, όχι στον κατάλογο υπεργολάβων επεξεργασίας της DPA πελατών.

Αντίγραφα ασφαλείας και επαναφορά #

Το EthicsPortal λειτουργεί τρία συμπληρωματικά επίπεδα αντιγράφων ασφαλείας, όλα διατηρούμενα εντός της ΕΕ:

Στόχοι ανάκτησης. Το recovery point objective (RPO) είναι 24 ώρες. Το recovery time objective (RTO) είναι 4 ώρες. Οι στόχοι αυτοί εμφανίζονται και στη συμφωνία επιπέδου υπηρεσίας.

Δοκιμές επαναφοράς. Δοκιμή επαναφοράς εκτελείται αυτόματα κάθε μήνα μέσω ροής CI, καθώς και κατ’ απαίτηση, επαναφέροντας το πιο πρόσφατο αντίγραφο σε αναλώσιμο περιβάλλον. Η δοκιμή αποκρυπτογραφεί το αντίγραφο, το επαναφέρει, συγκρίνει κάθε πίνακα με τη ζωντανή παραγωγή και στη συνέχεια εκκινεί την εφαρμογή με την επαναφερμένη βάση δεδομένων, για να επιβεβαιώσει ότι μια κρυπτογραφημένη στήλη εξακολουθεί να αποκρυπτογραφείται, ότι ένα κρυπτογραφημένο συνημμένο ανοίγει με το κλειδί που περιέχεται στο επαναφερμένο αντίγραφο και ότι κάθε συνημμένο παλαιότερο της μίας ώρας έχει αντίγραφο στη θέση αντιγράφων ασφαλείας, με ένα αντίγραφο να ανοίγεται και να ελέγχεται έναντι του αθροίσματος ελέγχου του — ο αριθμός γραμμών από μόνος του δεν μπορεί να διακρίνει ένα χρησιμοποιήσιμο αντίγραφο ασφαλείας από κρυπτογράφημα του οποίου το κλειδί δεν αντιστοιχεί πλέον. Η φρεσκάδα των αντιγράφων ασφαλείας παρακολουθείται συνεχώς (ειδοποίηση αν το πιο πρόσφατο αντίγραφο είναι παλαιότερο από 36 ώρες).

Κρυπτογράφηση. Σύμφωνα με τη Hetzner, το Object Storage δεν κρυπτογραφεί αντικείμενα κατά την αποθήκευση από προεπιλογή, γι’ αυτό τα αντίγραφα της βάσης κρυπτογραφούνται πριν φύγουν από τον διακομιστή: GnuPG συμμετρικό AES-256, με τη φράση πρόσβασης να τηρείται μόνο από τη διαδικασία αντιγράφων και να φυλάσσεται εκτός μηχανήματος. Τα πεδία που κρυπτογραφούνται σε επίπεδο εφαρμογής με Rails Active Record Encryption παραμένουν χωριστά κρυπτογραφημένα μέσα σε κάθε αντίγραφο. Τα συνημμένα κρυπτογραφούνται σε κατάσταση ηρεμίας με κλειδί ανά αρχείο (βλ. συνημμένα αρχεία). Τα κλειδιά αυτά υπάρχουν μόνο στη βάση δεδομένων, επομένως κάθε κρυπτογραφημένο αντίγραφο τα περιέχει. Τα ίδια τα αρχεία δεν αντιγράφονται στο αντίγραφο. Κάθε αρχείο αποθηκεύεται στη Νυρεμβέργη και αντιγράφεται, με το ίδιο κλειδί, σε δεύτερο bucket στο Falkenstein· και οι δύο θέσεις διατηρούν τις προηγούμενες εκδόσεις για 28 ημέρες.

Επιχειρησιακή αξιολόγηση #

Μέρος του επιχειρησιακού υλικού κοινοποιείται στο πλαίσιο αξιολόγησης από τμήμα προμηθειών αντί να δημοσιεύεται πλήρως στον ανοιχτό ιστό, επειδή περιέχει λεπτομέρειες υποδομής και απόκρισης που είναι καταλληλότερες για ελεγχόμενη κοινοποίηση.

Θέματα διαθέσιμα κατόπιν αιτήματος στην αξιολόγηση προμηθειών περιλαμβάνουν:

• Περίληψη προνομιακής πρόσβασης σε παραγωγή
• Ροή εργασίας απόκρισης σε περιστατικά και επαφές κλιμάκωσης
• Απαντήσεις για επιχειρησιακή συνέχεια και αποχώρηση / εξαγωγή δεδομένων πελάτη

Υπεύθυνη γνωστοποίηση #

Αν ανακαλύψετε ευπάθεια ασφαλείας στο EthicsPortal, παρακαλούμε αναφέρετέ την στο security@ethicsportal.eu. Σας ζητούμε:

1. Να μη δημοσιοποιήσετε την ευπάθεια πριν έχουμε την ευκαιρία να την αντιμετωπίσουμε.
2. Να παράσχετε επαρκείς λεπτομέρειες ώστε να μπορέσουμε να αναπαραγάγουμε και να διορθώσουμε το πρόβλημα.
3. Να μην αποκτήσετε πρόσβαση σε δεδομένα άλλων πελατών ούτε να τα τροποποιήσετε.
4. Να μην εκτελείτε επιθέσεις άρνησης υπηρεσίας ή μαζικές αυτοματοποιημένες σαρώσεις, να μην επιχειρείτε κοινωνική μηχανική κατά του προσωπικού μας και να μην υποβάλλετε αναφορές μέσω του διαύλου αναφορών κάποιου πελάτη.

Θα επιβεβαιώσουμε την παραλαβή της αναφοράς σας εντός 2 εργάσιμων ημερών και στοχεύουμε στην άμεση αποκατάσταση των επιβεβαιωμένων ευπαθειών.

Χωρίς αμειβόμενο πρόγραμμα bug bounty. Η γνωστοποίηση δεν αμείβεται: δεν καταβάλλουμε αμοιβή για αναφορές ευπαθειών και δεν υπογράφουμε συμφωνίες εμπιστευτικότητας, δεν συμφωνούμε εμπορικούς όρους ούτε πραγματοποιούμε κλήσεις ως προϋπόθεση για την παραλαβή αναφοράς. Στείλτε στην παραπάνω διεύθυνση το επηρεαζόμενο στοιχείο, τα βήματα αναπαραγωγής και τον αντίκτυπο που έχετε διαπιστώσει.

Τελευταία ενημέρωση: 8 Νοεμβρίου 2026