Tietoturva palvelussa

Maksu suoritetaan maksunvälittäjän omassa ympäristössä. VapaaParkki ei vastaanota, käsittele eikä tallenna korttitietoja. Palvelu tallentaa maksutapahtumasta vain tunnisteen, summan ja tilan.

• Maksutapa tallennetaan maksunvälittäjän ympäristöön. VapaaParkkiin jää vain viittaus sekä kortin tyyppi ja neljä viimeistä numeroa.
• Kuukausiveloitukset tekee palvelimen ajastettu toiminto tunnetulle varauskaudelle. Veloitusta ei voi käynnistää selaimesta.
• Jokainen veloitus tehdään kertaalleen: sama kuukausierä ei voi veloittua kahteen kertaan, vaikka toiminto ajettaisiin uudelleen.
• Maksutavan voi vaihtaa vain oman varauksen henkilökohtaisesta näkymästä maksunvälittäjän suojatussa lomakkeessa.
• Epäonnistunut veloitus uusitaan hallitusti, ja asiakas saa siitä tiedon sähköpostilla ennen kuin varaus päättyy.

• Henkilökunnan ja kiinteistöjen käyttäjien kirjautuminen tapahtuu henkilökohtaisilla tunnuksilla.
• Käyttöoikeudet on rajattu rooleittain ja kohdekohtaisesti: kiinteistön käyttäjä näkee vain oman kohteensa tiedot.
• Tietokantatason käyttöoikeussäännöt estävät pääsyn muiden kohteiden tietoihin myös suoraan rajapinnan kautta.
• Asiakas kirjautuu Oma VapaaParkkiin omalla VapaaParkki-tilillä sähköpostilla ja salasanalla. Salasanan vähimmäispituus on 10 merkkiä, ja vuotolistoilta löytyvät salasanat hylätään. Salasanan palautus tehdään sähköpostiin lähetettävällä palautuslinkillä, joka toimii vain palautukseen. Salasanan vaihto kirjautuneena vaatii nykyisen salasanan.
• Salasanan palautuksen paluuosoite hyväksytään vain palvelun omista, ennalta sallituista osoitteista.

• Sivut lähetetään sisältöturvakäytännöllä (CSP), joka rajaa sallitut lähteet ja estää palvelun upottamisen tuntemattomille sivustoille.
• Laiteoikeudet on rajattu: kameraa käytetään vain QR-koodin lukemiseen samasta osoitteesta, muut laiteoikeudet on estetty.
• Liikenne on salattu (HTTPS) ja selaimelle kerrotaan käyttää vain salattua yhteyttä. Henkilötietoja sisältävät näkymät estetään välimuistista.

• Julkiset toiminnot on rajoitettu pyyntömäärältään keskitetysti tietokannassa, joten rajoitus pätee kaikissa palvelininstansseissa.
• Sähköpostilinkin pyyntö on rajoitettu myös osoitekohtaisesti, eikä vastaus koskaan kerro, onko osoitteella varauksia.
• Sama maksutapahtuma varataan käsittelyyn tietokannassa ennen mitään seurauksia, joten pysäköintioikeus, vahvistusviesti tai tilitys ei voi syntyä kahdesti.

Liikenne palveluun on salattu (HTTPS). Palvelun ydintietokanta sijaitsee EU-alueella. Osa teknisistä palveluntarjoajista (esimerkiksi sisällönjakelu, sähköpostin välitys ja maksunvälitys) voi käsitellä tietoja myös ETA:n ulkopuolella asianmukaisin siirtomekanismein. Varmuuskopiointi kuuluu palvelun ylläpitoon.

Väliaikaiset tekniset tiedot poistetaan määräajassa automaattisella säilytysajolla: kertakäyttöiset kirjautumislinkit, vanhentuneet istunnot, esittelyvaraukset ja pyyntörajoituksen laskurit. Maksuihin, tilityksiin ja pysäköintioikeuksiin liittyvät kirjanpito- ja jäljitettävyystiedot säilytetään lain vaatiman ajan.

• Varauksen ja pysäköintioikeuden tilamuutoksista jää tapahtumamerkintä.
• Ylläpidon toimenpiteistä, kuten peruutuksista ja rekisterinumeron korjauksista, jää käyttäjätason merkintä.
• Maksun ja pysäköintioikeuden välitys tarkistetaan automaattisesti, ja epäonnistuneet välitykset yritetään uudelleen.
• Poikkeamatilanteista muodostetaan hälytys ylläpidolle.

Otamme tietoturvahavainnot vakavasti. Jos löydät haavoittuvuuden, ilmoita siitä meille yhteystiedot-sivun kautta ennen sen julkaisemista. Kerro havainnon kuvaus, osoite tai näkymä, jossa se ilmenee, sekä toistamiseen tarvittavat vaiheet.

Pyydämme, ettei testauksessa käytetä toisten käyttäjien tietoja, kuormitustestausta tai toimenpiteitä, jotka voivat häiritä palvelun käyttöä tai pysäköinnin valvontaa.