Hospedagem de dados e segurança
O Sprout Social visa ajudar empresas de todos os tamanhos a aprimorar as vendas, criar relacionamentos mais fortes com seus clientes, tomar decisões mais informadas e criar as marcas mais amadas do mundo.
Em atividade desde 2010, o Sprout Social tem mais de 20 mil clientes pagantes que confiam em nós para ajudá-los a gerenciar milhões de conversas todos os dias. Nossa tecnologia foi desenvolvida pensando nos nossos clientes e nos públicos deles. Estamos sempre trabalhando para criar relações duradouras, por meio de uma cultura de sucesso e suporte ao cliente.
Confiabilidade e disponibilidade
O Sprout Social se esforça para minimizar os impactos no serviço e o tempo de inatividade. Projetamos nossos sistemas para tolerância a falhas e nossas equipes para a recuperação rápida em caso de incidentes. Faz parte da nossa ética evitar a todo custo períodos de inatividade, planejados ou não planejados. Nunca instituímos tempo de inatividade por manutenção caso seja evitável—porque, geralmente, é. Elementos de continuidade de negócios e recuperação de incidentes são parte constituinte de nossas práticas e sistemas. Eles não são uma reflexão póstuma ou uma tarefa relegada a uma única equipe.
Um histórico comprovado
99,99% de tempo de atividade é um KPI para o nosso grupo de engenharia. No momento, tivemos um tempo de atividade superior a 99,99% em relação aos 6 e 12 meses anteriores.
Transparência para os clientes
A confiança começa com uma comunicação aberta. Compartilhamos, publicamente, o status do sistema em tempo real e métricas em nossos sites de status, https://status.sproutsocial.com para o Sprout Social e https://status.getbambu.com para o Bambu. Lá, comunicamos incidentes e manutenção planejada, incluindo qualquer impacto no cliente, e exibimos métricas de saúde do sistema provenientes de provedores independentes de terceiros. Os clientes podem se inscrever para receberem SMS instantâneos ou e-mail de notificações de incidentes futuros.
Feeds de redes sociais
Nossa camada de ingestão de dados combina múltiplas conexões para APIs de rede social. Como parceiros certificados, redes sociais como Facebook, Twitter, Instagram e Linkedin nos fornecem níveis mais altos de redundância e acesso a suas equipes de apoio.
Backups
Backups são feitos com frequência, criptografados em trânsito e em repouso, e são testados regularmente. Os backups são mantidos remotamente no Amazon S3 que armazena arquivos em vários dispositivos físicos em múltiplas instalações oferecendo durabilidade de 99,999999999% e disponibilidade de 99,99%.
Transparência para nossas equipes
Internamente, nós praticamos análises póstumas multidisciplinares e sem culpa e procuramos ampliar nosso pessoal, processos e sistemas depois de falhas. O medo é o inimigo do progresso.
Isolamento
Nossa plataforma backend altamente distribuída emprega padrões de design de isolamento para mitigar os riscos por meio de componentes. Falhas em um componente raramente afetam outros componentes.
Objetivos de ponto de recuperação (RPOs)
Estratégias de recuperação são projetadas para fornecer RPOs atualizados com baixos objetivos de tempo de recuperação (RTOs), com dados mais antigos recuperados em vez de RTOs mais longos. Isto é consistente com as expectativas do cliente nas redes sociais, permitindo que os clientes atendam às necessidades imediatas dos clientes deles.
Melhores páticas de DevOps
Nossa equipe de engenharia pratica a infraestrutura como código, proporcionando exatidão, consistência, testabilidade e velocidade de recuperação. Qualquer integrante da equipe do plantão 24 horas tem condições de reconstruir sistemas e topologias com total consistência. Em caso de perda do sistema, nossa equipe de engenharia recria rapidamente sistemas executando o código de infraestrutura.
Monitoramento e suporte de plantão
Fazemos um monitoramento constante de todo o mundo, exibindo, alertando e informando sobre todos os nossos ambientes técnicos em tempo real. O suporte aos clientes é uma colaboração entre nossa equipe de suporte ao cliente e nossa equipe de engenharia. Engenheiros especializados estão de plantão 24 horas por dia, todos os dias.
Quando ocorrem problemas, as nossas equipas são prontamente notificadas, automaticamente informadas do contexto e equipadas com ferramentas para ajudar a colaborar de maneira eficiente com os seus colegas. Empregamos um sistema de pager de triagem para assegurar que alertas cheguem aos engenheiros rapidamente e de maneira confiável.
Data centers
Produtos do Sprout Social são hospedados no Amazon Web Services (AWS). O AWS fornece instalações de hospedagem de excelência que são seguras, altamente disponíveis e redundantes, em conformidade com o Cloud Security Alliance Star nível 2, ISO 9001, 27001, 27017, 27018, PCI DSS nível 1 e SOC 1, 2, e 3. Para mais informações sobre certificações e programas de conformidade do AWS, visite https://aws.amazon.com/compliance/programs.
Localização de dados
Dados de cliente são hospedados nos Estados Unidos, nas regiões us-east-1 e us-west-2 do AWS. O Sprout Social é certificado com o Escudo de Privacidade para transferir dados pessoais da União Europeia e Suíça e está em conformidade com o RGPD.
Instalações
As centrais de dados da AWS estão equipadas com recursos de hospedagem físicos de excelência. Os edifícios têm monitoramento e gestão de temperatura e umidade, detecção e remoção automática de água e detecção e supressão automática de fogo. Combinações de múltiplas alimentações de energia, sistemas de alimentação de energia ininterrupta (UPS) e geradores elétricos no local fornecem camadas de energia de reserva. Conexões de Internet e telecomunicações são redundantes. Não há dependências de produto nos escritórios corporativos do Sprout Social ou outras instalações que gerenciamos.
Segurança de TI
Segurança adicional é aplicada às salas e aos sistemas de tecnologia da informação, incluindo alarmes de arrombamento de porta, linhas e sistemas de detecção de intrusão eletrônica, autenticação multifator e destruição de meios de comunicação por
NIST 800-88.
Segurança física
Edifícios de centrais de dados possuem um acesso físico rigoroso. Todo acesso físico é monitorado 24 horas por dia por funcionários. Autenticação multifator é necessária para todos os visitantes. Monitoramento contínuo de acesso não autorizado é feito por meio de vigilância de vídeo, detecção de invasão e sistemas de monitoramento de acesso de logs.
Rede de infraestrutura e segurança
O Sprout Social utiliza uma equipe dedicada à segurança. Todos os sistemas são monitorados e alertados 24 horas por dia para eventos de segurança e operacionais. Deteção de intrusão baseada em host é implantada em todos os sistemas de produção.
Controles de rede
Nossa rede privada é segmentada em várias zonas de segurança. Elas oferecem maiores níveis de controle nas proximidades dos dados do cliente.
Resposta e gerenciamento de incidente
O planejamento e os procedimentos de resposta a incidentes do Sprout Social são baseados em padrões NIST. Todos os relatórios de incidentes são prontamente investigados, informados e remediados conforme necessário. O plano de resposta e os procedimentos definem todas as etapas para garantir um processo consistente.
Varredura
Sistemas e aplicações são verificados regularmente em busca de vulnerabilidades comuns.
Criptografia em repouso e em trânsito
Todas as comunicações em redes públicas com APIs e aplicativos do Sprout Social são conduzidas por TLS/HTTPS. Todos os dados são armazenados criptografados em repouso, incluindo aqueles para backups.
Administração do sistema
Melhores práticas são utilizadas, como menor privilégio, gerenciamento de configuração central e rigorosas políticas de firewall de host e rede. Os servidores são corrigidos automaticamente em uma programação regular, com patches de alta prioridade aplicados manualmente fora do ciclo.
Segurança de aplicativo
Os desenvolvedores do Sprout Social recebem treinamento anual sobre codificação segura. Todo código de aplicativo é escrito por funcionários do Sprout, e cada mudança é revisada por colegas. Vulnerabilidades de segurança são prontamente triadas e corrigidas.
Testes de penetração de terceiros
O Sprout tem contrato com diversos fornecedores de testes de penetração para realizar vários testes por ano. Relatórios são disponibilizados mediante pedido pelos clientes sob acordo de não divulgação.
Mitigação DDoS
A mitigação DDoS é fornecida por meio da nossa plataforma de hospedagem.
política de divulgação responsável
Pesquisadores de segurança podem relatar vulnerabilidades por meio do Bug Crowd. (link: https://bugcrowd.com/sproutsocial). Saiba mais sobre a nossa política em https://sproutsocial.com/responsible-disclosure-policy.
Funcionários e TI interna
Além de desenvolvedores receberem formação em codificação segura, todos os funcionários participam da formação anual de segurança geral e privacidade de dados. Simulações de phishing são rotineiramente executados e medidos em comparação aos referenciais da indústria.
Normas e políticas de segurança de informações
Sprout Social has a comprehensive set of policies and standards
covering all aspects of security and privacy. All Employees musts affirm their responsibilities in protecting customer data as part of their condition of employment.
Protocolos seguros de suporte
Nossa equipe de suporte de excelência segue protocolos de phishing e resistência a ameaças projetados por nossa equipe de segurança quando realiza ações sigilosas em contas de clientes.
Escritórios
Os escritórios do Sprout Social são protegidos por acesso com leitura de cartão. Redes de escritório são segmentadas, monitoradas por uma central e protegidas por firewalls e dispositivos de prevenção de intrusões. Nossos produtos não têm repartições em escritórios da nossa empresa ou outras instalações que gerenciamos.
Dispositivos
Todos os dispositivos do Sprout Social são inventariados com tags de patrimônio e gerenciados por uma solução central de MDM.
Endpoints
As estações de trabalho dos funcionários são protegidas com criptografia de disco rígido, antivírus e detecção de malware avançada com gerenciamento e controle centrais.
Verificação de antecedentes
Todos os novos contratados com acesso aos dados dos clientes passam por uma verificação de histórico e antecedentes criminais antes de serem empregados.
Continuidade de negócios
Como no caso da hospedagem dos nossos produtos, embora o Sprout Social mantenha escritórios físicos em todo o mundo, a continuidade do funcionamento dos nossos negócios não é dependente desses escritórios. Nossos produtos, atendimento ao cliente e operações gerais de negócios estão habilitados para continuar sem interrupções por incidentes físicos ou problemas em nossos escritórios. Nossa equipe é equipada com ferramentas baseadas em nuvem e acesso remoto e soluções de colaboração e utilizam tais ferramentas diariamente.
Recursos de segurança de produto
Verificação em duas etapas (2FA)
Os administradores e proprietários de conta podem exigir que seus usuários acrescentem essa camada de segurança adicional. O Sprout Social suporta aplicativos como Google Authenticator e outros que implementam o algoritmo de senha única baseada no tempo (TOTP) ou o algoritmo de senha única baseada em HMAC (HOTP) para a geração de códigos de acesso.
Armazenamento seguro de credenciais
As funções salt e hash são usadas em senhas de contas usando as abordagens e os algoritmos fortes mais recentes que são rotineiramente auditados. Nenhuma pessoa, mesmo que seja da nossa equipe, pode visualizá-las. Se você perder sua senha, ela não poderá ser recuperada e precisará ser redefinida.
Proteções de força bruta
Além de desafiar a função hash pelo computador, nossos serviços de autenticação implementam proteções limitantes adicionais e ReCAPTCHA.
Fluxos de trabalho de aprovação
Proprietários e administradores de conta podem restringir determinadas atividades por trás de fluxos de trabalho de aprovação. Isso permite que tarefas sejam divididas entre uma equipe, com tranquilidade para que os tomadores de decisão centrais possam rever e controlar ações voltados para o público.
Restrições de IP
O Sprout Social pode ser configurado para restringir a aplicação e o acesso à API de intervalos específicos de IP.
Single sign-on (SSO)
Sprout Social offers SAML 2.0 Single sign-on (SSO) for organizations that leverage this authentication service to give employees one set of login credentials to access multiple applications. Our engineering team works with customers to implement custom SSO integrations across both web and mobile.
Assinatura de e-mail
Sprout Social implements Sender Policy Framework (SPF) and
DomainKeys Identified Mail (DKIM) to ensure emails we send are authenticated as coming from Sprout Social, helping to prevent spoofing and ensure authenticity.
Permissões de acesso
Os proprietários e os administradores de conta podem restringir o acesso a perfis, recursos, ações (incluindo leitura e gravação) e outros dados aplicando controles granulares para usuários em sua conta.
Pausa geral de publicação
Em tempos de crise, sua equipe tem acesso a um botão que desativa temporariamente o envio pelo Sprout Social de quaisquer mensagens automatizadas agendadas e em fila. Isso é acessível a partir de nossos aplicativos para dispositivos móveis e web.
Conformidade e certificações
SOC 2 tipo II
O Sprout Social recebeu a certificação independente de conformidade SOC 2 Tipo II em dezembro de 2019.
Escudo de privacidade UE-EUA e Suíça-EUA
O Sprout Social detém uma certificação do Escudo de Privacidade sob as regulamentações estabelecidas pelo Departamento de Comércio dos EUA relativo à transferência de dados pessoais do EEA e/ou a Suíça para os Estados Unidos
CSA STAR Nível 1
Sprout Social is a member of the Cloud Security Alliance (CSA) - the world's leading independent organization for defining best practices for cloud service providers. In the spirit of transparency, Sprout provides answers to common questions customers may have of their cloud provider here.
RGPD
O Sprout Social está em conformidade com o RGPD como controlador e também como processador de dados pessoais nos termos do Regulamento Geral sobre a Proteção de Dados.
Conformidade com a PCI
O Sprout Social está em conformidade com a PCI SAQ-A. Transações de pagamento são terceirizadas para processadores de pagamento de terceiros compatível com a PCI-DSS
nível 1.
Parcerias oficiais com redes sociais
Sprout Social is recognized as an official partner of Twitter, Facebook, Instagram, LinkedIn and Pinterest.
