Keamanan & Kepatuhan
Fakta-fakta sederhana tentang bagaimana Password Pusher melindungi data Anda. Tanpa teater, tanpa pengisi - hanya apa yang Anda perlukan untuk tinjauan keamanan Anda.
Di halaman ini
Apa Itu Pembobol Kata Sandi (dan Bukan)
Password Pusher adalah alat untuk pendistribusian informasi sensitif secara aman dan sementara. Alat ini menghasilkan tautan sekali pakai yang secara otomatis akan terhapus setelah mencapai jumlah tampilan yang dapat dikonfigurasi atau setelah waktu tertentu berlalu, disertai dengan pencatatan audit siklus hidup yang lengkap.
Password Pusher adalah bukan manajer kredensial, brankas kata sandi, atau penyimpanan rahasia. Ia tidak menyimpan atau mengelola kredensial dalam jangka panjang. Data bersifat fana menurut desainnya.
Inti Sumber Terbuka, Superset Fitur Pro
Password Pusher tersedia dalam tiga edisi: OSS (sepenuhnya open source), Premium , dan Pro . Ketiganya memiliki aplikasi inti yang sama - termasuk semua enkripsi, penanganan data, logika kedaluwarsa, dan pencatatan audit. Inti ini sepenuhnya open source dan dapat diaudit secara independen di github.com/pglombardo/PasswordPusher.
Edisi Pro dan Premium menambahkan kemampuan tingkat fitur di atas inti ini - seperti kolaborasi tim, domain khusus, branding, unggahan file, dan penegakan kebijakan. Penambahan-penambahan ini bersifat sumber tertutup. Arsitektur keamanan-kritisnya sama di semua edisi.
Melalui Feature Pipeline kami, fitur Pro dan Premium secara berkala dirilis ke edisi open source. Pelanggan mendapatkan akses awal ke kemampuan baru sekaligus mendukung pengembangan open source yang berkelanjutan.
Enkripsi & Penanganan Data
Muatan push dienkripsi sebelum penyimpanan menggunakan kunci turunan yang unik per bidang. Ketika sebuah push kedaluwarsa - baik karena mencapai batas tampilan atau batas waktu - muatan terenkripsi akan dihancurkan secara permanen. Tidak ada 'tempat sampah' atau penghapusan lunak. Metadata (log audit) dipertahankan sesuai dengan pengaturan akun.
Untuk dokumentasi teknis yang terperinci tentang implementasi enkripsi, derivasi kunci, strategi mitigasi risiko, dan keamanan pengunggahan file, lihat Security & Encryption documentation.
Infrastruktur & Tempat Tinggal Data
Password Pusher mengoperasikan dua wilayah data yang berbeda. Data sensitif yang disediakan dalam push dan permintaan diproses hanya dalam wilayah data yang dipilih dan tidak pernah ditransfer ke luar wilayah tersebut.
Wilayah Uni Eropa (eu.pwpush.com)
Instance UE memproses dan menyimpan semua muatan push, metadata, log audit, dan data akun secara eksklusif di Uni Eropa.
Wilayah AS (us.pwpush.com)
Instance AS dihosting di Amerika Serikat pada infrastruktur DigitalOcean. Data push dan permintaan diproses hanya di AS dan dihapus setelah kedaluwarsa, tanpa transfer ke negara lain. Organisasi yang membutuhkan residensi data UE harus menggunakan eu.pwpush.com atau self-host.
Sertifikasi & Jaminan
Kami percaya dalam menyatakan fakta dengan jelas. Di sinilah posisi Apnotic saat ini:
Apa yang kami miliki
- Inti sumber terbuka - semua kode yang sangat penting bagi keamanan (enkripsi, penanganan data, masa berlaku, pencatatan audit) dibagikan di seluruh edisi dan dapat diaudit secara independen (GitHub)
- Enkripsi saat istirahat dan dalam perjalanan - AES-256-GCM + TLS 1.2+
- Residensi data UE - instance UE khusus dengan data yang disimpan secara eksklusif di UE
- Model data fana - muatan kedaluwarsa secara otomatis dan dihancurkan secara kriptografis
- Pencatatan audit penuh - pelacakan siklus hidup untuk setiap push
- opsi Opsi hosting mandiri - gunakan infrastruktur Anda sendiri di bawah kendali kepatuhan Anda sendiri
- Perjanjian Pemrosesan Data - tersedia berdasarkan permintaan
Apa yang belum kami miliki
- SOC 2 Type II
- ISO 27001
- HIPAA BAA (for the hosted service)
- TISAX, CSA STAR, or similar third-party certifications
- Published penetration test summary
Apnotic, LLC adalah perusahaan independen dan bootstrap yang didirikan pada tahun 2024. Kami belum mengejar sertifikasi kepatuhan formal untuk layanan yang dihosting. Kami menangani keamanan dengan serius - tetapi kami tidak akan mengklaim lencana yang belum kami peroleh.
Jika proses penerimaan vendor Anda memerlukan sertifikasi SOC 2 atau ISO 27001, layanan yang di-host mungkin tidak memenuhi persyaratan Anda saat ini. Kami merekomendasikan self-hosting Password Pusher - ini memberi organisasi Anda kendali penuh atas postur kepatuhan dan memungkinkan sertifikasi di bawah ISMS Anda sendiri.
Hosting Mandiri untuk Kontrol Kepatuhan Penuh
Direkomendasikan untuk industri yang diatur
Ketika Anda meng-host sendiri Password Pusher, Apnotic adalah vendor perangkat lunak - bukan pemroses data. Data Anda tidak pernah menyentuh infrastruktur kami. Anda mengendalikan enkripsi, akses, penyimpanan, dan sertifikasi kepatuhan sepenuhnya di dalam lingkungan Anda sendiri.
Password Pusher tersedia sebagai citra kontainer untuk digunakan pada infrastruktur Anda sendiri. Self-hosting adalah pendekatan yang direkomendasikan untuk organisasi dalam industri yang diatur atau dengan persyaratan kepatuhan vendor yang ketat.
Kami menyediakan panduan terperinci untuk skenario kepatuhan yang diselenggarakan sendiri:
Dengan hosting mandiri, Password Pusher dapat beroperasi dalam lingkup kepatuhan SOC 2, ISO 27001, atau HIPAA yang sudah ada. Panduan di atas meliputi pemetaan kontrol, tanya jawab auditor, dan dokumentasi aliran data.
Perjanjian Pemrosesan Data
Perjanjian Pemrosesan Data (DPA) secara otomatis berlaku untuk semua organisasi yang menggunakan layanan yang dihosting di pwpush.com atau eu.pwpush.com. DPA standar kami tersedia untuk umum di pwpush.com/dpa dan berlaku melalui penerimaan Persyaratan Layanan kami - tidak diperlukan dokumen terpisah yang ditandatangani. Ini mencakup:
- Ketentuan pemrosesan yang selaras dengan GDPR Pasal 28
- Cakupan data eksplisit - Data Akun (nama, email, perusahaan) dan Data Aplikasi (muatan push/permintaan), dengan ketentuan retensi
- pemberitahuan pelanggaran 72 jam, hak audit tahunan, dan tanggung jawab terbatas
Organisasi yang membutuhkan DPA yang ditandatangani bersama atau dinegosiasikan secara individual dapat meminta pelaksanaan DPA khusus sebagai layanan administrasi kepatuhan. Biaya administrasi kepatuhan satu kali mungkin berlaku. Hubungi support@pwpush.com untuk detailnya.
Pelanggan yang Diinangi Sendiri - DPA Tidak Berlaku
Apnotic tidak menandatangani DPA untuk penerapan Password Pusher Pro yang dihosting sendiri . Ketika Anda menghosting sendiri, Apnotic adalah pemberi lisensi perangkat lunak - bukan pemroses data. Data aplikasi Anda tidak pernah menyentuh infrastruktur Apnotic. Satu-satunya data pribadi yang dimiliki Apnotic adalah informasi kontak pembeli lisensi (nama, email, perusahaan) untuk manajemen akun.
Untuk tim pengadaan dan hukum, Self-Hosted Data Architecture guide kami menyediakan dokumentasi teknis mengenai tanggung jawab data, termasuk mengapa DPA tidak dapat diterapkan atau tidak sesuai untuk penerapan yang dilakukan sendiri.
Subprosesor
Subpemroses berikut ini digunakan oleh layanan yang dihosting:
| Subprosesor | Tujuan | Lokasi | Pengamanan Uni Eropa | Menangani Data Push? |
|---|---|---|---|---|
| DigitalOcean | Hosting aplikasi, basis data & cadangan | Belanda (Uni Eropa) / Amerika Serikat | Kecukupan EEA (contoh Uni Eropa) | Ya - terenkripsi saat istirahat |
| Stripe | Pemrosesan pembayaran | Amerika Serikat | SCC Uni Eropa | Tidak - hanya data penagihan |
| Buttondown | Pengiriman buletin melalui email | Amerika Serikat | SCC Uni Eropa | Tidak - hanya alamat email |
| Brevo | Email transaksional | Prancis (Uni Eropa) | Kecukupan EEA | Tidak - hanya pengiriman email |
| Plausible Analytics | Analisis situs web yang berfokus pada privasi | UNI EROPA | Kecukupan EEA; tidak ada data pribadi yang dikumpulkan | Tidak - hanya statistik penggunaan anonim |
Poin penting untuk pelanggan Uni Eropa: Hanya DigitalOcean yang menangani data muatan push/permintaan, dan untuk contoh Uni Eropa, data ini diproses secara eksklusif di Belanda. Stripe dan Buttondown (keduanya berbasis di AS) hanya memproses data penagihan dan email, berdasarkan Klausul Kontrak Standar UE. Brevo dan Plausible berbasis di UE.
Daftar subpemrosesor terakhir diperbarui: Mei 2026. Untuk daftar resmi dan terbaru, lihat EU Privacy Policy atau US Privacy Policy.
Praktik Keamanan
Kontrol Akses
- Akses infrastruktur produksi terbatas untuk 2 orang
- Semua akses produksi memerlukan autentikasi multi-faktor
- Akses administratif dicatat
Praktik Pengembangan
- Kode sumber dapat diaudit secara publik di GitHub
- Pemindaian kerentanan ketergantungan melalui perkakas otomatis
- Gambar kontainer yang diterbitkan dari CI dengan build yang dapat direproduksi
Tanggapan Insiden
- Masalah keamanan dapat dilaporkan ke security@pwpush.com
- Kami bertujuan untuk mengetahui laporan keamanan dalam waktu 2 hari kerja
Kontak Keamanan
Pertanyaan tentang keamanan atau kepatuhan?
Email support@pwpush.com - kami merespons pertanyaan keamanan dalam waktu 2 hari kerja.
Untuk panduan hosting mandiri, lihat deployment documentation.
Terakhir diperbarui: Mei 2026 - Apnotic, LLC