Keamanan & Kepatuhan

JazzNode ada agar musisi, venue, dan penggemar dapat memercayai satu sumber untuk pertunjukan yang penting. Kepercayaan itu dibangun di atas tiga prinsip: minimalkan apa yang kami simpan, berjalan di atas infrastruktur yang diaudit, dan jujur tentang apa yang telah dan belum kami miliki.

Kami bukan perusahaan besar. Kami juga tidak berpura-pura. Sebaliknya, kami membangun di atas penyedia yang telah lulus audit yang diperlukan perusahaan besar, sehingga jaminan yang sama berlaku untuk data Anda di sini.

JazzNode berjalan pada sejumlah kecil penyedia yang dipilih dengan hati-hati. Masing-masing memelihara audit pihak ketiga independen:

• Stripe (pembayaran): PCI DSS Level 1 — sertifikasi tertinggi di industri kartu. Stripe menangani semua data kartu; JazzNode tidak pernah menyimpan, menangani, atau meneruskan nomor kartu mentah.
• Supabase (database, auth, storage): SOC 2 Type 2, ISO 27001, HIPAA-ready. Data saat istirahat dienkripsi; row-level security menerapkan akses per-pengguna.
• Vercel (hosting, edge network, builds): SOC 2 Type 2, ISO 27001. Hosting aplikasi dengan variabel lingkungan terenkripsi dan auth cloud berbasis OIDC.
• Google (OAuth sign-in): Google Identity Platform, standar OAuth 2.0. JazzNode tidak pernah melihat kata sandi Google Anda.
• Resend (email transaksi): SOC 2 Type 2. Region Tokyo untuk latensi APAC. DKIM, SPF, dan DMARC diterapkan di semua domain JazzNode.
• AWS S3 (penyimpanan file): SOC 2, ISO 27001, PCI DSS. Digunakan untuk gambar profil, foto venue, dan press kit.

Semua lalu lintas ke dan dari JazzNode dienkripsi dengan TLS 1.2 atau lebih tinggi. HTTP Strict Transport Security (HSTS) diaktifkan di semua domain JazzNode.

Data saat istirahat dienkripsi oleh penyedia infrastruktur kami menggunakan AES-256 (Supabase, AWS S3, Vercel).

QR code tiket menggunakan token bertanda tangan yang tidak dapat dipalsukan atau diputar ulang oleh pihak ketiga.

Pengguna melakukan autentikasi melalui email/kata sandi (di-hash dengan bcrypt oleh Supabase Auth) atau Google OAuth 2.0. JazzNode tidak pernah menyimpan kata sandi plaintext atau kredensial Google.

Operasi internal dipartisi menjadi peran Owner, Admin, dan Editor. Tindakan sensitif — refund, payout, ekspor data, penghapusan akun — memerlukan peran yang ditingkatkan dan dicatat.

Row Level Security (RLS) diterapkan di lapisan database. Meskipun bug aplikasi diperkenalkan, database akan menolak pembacaan dan penulisan yang tidak sah.

Kami mengumpulkan apa yang diperlukan untuk menjalankan layanan: dasar akun, acara yang Anda beli tiketnya, pesan yang Anda kirim melalui platform. Data kartu, kata sandi Google, dan biometrik perangkat tidak pernah disimpan oleh JazzNode.

Akun dapat dihapus atas permintaan, dengan data pribadi dihapus dalam 30 hari, kecuali jika retensi diwajibkan oleh hukum (misalnya, catatan pajak untuk penjualan tiket).

Lihat Kebijakan Privasi untuk rincian lengkap.

Rahasia produksi berada di toko variabel lingkungan terenkripsi Vercel. Lingkungan Preview, Development, dan Production sepenuhnya terisolasi.

Autentikasi cloud-to-cloud menggunakan token OIDC dengan masa pakai pendek. Tidak ada kredensial berumur panjang yang di-commit ke source control.

Akses alat internal ditinjau dan dicabut ketika anggota tim berganti peran atau meninggalkan tim.

Error runtime dan anomali dipantau melalui Vercel Observability dan log Supabase. Event yang relevan dengan keamanan ditandai untuk ditinjau.

Jika insiden memengaruhi data Anda, kami akan memberi tahu pengguna yang terdampak dalam 72 jam setelah konfirmasi, sejalan dengan ekspektasi Pasal 33 GDPR.

Backup dan point-in-time recovery tersedia untuk database produksi.

Jika Anda yakin telah menemukan kerentanan keamanan, silakan kirim email ke security@jazznode.com.

Kami berkomitmen untuk:

• Mengakui laporan Anda dalam 72 jam.
• Memberi tahu Anda tentang investigasi kami.
• Memberi kredit kepada Anda (jika Anda mau) setelah masalah diselesaikan.
• Tidak mengajukan tindakan hukum terhadap peneliti yang beritikad baik yang mematuhi lingkup dan ketentuan safe-harbor kami.

Dalam lingkup: jazznode.com, *.jazznode.com, aplikasi JazzNode iOS & Android. Di luar lingkup: serangan denial-of-service, social engineering, serangan fisik, dan riset yang menurunkan layanan bagi pengguna lain.

GDPR: Pengguna UE memiliki hak untuk mengakses, mengoreksi, mengekspor, dan menghapus data mereka. Processor kami mendukung residensi data UE dan klausul kontrak standar.

Taiwan PDPA (個人資料保護法): 娛興喂有限公司 mengoperasikan JazzNode di Taiwan di bawah Undang-Undang Perlindungan Data Pribadi.

UU Perlindungan Konsumen Taiwan §43: Alur tiket kami mengikuti kerangka refund berjenjang 票券定型化契約.

DMCA: Pemegang hak dapat mengajukan pemberitahuan takedown ke agen terdaftar kami. Lihat kebijakan DMCA.

Kami tidak akan pernah mengklaim sertifikasi yang tidak kami miliki. Berikut keadaan saat ini dengan jujur:

• Dipegang hari ini: Warisan: PCI DSS Level 1 (Stripe), SOC 2 Type 2 (Supabase, Vercel, Resend), ISO 27001 (Supabase, Vercel, AWS).
• Dalam proses: Penilaian kesiapan SOC 2 menggunakan alat kepatuhan otomatis; penetration test pihak ketiga tahunan; DPA yang dipublikasikan.
• Direncanakan: Atestasi SOC 2 Type 1 jika permintaan enterprise memicunya. SOC 2 Type 2 mengikuti Type 1 setelah periode pengamatan 12 bulan. ISO 27001 dan P-mark Jepang dievaluasi berdasarkan permintaan pasar.

Untuk masalah keamanan, kirim email ke security@jazznode.com.

Untuk permintaan privasi umum, kepatuhan, atau DPA, hubungi kami melalui HQ. DPA standar tersedia di /legal/dpa.

Untuk kuesioner keamanan komersial/enterprise, sertakan kata 'security questionnaire' di baris subjek Anda dan kami akan memprioritaskan respons.