Armoxe

Security & Incident Response

Last updated: 25 October 2026

This page describes how Armoxe protects the personal data that our Customers (businesses using the Armoxe CRM) entrust to us — including data received from connected platforms such as Meta, Shopify and Stripe — and what we do if a security incident happens. It complements our Privacy Policy.

1. How we protect data

Encryption in transit. All traffic to and from Armoxe uses HTTPS/TLS.
Encryption at rest. The database is encrypted at rest by our database provider. Access keys of connected accounts (Meta, Shopify, Stripe and others) are additionally encrypted inside the database.
Encrypted backups, in several places. Besides the database provider’s own backups, every night we make an encrypted copy of the database (kept for 31 days) and an encrypted copy of the whole system, stored with separate providers. Copies are encrypted on our server before they leave it and are verified by reading them back.
Minimum data. From each platform we request only the data needed for the features the Customer uses. For example, from Shopify orders we use the buyer’s name, email, phone and billing address to match the order to the conversation with that buyer.
Separate test data. Automated tests run against a separate test database that contains no real customer data.

2. Who can access data

Armoxe staff. Only the owner of Armoxe has access to the production database and secrets. Contractors work on source code only, with access granted per repository, and have no access to production data.
Strong authentication. Every account with access to our infrastructure is protected by a strong unique password and two-factor authentication (hardware key or authenticator app).
Customer team members. Inside the Armoxe dashboard each user sees only what their role permits, and a Customer can revoke a team member’s access at any time.
Access logging. Access to personal data in the dashboard is logged: who opened which record and when. Logs are kept for 12 months.
Monitoring. Automated monitors check the platform around the clock and alert the owner immediately about errors and unusual activity.

3. Incident response

A security incident is any event that may have led to personal data being accessed, changed, disclosed or lost without authorisation. When we detect or are told about one, we follow these steps:

Contain — immediately. Our emergency console lets us, within minutes, stop all automated messaging, revoke any team member’s access, disconnect integrations and rotate access keys.
Assess. We establish what happened, which data and which Customers are affected, and the cause.
Notify affected Customers without undue delay, and no later than 48 hours after we confirm that their data was affected, with what we know and what we are doing. As the data controller, the Customer decides on notifying their own clients; we provide the information they need.
Notify authorities and partners. Where we act as data controller, we notify the Polish supervisory authority (UODO) within 72 hours when the GDPR requires it, and affected individuals when the risk to them is high. We notify platform partners (such as Shopify, Stripe and Meta) when data received from them is affected, as their terms require.
Recover and fix. We remove the cause, restore data from backups if needed, and confirm that the platform is safe.
Record and learn. Every incident is recorded in our incident register — date, what happened, impact and actions taken — and reviewed so that it cannot happen again the same way.

We review this policy at least once a year and after every incident.

4. Reporting a security issue

If you believe you have found a security issue or that data may have been exposed, write to support@armoxe.com with the subject “Security”. We reply within 24 hours.

Безпека та реагування на інциденти

Останнє оновлення: 25 жовтня 2026 року

Ця сторінка описує, як Armoxe захищає персональні дані, які нам довіряють Клієнти (бізнеси, що користуються CRM Armoxe), зокрема дані з підключених платформ — Meta, Shopify і Stripe, — і що ми робимо, якщо стається інцидент безпеки. Вона доповнює нашу Політику конфіденційності.

1. Як ми захищаємо дані

Шифрування під час передачі. Увесь обмін даними з Armoxe йде через HTTPS/TLS.
Шифрування під час зберігання. База даних зашифрована на дисках нашого постачальника бази. Ключі доступу підключених акаунтів (Meta, Shopify, Stripe та інших) додатково зашифровані всередині бази.
Зашифровані резервні копії, у кількох місцях. Окрім власних копій постачальника бази, щоночі ми робимо зашифровану копію бази (зберігається 31 день) і зашифровану копію всієї системи, які лежать в окремих постачальників. Копії шифруються на нашому сервері ще до того, як його покинуть, і перевіряються зворотним читанням.
Мінімум даних. З кожної платформи ми беремо лише ті дані, які потрібні для функцій, що ними користується Клієнт. Наприклад, із замовлень Shopify — імʼя, пошту, телефон і платіжну адресу покупця, щоб привʼязати замовлення до розмови з ним.
Окремі тестові дані. Автоматичні тести працюють з окремою тестовою базою, у якій немає справжніх даних клієнтів.

2. Хто має доступ до даних

Працівники Armoxe. Доступ до робочої бази та секретів має лише власник Armoxe. Підрядники працюють лише з кодом, доступ видається окремо на кожен репозиторій, до робочих даних вони доступу не мають.
Надійний вхід. Кожен акаунт із доступом до нашої інфраструктури захищений надійним унікальним паролем і двофакторною перевіркою (апаратний ключ або застосунок-автентифікатор).
Команда Клієнта. У кабінеті Armoxe кожен користувач бачить лише те, що дозволяє його роль, а Клієнт може будь-коли забрати доступ у члена команди.
Журнал доступу. Доступ до персональних даних у кабінеті записується: хто, який запис і коли відкривав. Журнал зберігається 12 місяців.
Нагляд. Автоматичні сторожі перевіряють платформу цілодобово й одразу сповіщають власника про помилки та незвичну активність.

3. Реагування на інциденти

Інцидент безпеки — це будь-яка подія, через яку персональні дані могли бути переглянуті, змінені, розкриті чи втрачені без дозволу. Коли ми виявляємо такий інцидент або нам про нього повідомляють, ми діємо так:

Стримати — одразу. Пульт безпеки дозволяє за лічені хвилини зупинити всі автоматичні повідомлення, забрати доступ у будь-кого з команди, відключити інтеграції та замінити ключі доступу.
Оцінити. Зʼясовуємо, що сталося, яких даних і яких Клієнтів це торкнулось, і що стало причиною.
Повідомити Клієнтів, яких це торкнулось, без зайвої затримки й не пізніше ніж за 48 годин після того, як ми підтвердили, що їхні дані зачеплено: що ми знаємо і що робимо. Клієнт як контролер даних вирішує, як повідомити своїх клієнтів; ми надаємо для цього всю потрібну інформацію.
Повідомити органи та партнерів. Там, де ми самі є контролером даних, ми повідомляємо польський наглядовий орган (UODO) протягом 72 годин, коли цього вимагає GDPR, і самих людей — коли ризик для них високий. Платформи-партнери (як-от Shopify, Stripe і Meta) ми повідомляємо, коли зачеплено отримані від них дані, як того вимагають їхні умови.
Відновити й виправити. Усуваємо причину, за потреби відновлюємо дані з резервних копій і переконуємося, що платформа в безпеці.
Записати й зробити висновки. Кожен інцидент вноситься до журналу інцидентів — дата, що сталося, наслідки, вжиті кроки — і розбирається, щоб він не міг повторитися так само.

Ми переглядаємо цю політику щонайменше раз на рік і після кожного інциденту.

4. Як повідомити про проблему безпеки

Якщо ви вважаєте, що знайшли проблему безпеки або що дані могли потрапити не туди, напишіть на support@armoxe.com з темою «Security». Ми відповідаємо протягом 24 годин.