Rydym wedi cyfieithu’r wefan hon yn ofalus gan ddefnyddio adnoddau terminoleg swyddogol, gan gynnwys TermCymru. Efallai na fydd pob cyfieithiad yn berffaith. Os gwelwch gamgymeriad, anfonwch e-bost at welsh@qwtn.co.uk. Byddem yn ddiolchgar iawn.
Canolfan ymddiriedaeth
Eich cofnodion gwastraff, yn ddiogel ac yn y DU a’r UE
Mae nodiadau trosglwyddo yn gofnodion cyfreithiol y mae’n rhaid i chi eu cadw am ddwy flynedd (tair ar gyfer gwastraff peryglus). Dyma’n union ble maen nhw’n cael eu cadw, pwy all eu gweld a sut maen nhw’n cael eu diogelu.
Un PDF ar gyfer eich adolygiad diogelwch: trosolwg, is-broseswyr, rheoli mynediad, ymateb i ddigwyddiadau, parhad busnes, lefelau gwasanaeth ac atebion i’r cwestiynau y mae prynwyr yn eu gofyn amlaf.
- DU/UEBle mae eich data’n cael ei storio a’i brosesu
- 99.5%Targed amser gweithredu misol yn ein cytundeb lefel gwasanaeth
- AES-256Amgryptio wrth storio
- TLS 1.2+Amgryptio wrth drosglwyddo
Gwesteio a lleoliad data
Caiff eich nodiadau trosglwyddo, a’ch cofnodion cwsmeriaid, fflyd a safleoedd, eu storio yn yr UE (Iwerddon), ac mae’r cymhwysiad yn rhedeg yn Llundain. Cwmnïau o’r Unol Daleithiau yw’r darparwyr e-bost a thaliadau, ac mae’n bosibl y byddan nhw’n prosesu data cyfyngedig (cyfeiriadau e-bost, manylion bilio) yn yr Unol Daleithiau o dan Bont Ddata’r DU a’r UD neu gymalau cytundebol safonol gydag Atodiad y DU.
- Cronfa ddata, mewngofnodi a storio ffeiliau
- Supabase (Postgres 17) ar AWS eu-west-1, Iwerddon (UE)
- Gweinyddion cymwysiadau
- Vercel, Llundain (lhr1)
- Cynnwys statig
- Rhwydwaith ymyl byd-eang Vercel (dim cofnodion cwsmeriaid mewn storfa dros dro)
- Dadansoddeg cynnyrch
- Cwmwl PostHog UE, dim ond ar ôl i chi dderbyn cwcis dadansoddeg
- Cyflenwi e-bost
- Resend, Unol Daleithiau (e-bost trafodiadol yn unig)
- Taliadau
- Stripe (nid yw data cardiau byth yn cyrraedd ein gweinyddion)
- Cynllunio llwybrau
- OpenRouteService, yr Almaen (cyfesurynnau arosfannau yn unig, pan fydd optimeiddio llwybrau’n cael ei ddefnyddio)
- Diogelu rhag bots wrth gofrestru a chyfyngu cyfradd
- Cloudflare Turnstile ac Upstash (dim cynnwys cofnodion)
Mae’r rhestr lawn o ddarparwyr sy’n prosesu data personol ar ein rhan ar y dudalen is-broseswyr. Mae’r telerau prosesu yn ein Cytundeb Prosesu Data.
Sut rydyn ni’n diogelu eich data
- Ynysu tenantiaid
- Mae diogelwch lefel rhes Postgres wedi’i droi ymlaen ar bob tabl ac yn cyfyngu pob rhes i’ch tîm chi, felly ni ellir darllen cofnodion un cwsmer drwy sesiwn cwsmer arall. Does gan dablau gweinyddu mewnol ddim polisi o gwbl sy’n hygyrch o’r porwr.
- Trywydd archwilio atodi’n unig
- Caiff pob creu, golygu a dileu ar nodiadau, nodiadau traddodi, casgliadau, cleientiaid, anfonebau, contractau, cerbydau a gosodiadau ei gofnodi gyda phwy, eu rôl, pryd, y ffynhonnell (ap gwe, ap gyrrwr, allwedd API neu swydd wedi’i threfnu) a’r hen werthoedd a’r gwerthoedd newydd. Does dim modd golygu na dileu rhesi. Chi sy’n gosod y cyfnod cadw, gyda daliad cyfreithiol.
- Amgryptio wrth drosglwyddo
- Mae pob cysylltiad yn defnyddio HTTPS gyda TLS 1.2 neu uwch, ac mae HSTS wedi’i osod am flwyddyn gyda preload. Mae dolenni rhannu yn defnyddio tocynnau na ellir eu dyfalu y gellir eu dirymu, ac mae dolenni llofnodi yn dod i ben ar ôl 7 diwrnod yn ddiofyn.
- Amgryptio wrth storio
- Caiff y gronfa ddata a’r storfa ffeiliau eu hamgryptio ag AES-256 gan ein darparwyr gwesteio. Caiff allweddi darparwyr taliadau, mewngofnodion telemateg, tocynnau OAuth, cyfrinachau bachau gwe a manylion Tracio Gwastraff yn Ddigidol DEFRA hefyd eu hamgryptio yn y cymhwysiad ag AES-256-GCM, o dan allweddi pwrpasol. Dim ond fel hashes y caiff allweddi API a chodau adfer eu storio.
- Diogelwch API a bachau gwe
- Mae gan allweddi API gwmpasau a enwir, cânt eu dangos unwaith, eu storio fel hashes yn unig a’u dirymu, mae eu cyfradd yn gyfyngedig, ac maen nhw’n cefnogi ysgrifennu idempotent. Caiff bachau gwe allan eu llofnodi â HMAC-SHA256 gyda ffenestr ailchwarae pum munud a chylchdroi cyfrinachau, ac ni chânt byth eu danfon i gyfeiriadau rhwydwaith preifat.
- Amddiffyniadau cymhwysiad
- Penawdau diogelwch ar bob ymateb: Content-Security-Policy sy’n rhestru’r tarddiadau y caiff yr ap lwytho oddi wrthynt, cysylltu â nhw a’u hymgorffori, X-Frame-Options DENY, X-Content-Type-Options nosniff, Referrer-Policy, Permissions-Policy a HSTS. Cyfyngu cyfradd ar lwybrau mewngofnodi, dolenni llofnodi a rhannu, ffurflenni cyhoeddus, allforion a’r API, a diogelu rhag bots wrth gofrestru.
- Sut mae newidiadau’n cael eu rhyddhau
- Caiff y cod ei wirio o ran mathau ym mhob adeiladwaith cynhyrchu ac mae cyfres brofion awtomataidd o fwy na 1,000 o brofion yn ei gwmpasu, gan gynnwys caniatâd, mynediad tenantiaid, y trywydd archwilio, yr API a bachau gwe. Mae newidiadau’n rhedeg ar ddefnyddiadau rhagolwg cyn eu rhyddhau. Mae newidiadau mwy i’r gronfa ddata yn cael eu rhyddhau gyda sgript dychwelyd.
- Mynediad i gynhyrchu
- Mae mynediad i gynhyrchu wedi’i gyfyngu i aelodau awdurdodedig o dîm QWTN, ac mae pob gweithred yng nghonsol gweinyddu’r platfform yn cael ei logio.
Rheoli mynediad
Penderfynwch pwy sy’n gallu gweld a newid beth, a phwy sy’n gorfod ei gymeradwyo. Caiff pob newid i rôl ei gofnodi yn y trywydd archwilio.
- 6Rolau adeiledig, gan gynnwys archwilydd darllen yn unig
- 33Caniatadau i adeiladu rolau personol ohonynt
- MFAMewngofnodi ag ap dilysu, yn ofynnol yn ôl rôl
- SSO + SCIMMewngofnodi unigol SAML a darparu awtomatig
- Chwe rôl adeiledig
- Perchennog, gweinyddwr, swyddfa, cyllid, gyrrwr ac archwilydd. Mae’r archwilydd yn ddarllen yn unig, wedi’i orfodi yn y gronfa ddata ac wrth yr API, felly mae’n dal beth bynnag y mae’r ap yn ei wneud.
- Rolau personol o 33 caniatâd
- Adeiladwch rôl o ganiatadau ar draws gweithrediadau, fflyd a chydymffurfiaeth, cyllid a gweinyddu. Mae nodiadau credyd, taliadau, prisiau a rowndiau bilio yn ganiatadau ar wahân, felly gall cynorthwyydd cyfrifon anfonebu heb gyhoeddi nodiadau credyd.
- Cymeradwyaethau
- Gosodwch reolau ar gyfer nodiadau credyd, dileu dyledion, dileu cleientiaid a nodiadau, newidiadau prisiau a rowndiau bilio, gyda throthwy gwerth dewisol. Mae cais a ddelir yn mynd drwy’r un gwiriadau â’r gwreiddiol pan gaiff ei gymeradwyo.
- Cyfyngiadau depo
- Cyfyngwch aelod i’r depos y mae’n gweithio ohonynt. Caiff cofnodion o ddepos eraill eu cuddio gan y gronfa ddata ei hun, nid dim ond gan y sgrin y mae’n ei defnyddio.
- Polisi MFA
- Mewngofnodi dau ffactor ag ap dilysu gyda chodau adfer. Gall polisi tîm ei fynnu yn ôl rôl, gosod terfyn amser sesiwn segur o 15 munud i 8 awr a gorfodi mewngofnodi unigol.
- SSO a SCIM
- Mewngofnodi unigol SAML wedi’i osod ar gyfer pob tîm gyda’i barthau ei hun, a darparu SCIM 2.0. Mae dileu, atal neu ddad-ddarparu rhywun yn dod â’u sesiynau i ben ar unwaith.
Eich data, o’r dechrau i’r diwedd
Eich data chi ydyw. Gallwch fynd ag ef gyda chi, cau’r cyfrif eich hun a gwybod beth sy’n digwydd iddo wedyn.
- Allforio unrhyw bryd
- Lawrlwythwch nodiadau, anfonebau a rhestri fel PDF a CSV, rhedwch allforion llawn yn y cefndir, ac allforiwch hanes newidiadau eich tîm. Mae ar gael ar bob cynllun, gan gynnwys y diwrnod y byddwch yn gadael.
- Cau eich cyfrif eich hun
- Mae cau cyfrif yn hunanwasanaeth. Caiff eich cofnodion eu cadw am 30 diwrnod fel y gallwch eu hallforio neu ailagor y cyfrif, yna cânt eu dileu’n awtomatig.
- Adfer wrth gefn wedi’i brofi
- Mae Supabase yn cymryd copïau wrth gefn awtomatig o’r gronfa ddata, ac mae adfer o gopi wrth gefn wedi’i brofi. Caiff defnyddiadau cynhyrchu blaenorol eu cadw, felly gellir dychwelyd rhyddhad.
- Gwesteio yn y DU a’r UE
- Mae’r cymhwysiad yn rhedeg yn Llundain ac mae eich cofnodion yn cael eu storio yn Iwerddon. Does dim cofnodion cwsmeriaid yn cael eu storio y tu allan i’r DU na’r UE.
Ymateb i ddigwyddiadau
Sut rydyn ni’n sylwi ar broblem, sut rydyn ni’n dweud wrthych a ble i anfon adroddiad.
- Canfod
- Caiff gwallau heb eu trin o bob llwybr, tudalen a gweithred gweinydd eu dal. Mae rhybuddion e-bost yn cyrraedd ein tîm am bigau mewn gwallau, swyddi wedi’u trefnu sy’n methu a chiw swyddi sydd wedi’i rwystro, ac mae rhediad wedi’i drefnu sy’n methu yn rhybuddio ar unwaith. Mae gwiriad iechyd cyhoeddus a’r dudalen statws yn dangos cyflwr byw y gwasanaeth.
- Dweud wrth gwsmeriaid yr effeithir arnynt
- Os bydd tor diogelwch data personol yn effeithio ar eich data, byddwn yn dweud wrth eich cyswllt enwebedig neu berchennog y cyfrif heb oedi diangen ac, lle bo hynny’n ymarferol, o fewn 48 awr i ni ddod yn ymwybodol ohono, fel y mae’r DPA yn darparu. Mae’r hysbysiad yn dweud beth ddigwyddodd, data pwy y mae’n effeithio arno, y canlyniadau tebygol a’r hyn rydyn ni’n ei wneud. Chi sy’n penderfynu a ydych yn dweud wrth yr ICO a’r bobl yr effeithir arnynt.
- Cyfyngu ac adfer
- Gallwn ddod â sesiynau i ben, dirymu allweddi API a dolenni rhannu, cylchdroi cyfrinachau ac allweddi llofnodi bachau gwe, a dychwelyd i’r defnyddiad cynhyrchu blaenorol. Gan fod y trywydd archwilio’n atodi’n unig, mae’r cofnod o’r hyn a newidiodd yn cael ei gadw.
- Adrodd am broblem
- Anfonwch e-bost at security@qwtn.co.uk gyda’r camau i’w hatgynhyrchu. Rydyn ni’n cydnabod o fewn dau ddiwrnod gwaith ac yn eich diweddaru nes bydd wedi’i drwsio.
Adrodd am wendid diogelwch
Os ydych chi’n credu eich bod wedi dod o hyd i broblem ddiogelwch, anfonwch e-bost at security@qwtn.co.uk gyda’r camau i’w hatgynhyrchu. Rydyn ni’n cydnabod o fewn dau ddiwrnod gwaith ac yn eich diweddaru nes bydd wedi’i drwsio.
- Profwch yn erbyn eich cyfrif a’ch data eich hun yn unig. Peidiwch â chyrchu, newid na dileu cofnodion cwsmeriaid eraill.
- Dim ymosodiadau gwrthod gwasanaeth, sbam na pheirianneg gymdeithasol yn erbyn staff na chwsmeriaid.
- Rhowch amser rhesymol i ni drwsio’r broblem cyn dweud wrth unrhyw un arall.
- Gweithredwch yn ddidwyll o fewn y rheolau hyn ac ni fyddwn yn cymryd camau cyfreithiol yn eich erbyn.
Cyswllt darllenadwy gan beiriant: security.txt (Saesneg).
Pwy sy’n rhedeg QWTN
Caiff QWTN ei adeiladu ym Mhenzance, Cernyw, y Deyrnas Unedig, gan dîm sy’n cynnwys pobl sydd wedi gweithio yn y diwydiant gwastraff ers sawl blwyddyn ac sydd wedi bod yn adeiladu meddalwedd ers 2019.
Enw masnachu yw QWTN ar gyfer WhealBit.
Hygyrchedd: gweler ein datganiad hygyrchedd.
Adolygwyd ddiwethaf ar 15 Hydref 2026. Holiaduron diogelwch: anfonwch e-bost at security@qwtn.co.uk.
Dechreuwch eich adolygiad diogelwch gyda’r pecyn
Popeth ar y dudalen hon mewn un PDF, gydag is-broseswyr, lefelau gwasanaeth ac atebion i’r holiadur safonol. Adolygwyd ar 15 Hydref 2026.