Sunset Docs е създаден, за да намалява ненужните копия на документи и да ограничава колко дълго активните файлове остават достъпни. Тази страница описва мерките, които използваме, и техните практически граници. Тя не е сертификат, нито гаранция, че всяка заплаха може да бъде предотвратена.
1. Споделена отговорност
Sunset Docs защитава услугата и данните, които обработва. Клиентите остават отговорни да имат законно основание да събират всеки документ, да избират подходяща дата на изтриване, да контролират членството в работното пространство и да защитават копията, изтеглени или съхранявани извън услугата.
Използването на Sunset Docs само по себе си не осигурява съответствие на клиента с ОРЗД или с друго правно или отраслово изискване.
2. Профили и достъп до работното пространство
Всяка заявка за документ се проверява спрямо членството на влезлия потребител в работното пространство. Собствениците на работни пространства управляват достъпа на членовете и разрешенията за изтегляне на оригинали. Двуетапната проверка е достъпна за всеки профил и става задължителна при вход, след като бъде включена.
Паролите се хешират с Argon2id. Сесиите изтичат след седем дни и използват бисквитки с атрибути Secure и SameSite, защита от CSRF и прекратяване от страна на сървъра. Смяната на забравена парола прекратява съществуващите сесии.
3. Криптиране и съхранение
Оригиналите на документите, прегледите и генерираните копия се криптират от приложението с AES-256-GCM преди съхранение. Всеки документ има собствен ключ за данни, който е отделно обвит с главния ключ на услугата.
Активните криптирани обекти се държат в частна инфраструктура на Hetzner и се дублират в частно хранилище Cloudflare R2. Не се използват публични адреси на обекти, а пътищата за съхранение не съдържат имената на файловете на клиентите. TLS защитава данните при пренос.
4. Приемане на файлове и проверка за зловреден софтуер
Поддържаните файлове се проверяват по съдържание, поставят се под карантина и се сканират, преди да станат достъпни. Защитени с парола, повредени, неподдържани или подозрителни файлове се отхвърлят. Уеб приложението не предоставя файловете под карантина.
Сканирането за зловреден софтуер и валидирането намаляват риска, но не могат да открият всеки вреден файл. Успешното сканиране не доказва, че даден файл е безопасен или автентичен.
5. Граници на прегледа и изтеглянето
Режимът „само за преглед“ показва генерирани изображения на страниците, а не оригиналния файл. Заявките за страници, печат и оригинали използват краткотрайно подписано оторизиране и ограничителни заглавки за кеширане. Водните знаци при преглед посочват влезлия потребител и часа.
Всеки, който вижда документа, все пак може да снима екрана или да направи екранна снимка. Печатът създава още едно копие: собствениците на работни пространства избират дали отпечатаните копия да имат воден знак, а всеки печат се записва в дневника на активността. Собствениците могат отделно да разрешат изтеглянето на оригинали.
6. Изтриване по график и ръчно изтриване
Всеки документ има дата на изтриване. Изтриването по график или оторизираното ръчно изтриване премахва активните оригинали, прегледите, временните файлове за печат, обвитите ключове, имената на файлове, данните за подателя и другите чувствителни метаданни от локалното хранилище и от R2.
За 12 месеца остава минимален запис без съдържание. Той удостоверява, че изтриването е извършено, но не пази документа, името на файла или самоличността на подателя.
7. Резервни копия и възстановяване
Криптираните резервни копия на базата данни са изолирани от обичайния достъп на приложението и изтичат в рамките на 30 дни. Ако изтрити данни остават в защитено резервно копие, те не се възстановяват за обичаен достъп от клиента и изтичат заедно с това копие.
Жизненият цикъл на обектите в R2 е предпазна граница. Задачата за изтриване в приложението отговаря за спазването на точната дата на изтриване на всеки документ.
8. Оперативни мерки
Приложението работи зад обратен прокси сървър, хранилището за документи е извън публичната уеб директория, а съществените действия с документи се записват. Достъпът до производствената среда е ограничен до хората, които се нуждаят от него, за да поддържат или защитават услугата, и които са обвързани със задължения за поверителност.
Транзакционните имейли не съдържат прикачени документи, имена на файлове, прегледи, самоличност на подателя или връзки, които дават достъп до документи. Входящите имейли с документи се получават директно от Sunset Docs, а прикачените файлове се премахват от обработката на пощата след приемането.
9. Инциденти със сигурността
Разследваме предполагаемите инциденти, ограничаваме потвърдените проблеми, запазваме доказателствата, нужни за разследването, и уведомяваме засегнатите клиенти без неоправдано забавяне, когато са засегнати лични данни на клиенти. Предоставяме информацията на етапи, ако все още не разполагаме с всички подробности.
10. Граници извън Sunset Docs
Приемането по имейл не може да премахне копията, които вече са в папката „Изпратени“ на подателя, на пощенски сървър, в резервно копие или в друга външна система. Изтриването на документ от Sunset Docs не изтрива копията, които клиент или друго лице е изтеглил, отпечатал, снимал или съхранил другаде.
11. Съобщете за уязвимост
Изпращайте сигнали за сигурността на [email protected]. Не прилагайте лични документи или информация за клиенти. Не достъпвайте данни, които не са ваши, не нарушавайте работата на услугата и не използвайте социално инженерство. Ако попаднете на данни на клиенти, спрете и съобщете само минималната информация, нужна ни за разследването.