Sunset Docs està dissenyat per reduir les còpies innecessàries de documents i limitar el temps que els fitxers actius estan disponibles. Aquesta pàgina descriu els controls que fem servir i els seus límits pràctics. No és cap certificació ni una garantia que es pugui evitar qualsevol amenaça.
1. Responsabilitat compartida
Sunset Docs protegeix el servei i les dades que tracta. Els clients continuen sent responsables de tenir un motiu legítim per recollir cada document, triar una data d'eliminació adequada, controlar qui és membre de l'espai de treball i protegir les còpies baixades o conservades fora del servei.
Fer servir Sunset Docs no fa, per si sol, que un client compleixi el RGPD ni cap altre requisit legal o sectorial.
2. Comptes i accés a l'espai de treball
Cada sol·licitud d'un document es comprova amb la pertinença a l'espai de treball de l'usuari que ha iniciat la sessió. Els propietaris dels espais de treball controlen l'accés dels membres i els permisos de baixada d'originals. La verificació en dos passos està disponible per a tots els comptes i, un cop activada, s'exigeix en iniciar la sessió.
Les contrasenyes es desen com a resum criptogràfic amb Argon2id. Les sessions caduquen al cap de set dies i utilitzen galetes Secure i SameSite, protecció CSRF i revocació al servidor. Restablir la contrasenya revoca les sessions existents.
3. Xifratge i emmagatzematge
L'aplicació xifra amb AES-256-GCM els originals, les previsualitzacions i les còpies generades dels documents abans d'emmagatzemar-los. Cada document té la seva clau de dades, i aquesta clau s'embolcalla per separat amb la clau mestra del servei.
Els objectes xifrats actius es conserven en una infraestructura privada de Hetzner i es repliquen en un contenidor privat de Cloudflare R2. No es fan servir URL públics per als objectes, i les rutes d'emmagatzematge no contenen els noms de fitxer dels clients. TLS protegeix les dades en trànsit.
4. Recepció de fitxers i detecció de programari maliciós
Els fitxers admesos es comproven pel contingut, es posen en quarantena i s'analitzen abans que estiguin disponibles. Es rebutgen els fitxers protegits amb contrasenya, malmesos, no admesos o sospitosos. L'aplicació web no serveix els fitxers en quarantena.
L'anàlisi de programari maliciós i la validació redueixen el risc, però no poden detectar tots els fitxers perjudicials. Que l'anàlisi no trobi res no demostra que un fitxer sigui segur o autèntic.
5. Límits del visor i de les baixades
El mode de només lectura serveix imatges generades de les pàgines en lloc del fitxer original. Les sol·licituds de pàgines, d'impressió i d'originals utilitzen autoritzacions signades de curta durada i capçaleres de memòria cau restrictives. Les marques d'aigua del visor identifiquen l'usuari que ha iniciat la sessió i l'hora.
Qualsevol persona que pugui veure un document encara pot fotografiar o capturar la pantalla. Imprimir crea una altra còpia: els propietaris dels espais de treball decideixen si les còpies impreses porten marca d'aigua, i cada impressió queda registrada al registre d'activitat. Els propietaris també poden permetre, per separat, la baixada dels originals.
6. Eliminació programada i manual
Cada document té una data d'eliminació. L'eliminació programada o la manual autoritzada suprimeix de l'emmagatzematge local i d'R2 els originals actius, les previsualitzacions, la sortida d'impressió temporal, les claus embolcallades, els noms de fitxer, les dades del remitent i la resta de metadades sensibles.
Durant 12 mesos es conserva un registre mínim sense contingut. Deixa constància que l'eliminació s'ha fet, però no conserva el document, el nom del fitxer ni la identitat del remitent.
7. Còpies de seguretat i recuperació
Les còpies de seguretat xifrades de la base de dades estan aïllades de l'accés ordinari de l'aplicació i caduquen en un termini màxim de 30 dies. Si queden restes de dades eliminades en una còpia de seguretat protegida, no es restauren per a l'accés ordinari dels clients i caduquen amb aquella còpia.
El cicle de vida dels objectes d'R2 és un límit de seguretat. La tasca d'eliminació de l'aplicació és la responsable d'aplicar la data d'eliminació exacta de cada document.
8. Controls operatius
L'aplicació funciona darrere d'un servidor intermediari invers, l'emmagatzematge de documents és fora de l'arrel web pública i les accions rellevants sobre documents queden registrades. L'accés a l'entorn de producció es limita a les persones que el necessiten per operar o protegir el servei i que estan subjectes a deures de confidencialitat.
Els correus transaccionals no contenen documents adjunts, noms de fitxer, previsualitzacions, la identitat del remitent ni enllaços que donin accés als documents. Sunset Docs rep directament el correu entrant amb documents, i els adjunts se suprimeixen del processament del correu després de la recepció.
9. Incidents de seguretat
Investiguem els incidents sospitosos, contenim els problemes confirmats, conservem les proves necessàries per a la investigació i notifiquem els clients afectats sense dilació indeguda quan hi ha dades personals de clients implicades. Si encara no disposem de tots els detalls, facilitem la informació per fases.
10. Límits fora de Sunset Docs
La recepció per correu no pot suprimir les còpies que ja hi hagi a la carpeta d'enviats del remitent, al servidor de correu, en una còpia de seguretat o en un altre sistema extern. Eliminar un document de Sunset Docs no elimina les còpies que un client o una altra persona hagi baixat, imprès, fotografiat o desat en un altre lloc.
11. Informa d'una vulnerabilitat
Envia els informes de seguretat a [email protected]. No hi incloguis documents personals ni informació de clients. No accedeixis a dades que no siguin teves, no interrompis el servei ni facis servir enginyeria social. Si trobes dades de clients, atura't i comunica només la informació mínima que necessitem per investigar-ho.