Sunset Docs er designet til at mindske antallet af unødvendige kopier af dokumenter og begrænse, hvor længe aktive filer er tilgængelige. Denne side beskriver de kontroller, vi bruger, og deres praktiske begrænsninger. Den er hverken en certificering eller en garanti for, at alle trusler kan forhindres.
1. Delt ansvar
Sunset Docs beskytter tjenesten og de data, den behandler. Kunderne er fortsat ansvarlige for at have et lovligt grundlag for at indsamle hvert dokument, vælge en passende sletningsdato, styre medlemskab af arbejdsområdet og beskytte kopier, der downloades eller opbevares uden for tjenesten.
Brug af Sunset Docs betyder ikke i sig selv, at en kunde overholder GDPR eller andre lovkrav eller branchekrav.
2. Konti og adgang til arbejdsområder
Hver anmodning om et dokument kontrolleres mod den indloggede brugers medlemskab af arbejdsområdet. Arbejdsområdets ejere styrer medlemmernes adgang og tilladelsen til at downloade originaler. Totrinsbekræftelse er tilgængelig for alle konti og kræves ved login, når den er slået til.
Adgangskoder hashes med Argon2id. Sessioner udløber efter syv dage og bruger Secure- og SameSite-cookies, CSRF-beskyttelse og tilbagekaldelse på serveren. Nulstilling af adgangskoden tilbagekalder eksisterende sessioner.
3. Kryptering og opbevaring
Originaldokumenter, forhåndsvisninger og genererede kopier krypteres af applikationen med AES-256-GCM, før de gemmes. Hvert dokument har sin egen datanøgle, og nøglen indkapsles separat med tjenestens hovednøgle.
Aktive krypterede objekter opbevares på privat infrastruktur hos Hetzner og spejles til en privat Cloudflare R2-bucket. Der bruges ingen offentlige objekt-URL'er, og lagerstierne indeholder ikke kundernes filnavne. TLS beskytter data under overførsel.
4. Modtagelse af filer og malwarekontrol
Understøttede filer kontrolleres ud fra deres indhold, placeres i karantæne og scannes, før de bliver tilgængelige. Filer, der er adgangskodebeskyttede, beskadigede, ikke understøttede eller mistænkelige, afvises. Filer i karantæne serveres ikke af webapplikationen.
Malwarescanning og validering mindsker risikoen, men kan ikke opdage alle skadelige filer. En scanning uden fund er ikke et bevis for, at en fil er sikker eller ægte.
5. Grænser for visning og download
Tilstanden kun visning serverer genererede billeder af siderne i stedet for den originale fil. Anmodninger om sider, udskrifter og originaler bruger kortvarig signeret autorisation og restriktive cache-headere. Vandmærker i fremviseren identificerer den indloggede bruger og tidspunktet.
Alle, der kan se et dokument, kan stadig fotografere eller optage skærmen. Udskrivning skaber endnu en kopi: arbejdsområdets ejere vælger, om udskrevne kopier skal have vandmærke, og hver udskrift registreres i aktivitetsloggen. Arbejdsområdets ejere kan separat tillade download af originaler.
6. Planlagt og manuel sletning
Alle dokumenter har en sletningsdato. Planlagt eller autoriseret manuel sletning fjerner aktive originaler, forhåndsvisninger, midlertidige udskriftsfiler, indkapslede nøgler, filnavne, oplysninger om afsenderen og andre følsomme metadata fra det lokale lager og R2.
En minimal registrering uden indhold opbevares i 12 måneder. Den viser, at sletningen fandt sted, men gemmer hverken dokumentet, filnavnet eller afsenderens identitet.
7. Backup og gendannelse
Krypterede databasebackups er isoleret fra almindelig adgang via applikationen og udløber inden for 30 dage. Hvis slettede data stadig findes som rester i en beskyttet backup, gendannes de ikke til almindelig kundeadgang og udløber sammen med den pågældende backup.
Livscyklusreglen for objekter i R2 er en sikkerhedsgrænse. Det er applikationens sletningsjob, der sørger for, at hvert dokuments præcise sletningsdato overholdes.
8. Driftsmæssige kontroller
Applikationen kører bag en reverse proxy, dokumentlageret ligger uden for den offentlige webrod, og væsentlige handlinger med dokumenter logges. Adgang til produktionsmiljøet er begrænset til personer, der har brug for den for at drive eller sikre tjenesten, og som er underlagt tavshedspligt.
Transaktionelle e-mails indeholder ingen vedhæftede dokumenter, filnavne, forhåndsvisninger, oplysninger om afsenderens identitet eller links, der giver adgang til dokumenter. Indgående dokument-e-mails modtages direkte af Sunset Docs, og vedhæftede filer fjernes fra mailbehandlingen efter modtagelsen.
9. Sikkerhedshændelser
Vi undersøger formodede hændelser, inddæmmer bekræftede problemer, sikrer de beviser, der er nødvendige for undersøgelsen, og underretter berørte kunder uden unødig forsinkelse, når kundernes personoplysninger er involveret. Vi giver oplysningerne i etaper, hvis alle detaljer endnu ikke er kendt.
10. Grænser uden for Sunset Docs
Modtagelse via e-mail kan ikke fjerne kopier, der allerede ligger i afsenderens mappe med sendte mails, på en mailserver, i en backup eller i et andet eksternt system. Sletning af et dokument i Sunset Docs sletter ikke kopier, som en kunde eller en anden person har downloadet, printet, fotograferet eller gemt andre steder.
11. Rapportér en sårbarhed
Send sikkerhedsrapporter til [email protected]. Medtag ikke personlige dokumenter eller kundeoplysninger. Du må ikke tilgå data, der ikke er dine egne, forstyrre tjenesten eller bruge social engineering. Hvis du støder på kundedata, skal du stoppe og kun rapportere de mindst mulige oplysninger, vi har brug for til vores undersøgelse.