Sunset Docs on suunniteltu vähentämään tarpeettomia asiakirjakopioita ja rajoittamaan sitä, kuinka kauan aktiiviset tiedostot ovat saatavilla. Tällä sivulla kuvataan käyttämämme suojauskeinot ja niiden käytännön rajat. Sivu ei ole sertifiointi eikä takuu siitä, että jokainen uhka voidaan estää.
1. Jaettu vastuu
Sunset Docs suojaa palvelua ja sen käsittelemiä tietoja. Asiakas vastaa edelleen siitä, että sillä on lainmukainen peruste kerätä kukin asiakirja, että poistopäivä on valittu asianmukaisesti, että työtilan jäsenyyksiä hallitaan ja että palvelusta ladatut tai sen ulkopuolella säilytetyt kopiot suojataan.
Sunset Docsin käyttö ei sellaisenaan tee asiakkaasta yleisen tietosuoja-asetuksen tai muun oikeudellisen tai toimialakohtaisen vaatimuksen mukaista.
2. Tilit ja pääsy työtilaan
Jokainen asiakirjapyyntö tarkistetaan kirjautuneen käyttäjän työtilajäsenyyttä vasten. Työtilan omistajat hallitsevat jäsenten pääsyä ja alkuperäisten tiedostojen latausoikeuksia. Kaksivaiheinen tunnistautuminen on kaikkien tilien käytettävissä, ja kun se on otettu käyttöön, sitä vaaditaan kirjautumisessa.
Salasanat tiivistetään Argon2id-algoritmilla. Istunnot vanhenevat seitsemän päivän kuluttua, ja niissä käytetään Secure- ja SameSite-evästeitä, CSRF-suojausta ja palvelinpuolen mitätöintiä. Salasanan vaihtaminen palautuslinkillä mitätöi olemassa olevat istunnot.
3. Salaus ja tallennus
Sovellus salaa alkuperäiset asiakirjat, esikatselut ja luodut kopiot AES-256-GCM-salauksella ennen tallennusta. Jokaisella asiakirjalla on oma tietoavaimensa, ja avain salataan erikseen palvelun pääavaimella.
Aktiiviset salatut objektit säilytetään yksityisessä Hetznerin infrastruktuurissa ja peilataan yksityiseen Cloudflare R2 -säilöön. Julkisia objektiosoitteita ei käytetä, eivätkä tallennuspolut sisällä asiakkaiden tiedostonimiä. TLS suojaa tiedot siirron aikana.
4. Tiedostojen vastaanotto ja haittaohjelmatarkistukset
Tuetut tiedostot tarkistetaan sisällön perusteella, siirretään karanteeniin ja skannataan ennen kuin ne tulevat saataville. Salasanalla suojatut, virheelliset, tukemattomat tai epäilyttävät tiedostot hylätään. Verkkosovellus ei jaa karanteenissa olevia tiedostoja.
Haittaohjelmaskannaus ja tarkistukset vähentävät riskiä, mutta ne eivät pysty havaitsemaan jokaista haitallista tiedostoa. Onnistunut skannaus ei todista, että tiedosto on turvallinen tai aito.
5. Katselun ja latauksen rajat
Pelkässä katselutilassa näytetään luotuja sivukuvia alkuperäisen tiedoston sijaan. Sivu-, tulostus- ja alkuperäispyynnöissä käytetään lyhytaikaista allekirjoitettua valtuutusta ja rajoittavia välimuistiotsakkeita. Katseluvesileimat yksilöivät kirjautuneen käyttäjän ja ajankohdan.
Kuka tahansa asiakirjan näkevä voi silti valokuvata tai kaapata näytön. Tulostaminen luo uuden kopion: työtilan omistaja päättää, onko tulosteissa vesileima, ja jokainen tulostus kirjataan tapahtumalokiin. Työtilan omistaja voi erikseen sallia alkuperäisten tiedostojen lataamisen.
6. Ajastettu ja manuaalinen poisto
Jokaisella asiakirjalla on poistopäivä. Ajastettu tai valtuutettu manuaalinen poisto poistaa paikallisesta tallennustilasta ja R2:sta aktiiviset alkuperäiset tiedostot, esikatselut, väliaikaiset tulosteet, salatut avaimet, tiedostonimet, lähettäjätiedot ja muut arkaluonteiset metatiedot.
Jäljelle jää 12 kuukaudeksi vähäinen merkintä, joka ei sisällä asiakirjan sisältöä. Siihen kirjataan, että poisto on tehty, mutta siihen ei tallenneta asiakirjaa, tiedostonimeä eikä lähettäjän henkilöllisyyttä.
7. Varmuuskopiot ja palautus
Salatut tietokannan varmuuskopiot on eristetty tavallisesta sovelluskäytöstä, ja ne vanhenevat 30 päivän kuluessa. Jos poistettuja tietoja on vielä jäljellä suojatussa varmuuskopiossa, niitä ei palauteta asiakkaiden tavalliseen käyttöön, ja ne vanhenevat kyseisen varmuuskopion mukana.
R2-objektien elinkaarisääntö on turvaraja. Sovelluksen poistotyö vastaa siitä, että kunkin asiakirjan täsmällistä poistopäivää noudatetaan.
8. Toiminnalliset suojauskeinot
Sovellus toimii käänteisen välityspalvelimen takana, asiakirjojen tallennustila on julkisen verkkojuuren ulkopuolella, ja olennaiset asiakirjatoimet kirjataan lokiin. Pääsy tuotantoympäristöön on rajattu henkilöille, jotka tarvitsevat sitä palvelun ylläpitoon tai suojaamiseen ja joita sitoo salassapitovelvollisuus.
Palvelun lähettämät sähköpostit eivät sisällä asiakirjaliitteitä, tiedostonimiä, esikatseluja, lähettäjän henkilöllisyyttä eivätkä linkkejä, jotka antaisivat pääsyn asiakirjoihin. Sunset Docs vastaanottaa asiakirjasähköpostit suoraan, ja liitteet poistetaan sähköpostin käsittelystä vastaanoton jälkeen.
9. Tietoturvapoikkeamat
Tutkimme epäillyt poikkeamat, rajaamme vahvistetut ongelmat, säilytämme tutkinnan edellyttämän näytön ja ilmoitamme asianomaisille asiakkaille ilman aiheetonta viivytystä, jos poikkeama koskee asiakkaan henkilötietoja. Toimitamme tietoja vaiheittain, jos kaikkia yksityiskohtia ei vielä ole saatavilla.
10. Rajat Sunset Docsin ulkopuolella
Sähköpostivastaanotto ei voi poistaa kopioita, jotka ovat jo lähettäjän Lähetetyt-kansiossa, sähköpostipalvelimella, varmuuskopiossa tai muussa ulkoisessa järjestelmässä. Asiakirjan poistaminen Sunset Docsista ei poista kopioita, jotka asiakas tai joku muu on ladannut, tulostanut, valokuvannut tai tallentanut muualle.
11. Ilmoita haavoittuvuudesta
Lähetä tietoturvailmoitukset osoitteeseen [email protected]. Älä liitä mukaan henkilökohtaisia asiakirjoja tai asiakastietoja. Älä käytä muiden tietoja, häiritse palvelua tai käytä manipulointia (social engineering). Jos kohtaat asiakastietoja, lopeta ja ilmoita vain se vähimmäistieto, jota tarvitsemme tutkintaan.