Sunset Docs er laget for å redusere unødvendige dokumentkopier og begrense hvor lenge aktive filer er tilgjengelige. Denne siden beskriver tiltakene vi bruker, og hvilke praktiske begrensninger de har. Den er ikke en sertifisering eller en garanti for at alle trusler kan avverges.
1. Delt ansvar
Sunset Docs beskytter tjenesten og dataene den behandler. Kunden er fortsatt ansvarlig for å ha et lovlig grunnlag for å samle inn hvert dokument, velge en passende slettedato, styre hvem som er medlem av arbeidsområdet, og beskytte kopier som lastes ned eller oppbevares utenfor tjenesten.
Bruk av Sunset Docs gjør ikke i seg selv at en kunde oppfyller personvernforordningen (GDPR) eller andre lovkrav eller bransjekrav.
2. Kontoer og tilgang til arbeidsområdet
Hver forespørsel om et dokument kontrolleres mot medlemskapet til den innloggede brukeren i arbeidsområdet. Eieren av arbeidsområdet styrer medlemmenes tilgang og tillatelsen til å laste ned originaler. Totrinnsbekreftelse er tilgjengelig for alle kontoer og kreves ved innlogging når den er slått på.
Passord hashes med Argon2id. Økter utløper etter sju dager og bruker informasjonskapsler med Secure og SameSite, CSRF-beskyttelse og tilbakekalling på serveren. Tilbakestilling av passord tilbakekaller eksisterende økter.
3. Kryptering og lagring
Originaldokumenter, forhåndsvisninger og genererte kopier krypteres av applikasjonen med AES-256-GCM før lagring. Hvert dokument har sin egen datanøkkel, og nøkkelen pakkes separat inn med tjenestens hovednøkkel.
Aktive krypterte objekter lagres på privat infrastruktur hos Hetzner og speiles til en privat Cloudflare R2-bøtte. Offentlige objekt-URL-er brukes ikke, og lagringsstiene inneholder ikke kundenes filnavn. TLS beskytter data under overføring.
4. Mottak av filer og kontroll for skadevare
Støttede filer kontrolleres ut fra innholdet, legges i karantene og skannes før de blir tilgjengelige. Passordbeskyttede, skadede, ikke-støttede eller mistenkelige filer avvises. Filer i karantene leveres ikke ut av nettapplikasjonen.
Skanning for skadevare og validering reduserer risikoen, men kan ikke oppdage alle skadelige filer. En vellykket skanning er ikke bevis for at en fil er trygg eller ekte.
5. Grenser for visning og nedlasting
Visningsmodus leverer genererte sidebilder i stedet for originalfilen. Forespørsler om sider, utskrifter og originaler bruker kortvarig, signert autorisasjon og restriktive hurtigbufferhoder. Vannmerket i visningen identifiserer den innloggede brukeren og tidspunktet.
Alle som kan se et dokument, kan likevel fotografere skjermen eller ta skjermbilde. Utskrift lager en ny kopi: eieren av arbeidsområdet velger om utskrevne kopier skal ha vannmerke, og hver utskrift registreres i aktivitetsloggen. Eieren kan i tillegg tillate nedlasting av originaler.
6. Planlagt og manuell sletting
Hvert dokument har en slettedato. Planlagt eller autorisert manuell sletting fjerner aktive originaler, forhåndsvisninger, midlertidige utskriftsfiler, innpakkede nøkler, filnavn, avsenderopplysninger og andre sensitive metadata fra lokal lagring og R2.
En minimal registrering uten innhold blir liggende i 12 måneder. Den viser at slettingen er utført, men inneholder ikke dokumentet, filnavnet eller avsenderens identitet.
7. Sikkerhetskopier og gjenoppretting
Krypterte sikkerhetskopier av databasen er skjermet fra vanlig applikasjonstilgang og utløper innen 30 dager. Hvis slettede data fortsatt finnes som rester i en beskyttet sikkerhetskopi, gjenopprettes de ikke for vanlig kundetilgang, og de utløper sammen med sikkerhetskopien.
Livssyklusregelen for objekter i R2 er en sikkerhetsgrense. Det er sletteprosessen i applikasjonen som sørger for at hvert dokument slettes på riktig dato.
8. Driftskontroller
Applikasjonen kjører bak en omvendt mellomtjener (reverse proxy), dokumentlagringen ligger utenfor den offentlige webroten, og vesentlige handlinger på dokumenter logges. Tilgang til produksjonsmiljøet er begrenset til personer som trenger den for å drifte eller sikre tjenesten, og som har taushetsplikt.
Transaksjonelle e-poster inneholder ingen dokumentvedlegg, filnavn, forhåndsvisninger, avsenderidentitet eller lenker som gir tilgang til dokumenter. Dokumenter som sendes på e-post, mottas direkte av Sunset Docs, og vedleggene fjernes fra e-postbehandlingen etter mottak.
9. Sikkerhetshendelser
Vi undersøker mistenkte hendelser, begrenser bekreftede problemer, sikrer bevisene som trengs for undersøkelsen, og varsler berørte kunder uten ugrunnet opphold når kunders personopplysninger er involvert. Vi gir informasjonen trinnvis hvis ikke alle detaljer er kjent ennå.
10. Begrensninger utenfor Sunset Docs
Mottak via e-post kan ikke fjerne kopier som allerede ligger i avsenderens Sendt-mappe, på en e-postserver, i en sikkerhetskopi eller i et annet eksternt system. Sletting av et dokument i Sunset Docs sletter ikke kopier som en kunde eller en annen person har lastet ned, skrevet ut, fotografert eller lagret et annet sted.
11. Rapporter et sikkerhetsproblem
Send sikkerhetsrapporter til [email protected]. Ikke legg ved personlige dokumenter eller kundeopplysninger. Ikke skaff deg tilgang til data som ikke er dine, ikke forstyrr tjenesten og ikke bruk sosial manipulering. Kommer du over kundedata, stopp og rapporter bare det minimum av informasjon vi trenger for å undersøke saken.