Sunset Docs ma ograniczać liczbę zbędnych kopii dokumentów i czas, przez jaki aktywne pliki pozostają dostępne. Na tej stronie opisujemy stosowane zabezpieczenia i ich praktyczne ograniczenia. Nie jest to certyfikat ani gwarancja, że da się zapobiec każdemu zagrożeniu.
1. Wspólna odpowiedzialność
Sunset Docs chroni usługę i przetwarzane w niej dane. Klient pozostaje odpowiedzialny za posiadanie podstawy prawnej do zbierania każdego dokumentu, wybór odpowiedniej daty usunięcia, kontrolę nad członkami przestrzeni roboczej oraz ochronę kopii pobranych lub przechowywanych poza usługą.
Samo korzystanie z Sunset Docs nie zapewnia klientowi zgodności z RODO ani z innymi wymogami prawnymi lub branżowymi.
2. Konta i dostęp do przestrzeni roboczej
Każde żądanie dostępu do dokumentu jest sprawdzane pod kątem członkostwa zalogowanego użytkownika w przestrzeni roboczej. Właściciele przestrzeni roboczych zarządzają dostępem członków i uprawnieniami do pobierania oryginałów. Weryfikacja dwuetapowa jest dostępna dla każdego konta, a po jej włączeniu jest wymagana przy logowaniu.
Hasła są haszowane algorytmem Argon2id. Sesje wygasają po siedmiu dniach i korzystają z plików cookie z atrybutami Secure i SameSite, ochrony przed CSRF oraz unieważniania po stronie serwera. Zresetowanie hasła unieważnia istniejące sesje.
3. Szyfrowanie i przechowywanie
Oryginały dokumentów, podglądy i wygenerowane kopie są szyfrowane przez aplikację algorytmem AES-256-GCM przed zapisaniem. Każdy dokument ma własny klucz danych, który jest osobno opakowany głównym kluczem usługi.
Aktywne zaszyfrowane obiekty są przechowywane w prywatnej infrastrukturze Hetzner i replikowane do prywatnego zasobnika Cloudflare R2. Nie używamy publicznych adresów URL obiektów, a ścieżki przechowywania nie zawierają nazw plików klientów. Dane przesyłane przez sieć chroni protokół TLS.
4. Przyjmowanie plików i wykrywanie złośliwego oprogramowania
Obsługiwane pliki są sprawdzane na podstawie zawartości, umieszczane w kwarantannie i skanowane, zanim staną się dostępne. Pliki chronione hasłem, uszkodzone, nieobsługiwane lub podejrzane są odrzucane. Aplikacja internetowa nie udostępnia plików z kwarantanny.
Skanowanie w poszukiwaniu złośliwego oprogramowania i walidacja zmniejszają ryzyko, ale nie wykryją każdego szkodliwego pliku. Pozytywny wynik skanowania nie dowodzi, że plik jest bezpieczny lub autentyczny.
5. Granice podglądu i pobierania
Tryb tylko do podglądu wyświetla wygenerowane obrazy stron zamiast oryginalnego pliku. Żądania stron, wydruków i oryginałów korzystają z krótkotrwałej podpisanej autoryzacji i restrykcyjnych nagłówków pamięci podręcznej. Znaki wodne w podglądzie wskazują zalogowanego użytkownika i czas.
Każdy, kto widzi dokument, nadal może sfotografować ekran lub zrobić zrzut ekranu. Wydruk tworzy kolejną kopię: właściciele przestrzeni roboczych decydują, czy wydruki mają znak wodny, a każdy wydruk jest zapisywany w dzienniku aktywności. Właściciele mogą też osobno zezwolić na pobieranie oryginałów.
6. Usuwanie zaplanowane i ręczne
Każdy dokument ma datę usunięcia. Zaplanowane lub autoryzowane ręczne usunięcie usuwa z pamięci lokalnej i z R2 aktywne oryginały, podglądy, tymczasowe pliki wydruku, opakowane klucze, nazwy plików, dane nadawców i inne wrażliwe metadane.
Przez 12 miesięcy pozostaje minimalny zapis bez treści. Potwierdza on, że usunięcie nastąpiło, ale nie zawiera dokumentu, nazwy pliku ani tożsamości nadawcy.
7. Kopie zapasowe i odtwarzanie
Zaszyfrowane kopie zapasowe bazy danych są odizolowane od zwykłego dostępu aplikacji i wygasają w ciągu 30 dni. Jeśli usunięte dane pozostają jeszcze w chronionej kopii zapasowej, nie są przywracane do zwykłego dostępu klienta i wygasają razem z tą kopią.
Reguły cyklu życia obiektów w R2 stanowią zabezpieczenie awaryjne. Za dotrzymanie dokładnej daty usunięcia każdego dokumentu odpowiada zadanie usuwania w aplikacji.
8. Zabezpieczenia operacyjne
Aplikacja działa za odwrotnym serwerem proxy, magazyn dokumentów znajduje się poza publicznym katalogiem serwera WWW, a istotne działania na dokumentach są rejestrowane. Dostęp produkcyjny mają wyłącznie osoby, które potrzebują go do obsługi lub zabezpieczenia usługi i są zobowiązane do zachowania poufności.
Wiadomości transakcyjne nie zawierają załączników z dokumentami, nazw plików, podglądów, tożsamości nadawcy ani linków dających dostęp do dokumentów. Przychodzące e-maile z dokumentami odbiera bezpośrednio Sunset Docs, a po przyjęciu załączniki są usuwane z systemu przetwarzania poczty.
9. Incydenty bezpieczeństwa
Badamy podejrzewane incydenty, ograniczamy skutki potwierdzonych problemów, zabezpieczamy dowody potrzebne do wyjaśnienia sprawy i bez zbędnej zwłoki powiadamiamy klientów, których to dotyczy, jeśli incydent obejmuje dane osobowe klientów. Jeśli nie znamy jeszcze wszystkich szczegółów, przekazujemy informacje etapami.
10. Ograniczenia poza Sunset Docs
Przyjmowanie dokumentów e-mailem nie usuwa kopii, które już znajdują się w folderze Wysłane nadawcy, na serwerze poczty, w kopii zapasowej ani w innym zewnętrznym systemie. Usunięcie dokumentu z Sunset Docs nie usuwa kopii, które klient lub inna osoba pobrała, wydrukowała, sfotografowała lub zapisała w innym miejscu.
11. Zgłaszanie podatności
Zgłoszenia dotyczące bezpieczeństwa wysyłaj na adres [email protected]. Nie dołączaj dokumentów osobistych ani informacji o klientach. Nie uzyskuj dostępu do cudzych danych, nie zakłócaj działania usługi i nie stosuj socjotechniki. Jeśli natrafisz na dane klientów, przerwij działania i przekaż tylko minimum informacji potrzebnych do wyjaśnienia sprawy.