Sunset Docs je navrhnutý tak, aby obmedzoval zbytočné kópie dokumentov a čas, počas ktorého sú aktívne súbory dostupné. Táto stránka opisuje opatrenia, ktoré používame, a ich praktické limity. Nejde o certifikáciu ani o záruku, že sa dá zabrániť každej hrozbe.
1. Zdieľaná zodpovednosť
Sunset Docs chráni službu a údaje, ktoré spracúva. Zákazníci zostávajú zodpovední za to, že majú zákonný dôvod na získanie každého dokumentu, zvolia vhodný dátum vymazania, kontrolujú členstvo v pracovnom priestore a chránia kópie stiahnuté alebo uchovávané mimo služby.
Samotné používanie Sunset Docs nezabezpečuje, že zákazník spĺňa požiadavky GDPR ani iné právne alebo odvetvové požiadavky.
2. Účty a prístup k pracovnému priestoru
Každá požiadavka na dokument sa overuje voči členstvu prihláseného používateľa v pracovnom priestore. Vlastníci pracovného priestoru riadia prístup členov a oprávnenia na sťahovanie originálov. Dvojstupňové overenie je k dispozícii pre každý účet a po zapnutí sa vyžaduje pri prihlásení.
Heslá sa hašujú algoritmom Argon2id. Relácie vypršia po siedmich dňoch a používajú súbory cookie Secure a SameSite, ochranu proti CSRF a zrušenie na strane servera. Obnovenie hesla zruší existujúce relácie.
3. Šifrovanie a ukladanie
Originály dokumentov, náhľady a vygenerované kópie aplikácia pred uložením šifruje algoritmom AES-256-GCM. Každý dokument má vlastný dátový kľúč, ktorý je samostatne zabalený hlavným kľúčom služby.
Aktívne šifrované objekty sa uchovávajú v súkromnej infraštruktúre Hetzner a zrkadlia sa do súkromného úložiska Cloudflare R2. Verejné adresy URL objektov sa nepoužívajú a cesty v úložisku neobsahujú názvy súborov zákazníkov. Údaje pri prenose chráni TLS.
4. Príjem súborov a kontrola škodlivého softvéru
Podporované súbory sa kontrolujú podľa obsahu, umiestňujú do karantény a skenujú skôr, ako sú dostupné. Súbory chránené heslom, poškodené, nepodporované alebo podozrivé sa odmietnu. Webová aplikácia súbory z karantény neposkytuje.
Skenovanie škodlivého softvéru a validácia znižujú riziko, ale nedokážu odhaliť každý škodlivý súbor. Úspešný sken nie je dôkazom, že súbor je bezpečný alebo pravý.
5. Hranice prezerania a sťahovania
Režim iba na prezeranie poskytuje vygenerované obrázky strán namiesto pôvodného súboru. Požiadavky na strany, tlač a originály používajú krátkodobú podpísanú autorizáciu a reštriktívne hlavičky pre vyrovnávaciu pamäť. Vodoznaky v prehliadači identifikujú prihláseného používateľa a čas.
Ktokoľvek, kto dokument vidí, si stále môže odfotiť alebo zaznamenať obrazovku. Tlač vytvára ďalšiu kópiu: vlastníci pracovného priestoru rozhodujú, či vytlačené kópie nesú vodoznak, a každá tlač sa zaznamená v zázname aktivity. Vlastníci pracovného priestoru môžu samostatne povoliť sťahovanie originálov.
6. Plánované a manuálne vymazanie
Každý dokument má dátum vymazania. Plánované alebo oprávnené manuálne vymazanie odstráni z lokálneho úložiska aj z R2 aktívne originály, náhľady, dočasné tlačové výstupy, zabalené kľúče, názvy súborov, údaje o odosielateľovi a ďalšie citlivé metaúdaje.
Na 12 mesiacov zostáva minimálny záznam bez obsahu. Zaznamenáva, že k vymazaniu došlo, ale neuchováva dokument, názov súboru ani totožnosť odosielateľa.
7. Zálohy a obnova
Šifrované zálohy databázy sú oddelené od bežného prístupu aplikácie a ich platnosť vyprší do 30 dní. Ak vymazané údaje zostanú ako zvyšok v chránenej zálohe, neobnovujú sa na bežný prístup zákazníka a zaniknú spolu s touto zálohou.
Pravidlá životného cyklu objektov v R2 slúžia ako bezpečnostný limit. Za dodržanie presného dátumu vymazania každého dokumentu zodpovedá úloha vymazania v aplikácii.
8. Prevádzkové opatrenia
Aplikácia beží za reverznou proxy, úložisko dokumentov je mimo verejného webového koreňového adresára a podstatné úkony s dokumentmi sa zaznamenávajú. Prístup k produkčnému prostrediu majú iba osoby, ktoré ho potrebujú na prevádzku alebo zabezpečenie služby a sú viazané povinnosťou mlčanlivosti.
Transakčné e-maily neobsahujú prílohy s dokumentmi, názvy súborov, náhľady, totožnosť odosielateľa ani odkazy, ktoré by poskytovali prístup k dokumentom. Prichádzajúce e-maily s dokumentmi prijíma priamo Sunset Docs a prílohy sa po prijatí odstránia zo spracovania pošty.
9. Bezpečnostné incidenty
Podozrivé incidenty vyšetrujeme, potvrdené problémy obmedzujeme, uchovávame dôkazy potrebné na vyšetrovanie a bez zbytočného odkladu upovedomujeme dotknutých zákazníkov, ak ide o osobné údaje zákazníkov. Ak ešte nie sú k dispozícii všetky podrobnosti, informácie poskytujeme postupne.
10. Limity mimo Sunset Docs
Príjem e-mailom nedokáže odstrániť kópie, ktoré už sú v priečinku Odoslané odosielateľa, na poštovom serveri, v zálohe alebo v inom externom systéme. Vymazanie dokumentu zo Sunset Docs nevymaže kópie, ktoré si zákazník alebo iná osoba stiahla, vytlačila, odfotila alebo uložila inde.
11. Nahlásenie zraniteľnosti
Bezpečnostné hlásenia posielajte na [email protected]. Nepripájajte osobné dokumenty ani informácie o zákazníkoch. Nepristupujte k údajom, ktoré nie sú vaše, nenarúšajte službu a nepoužívajte sociálne inžinierstvo. Ak narazíte na údaje zákazníkov, prestaňte a nahláste iba minimum informácií, ktoré potrebujeme na vyšetrenie.