Sunset Docs створено, щоб зменшити кількість зайвих копій документів і обмежити час, протягом якого активні файли залишаються доступними. На цій сторінці описано заходи, які ми застосовуємо, та їхні практичні межі. Це не сертифікація і не гарантія того, що можна запобігти будь-якій загрозі.
1. Спільна відповідальність
Sunset Docs захищає сервіс і дані, які він опрацьовує. Клієнти залишаються відповідальними за наявність законної підстави для збирання кожного документа, вибір відповідної дати видалення, контроль складу робочого простору та захист копій, завантажених або збережених поза сервісом.
Використання Sunset Docs саме по собі не забезпечує відповідності клієнта GDPR чи іншим правовим або галузевим вимогам.
2. Акаунти й доступ до робочого простору
Кожен запит до документа перевіряється на членство користувача, який увійшов, у робочому просторі. Власники робочих просторів керують доступом учасників і дозволами на завантаження оригіналів. Двоетапна перевірка доступна для кожного акаунта і після ввімкнення є обов'язковою під час входу.
Паролі хешуються за допомогою Argon2id. Сеанси завершуються через сім днів і використовують файли cookie з атрибутами Secure і SameSite, захист від CSRF та відкликання на боці сервера. Скидання пароля відкликає наявні сеанси.
3. Шифрування та зберігання
Оригінали документів, зображення сторінок і створені копії шифруються застосунком за алгоритмом AES-256-GCM перед зберіганням. Кожен документ має власний ключ даних, який окремо загортається головним ключем сервісу.
Активні зашифровані об'єкти зберігаються на приватній інфраструктурі Hetzner і дзеркалюються в приватний бакет Cloudflare R2. Публічні URL-адреси об'єктів не використовуються, а шляхи зберігання не містять назв файлів клієнтів. Дані під час передавання захищає TLS.
4. Приймання файлів і перевірка на шкідливе ПЗ
Підтримувані файли перевіряються за вмістом, поміщаються на карантин і скануються, перш ніж стати доступними. Файли, захищені паролем, пошкоджені, непідтримувані або підозрілі, відхиляються. Вебзастосунок не віддає файли з карантину.
Сканування на шкідливе ПЗ і перевірка зменшують ризик, але не можуть виявити кожен шкідливий файл. Успішне сканування не доводить, що файл безпечний або справжній.
5. Межі перегляду й завантаження
Режим лише перегляду показує створені зображення сторінок, а не оригінальний файл. Запити сторінок, друку й оригіналів використовують короткочасну підписану авторизацію та суворі заголовки кешування. Водяні знаки у переглядачі вказують користувача, який увійшов, і час.
Будь-хто, хто бачить документ, однаково може сфотографувати екран або зробити знімок екрана. Друк створює ще одну копію: власники робочих просторів вирішують, чи матимуть надруковані копії водяний знак, а кожен друк записується в журнал дій. Окремо власники можуть дозволити завантаження оригіналів.
6. Видалення за розкладом і вручну
Кожен документ має дату видалення. Видалення за розкладом або дозволене видалення вручну прибирає з локального сховища та R2 активні оригінали, зображення сторінок, тимчасові файли друку, загорнуті ключі, назви файлів, дані відправника та інші чутливі метадані.
Мінімальний запис без вмісту зберігається 12 місяців. Він фіксує, що видалення відбулося, але не зберігає документ, назву файлу чи особу відправника.
7. Резервні копії та відновлення
Зашифровані резервні копії бази даних ізольовані від звичайного доступу застосунку, і строк їх зберігання спливає протягом 30 днів. Якщо видалені дані залишаються в захищеній резервній копії, вони не відновлюються для звичайного доступу клієнтів і зникають разом із цією копією.
Правило життєвого циклу об'єктів R2 є запобіжним обмеженням. За дотримання точної дати видалення кожного документа відповідає завдання видалення в застосунку.
8. Операційні заходи
Застосунок працює за зворотним проксі, сховище документів розташоване поза публічним вебкаталогом, а суттєві дії з документами записуються в журнал. Доступ до робочого середовища мають лише особи, яким він потрібен для роботи чи захисту сервісу і які зобов'язані дотримуватися конфіденційності.
Службові листи не містять вкладених документів, назв файлів, зображень сторінок, даних про відправника чи посилань, що надають доступ до документів. Вхідні листи з документами Sunset Docs отримує безпосередньо, а вкладення вилучаються з обробки пошти після приймання.
9. Інциденти безпеки
Ми розслідуємо підозрювані інциденти, локалізуємо підтверджені проблеми, зберігаємо докази, потрібні для розслідування, і без зайвої затримки повідомляємо постраждалих клієнтів, якщо це стосується персональних даних клієнтів. Якщо ще відомі не всі подробиці, ми надаємо інформацію поетапно.
10. Межі поза Sunset Docs
Приймання електронною поштою не може видалити копії, які вже є в надісланих листах відправника, на поштовому сервері, у резервній копії чи в іншій зовнішній системі. Видалення документа в Sunset Docs не видаляє копій, які клієнт або інша особа завантажили, надрукували, сфотографували чи зберегли деінде.
11. Повідомити про вразливість
Надсилайте звіти про безпеку на [email protected]. Не додавайте особистих документів чи інформації про клієнтів. Не отримуйте доступу до чужих даних, не порушуйте роботу сервісу і не вдавайтеся до соціальної інженерії. Якщо ви натрапили на дані клієнтів, зупиніться й повідомте лише мінімум інформації, потрібний нам для розслідування.