Bezpečnost a soukromí

Hosting a umístění dat

• Každá událost, visitor i účet jsou uloženy v AWS eu-west-1 v Irsku, stejně jako zálohy.
• Služba běží na spravovaných službách AWS (Lambda, DynamoDB, S3, CloudFront a SES pro e-maily) a na ClickHouse Cloud, který uchovává prohledatelnou kopii událostí a auditních logů na AWS v Irsku. Nemáme vlastní servery, které by bylo nutné aktualizovat.
• Požadavky přicházejí na nejbližší edge lokaci CloudFront k návštěvníkovi, která může být mimo EU, a dál putují šifrovaně do Irska.
• Údaje o IP pocházejí z ipapi.is v Německu, které dostává pouze IP adresu.

Šifrování

• Veškerý provoz k agentovi, API a dashboardu používá TLS.
• Databáze jsou šifrovány v klidu službami AWS a ClickHouse Cloud.
• Zapečetěné výsledky šifrují událost klíčem vašeho projektu (AES-256-GCM), takže je prohlížeč nemůže číst ani měnit. Tento klíč generujeme a uchováváme, protože jej identify používá k zapečetění, a zobrazíme ho jen jednou: zapečetěný výsledek mohou otevřít pouze držitelé klíče projektu.

Klíče a tajemství

• Tajné klíče se ukládají jako hash SHA-256 a zobrazí se celé pouze jednou, při vytvoření.
• Klíče mají předponu a kontrolní součet, takže je úniková skenery najdou a překlep je odmítnut bez vyhledávání.
• Webhooky jsou podepisovány časovým razítkem, takže váš server může odmítnout padělaná a opakovaná volání. Webhook secret uchováváme celý, protože jím podepisujeme.

Méně dat už od návrhu

• Agent nikdy nečte síťové adresy WebRTC a query řetězce a fragmenty nikdy neopustí prohlížeč.
• Příznaky a skóre se nikdy nevracejí do prohlížeče. Režim zero trust skryje visitor ID i před prohlížečem a agent pak nic neukládá.
• URL adresy stránek a odkazující stránky se uchovávají jako původ a cesta, pouze původ, nebo vůbec.

Uchovávání a mazání

• Každý projekt uchovává události 30 dní, 1, 3 nebo 5 let, nebo dokud je neodstraníte, což je výchozí nastavení; expirované události se automaticky odstraní, obvykle do jednoho nebo dvou dnů.
• Jedno volání API smaže vše uložené pro jedno external ID, jiné vše pro jedno zařízení, včetně jeho odkazů na prohlížeče a IP adresy.
• Smazání se nevztahuje na 90denní cache vyhledávání IP, doručení webhooků (uchovávaná 30 dní), záznamy neúspěšných úloh a chyb (uchovávané, dokud je neodstraníme) ani zálohy (35 dní).

Přístup do dashboardu

• Hesla jsou ukládána pomocí scrypt a každá změna účtu ukončí jeho relace.
• Naše vlastní přihlášení kontroluje samotná služba: špatný bot nebo identifikace z jiného prohlížeče se nepřihlásí.
• Účet vidí jen projekty, které mu byly přiřazeny. Role zatím nejsou: každý člen týmu může vytvářet klíče, měnit nastavení, povolit přístup podpory a smazat projekt. Dvoufázové ověřování zatím nenabízíme.

Přístup pro podporu

• Náš support může čist události, využití a klíče projektu pouze tehdy, když to projekt povoluje, a to vždy na 12 hodin.
• Členové týmu ji povolí v nastavení projektu nebo přijetím žádosti, mohou ji kdykoli ukončit a při prohlížení podporou vidí banner.
• Každá stránka, kterou support otevře, se zaznamenává do auditního logu organizace.

Soulad s předpisy