Seguridad y privacidad

Alojamiento y residencia de datos

• Cada evento, visitante y cuenta se almacena en AWS eu-west-1, en Irlanda, al igual que las copias de seguridad.
• El servicio se ejecuta en servicios gestionados de AWS (Lambda, DynamoDB, S3, CloudFront y SES para correo) y en ClickHouse Cloud, que guarda una copia consultable de los eventos y los registros de auditoría en AWS en Irlanda. No tenemos servidores propios que parchear.
• Las solicitudes llegan a la ubicación perimetral de CloudFront más cercana al visitante, que puede estar fuera de la UE, y se envían cifradas a Irlanda.
• Los detalles de IP provienen de ipapi.is, en Alemania, que solo recibe la dirección IP.

Cifrado

• Todo el tráfico al agente, la API y el panel usa TLS.
• Las bases de datos están cifradas en reposo por AWS y ClickHouse Cloud.
• Los resultados sellados cifran un evento con la clave de tu proyecto (AES-256-GCM), así el navegador no puede leerlo ni modificarlo. Generamos y guardamos esa clave, ya que identify sella con ella, y te la mostramos una vez: solo quienes tengan la clave del proyecto pueden abrir un resultado sellado.

Claves y secretos

• Las secret keys se almacenan como hash SHA-256 y solo se muestran completas una vez, al crearlas.
• Las claves llevan un prefijo y una suma de control, para que los escáneres de filtraciones las detecten y un error tipográfico se rechace sin consultar.
• Los webhooks se firman con una marca de tiempo, para que tu servidor pueda rechazar llamadas falsificadas y repetidas. Guardamos el secreto del webhook completo, ya que firmamos con él.

Menos datos por diseño

• El agente nunca lee las direcciones de red de WebRTC, y las cadenas de consulta y los fragmentos nunca salen del navegador.
• Las marcas y puntuaciones nunca vuelven al navegador. El modo de confianza cero también oculta el ID de visitante, y el agente entonces no almacena ninguno.
• Las URL de página y los referrers se guardan como origen y ruta, solo como origen o no se guardan.

Conservación y eliminación

• Cada proyecto guarda los eventos durante 30 días, 1, 3 o 5 años, o hasta que los elimine, que es la opción predeterminada; los eventos caducados se eliminan automáticamente, normalmente en uno o dos días.
• Una llamada a la API borra todo lo almacenado para un ID externo; otra, todo lo de un dispositivo, incluidos sus vínculos con navegadores e IP.
• La eliminación no afecta a la caché de búsqueda de IP de 90 días, a las entregas de webhooks (conservadas 30 días), a los registros de trabajos fallidos y errores (conservados hasta eliminarlos) ni a las copias de seguridad (35 días).

Acceso al panel

• Las contraseñas se almacenan con scrypt y cada cambio en una cuenta cierra sus sesiones.
• Nuestros propios inicios de sesión se verifican con el propio servicio: un bot malicioso o una identificación de otro navegador no pueden iniciar sesión.
• Una cuenta solo ve los proyectos que se le asignaron. Todavía no hay roles: cualquier miembro del equipo puede crear claves, cambiar ajustes, permitir el acceso de soporte y eliminar el proyecto. La autenticación en dos pasos aún no está disponible.

Acceso de soporte

• Nuestro equipo de soporte puede leer los eventos, el uso y las claves de un proyecto solo mientras el proyecto lo permita, durante 12 horas cada vez.
• Los miembros del equipo lo conceden en la configuración del proyecto o aceptando una solicitud, pueden terminarlo en cualquier momento y ven un aviso mientras soporte está mirando.
• Cada página que abre soporte se registra en el registro de auditoría de la organización.

Cumplimiento