Segurança e privacidade

Hospedagem e residência de dados

• Todo evento, visitante e conta é armazenado na AWS eu-west-1, na Irlanda, assim como os backups.
• O serviço roda em serviços AWS gerenciados (Lambda, DynamoDB, S3, CloudFront e SES para e-mail) e no ClickHouse Cloud, que mantém uma cópia pesquisável dos eventos e logs de auditoria na AWS na Irlanda. Não há servidores próprios para aplicar patches.
• As solicitações chegam ao ponto de borda do CloudFront mais próximo do visitante, que pode estar fora da UE, e seguem criptografadas para a Irlanda.
• Os detalhes de IP vêm do ipapi.is, na Alemanha, que recebe apenas o endereço IP.

Criptografia

• Todo o tráfego para o agente, a API e o painel usa TLS.
• Os bancos de dados são criptografados em repouso pela AWS e ClickHouse Cloud.
• Os resultados selados criptografam um evento com a chave do seu projeto (AES-256-GCM), para que o navegador não possa lê-lo nem alterá-lo. Geramos essa chave e a mantemos, já que o identify a usa para selar, e a mostramos uma única vez: apenas quem possui a chave do projeto pode abrir um resultado selado.

Chaves e segredos

• As secret keys são armazenadas como hash SHA-256 e exibidas por completo apenas uma vez, na criação.
• As chaves têm um prefixo e uma soma de verificação, para que scanners de vazamento as encontrem e um erro de digitação seja recusado sem consulta.
• Os webhooks são assinados com um carimbo de data/hora, para que seu servidor possa rejeitar chamadas forjadas e reproduzidas. Mantemos o segredo do webhook completo, pois assinamos com ele.

Menos dados por design

• O agente nunca lê endereços de rede WebRTC, e query strings e fragmentos nunca saem do navegador.
• Flags e scores nunca voltam ao navegador. O modo zero trust também oculta o visitor ID dele, e o agente então não armazena nenhum.
• URLs de página e referrers são mantidos como origin e caminho, apenas como origin ou não são mantidos.

Retenção e exclusão

• Cada projeto mantém os eventos por 30 dias, 1, 3 ou 5 anos, ou até que sejam excluídos, que é o padrão; eventos expirados são removidos automaticamente, geralmente em um ou dois dias.
• Uma chamada à API apaga tudo armazenado para um external ID; outra apaga tudo de um dispositivo, incluindo seus vínculos com navegadores e IPs.
• A exclusão não alcança o cache de consulta de IP de 90 dias, as entregas de webhooks (mantidas por 30 dias), os registros de tarefas com falha e erros (mantidos até os removermos) nem os backups (35 dias).

Acesso ao painel

• As senhas são armazenadas com scrypt, e cada alteração em uma conta encerra suas sessões.
• Nossos próprios logins são verificados pelo próprio serviço: um bot mal-intencionado ou uma identificação de outro navegador não consegue entrar.
• Uma conta só vê os projetos que lhe foram atribuídos. Ainda não há funções: qualquer membro da equipe pode criar chaves, alterar configurações, permitir acesso de suporte e excluir o projeto. A autenticação em dois fatores ainda não é oferecida.

Acesso de suporte

• Nossa equipe de suporte só pode ler eventos, uso e chaves de um projeto enquanto o projeto permitir, por 12 horas de cada vez.
• Os membros da equipe concedem acesso nas configurações do projeto ou ao aceitar uma solicitação, podem encerrá-lo a qualquer momento e veem um banner enquanto o suporte está acompanhando.
• Cada página aberta pelo suporte é registrada no log de auditoria da organização.

Conformidade