Безпека та конфіденційність

Хостинг і місце зберігання даних

• Кожна подія, visitor та обліковий запис зберігаються в AWS eu-west-1 в Ірландії, як і резервні копії.
• Сервіс працює на керованих сервісах AWS (Lambda, DynamoDB, S3, CloudFront та SES для електронної пошти) і на ClickHouse Cloud, який зберігає доступну для пошуку копію подій і журналів аудиту в AWS в Ірландії. Власних серверів, які потрібно оновлювати, немає.
• Запити надходять на найближчу до відвідувача edge-локацію CloudFront, яка може бути поза ЄС, і далі зашифровані передаються в Ірландію.
• Дані про IP надходять від ipapi.is у Німеччині, який отримує лише IP-адресу.

Шифрування

• Весь трафік до агента, API та панелі використовує TLS.
• Бази даних шифруються в стані спокою за допомогою AWS і ClickHouse Cloud.
• Запечатані результати шифрують подію ключем вашого проєкту (AES-256-GCM), тому браузер не може її прочитати чи змінити. Ми генеруємо й зберігаємо цей ключ, оскільки identify використовує його для запечатування, і показуємо лише один раз: відкрити запечатаний результат можуть лише власники ключа проєкту.

Ключі та секрети

• Секретні ключі зберігаються як хеш SHA-256 і показуються повністю лише один раз, під час створення.
• Ключі мають префікс і контрольну суму, тож сканери витоків можуть їх знайти, а помилковий ключ відхиляється без перевірки.
• Webhook підписуються міткою часу, тож ваш сервер може відхиляти підроблені та повторені виклики. Ми зберігаємо webhook secret повністю, оскільки підписуємо ним.

Менше даних за задумом

• Агент ніколи не читає мережеві адреси WebRTC, а рядки запиту та фрагменти ніколи не покидають браузер.
• Прапорці та оцінки ніколи не передаються назад у браузер. Режим zero trust приховує від браузера і visitor ID, і тоді agent нічого не зберігає.
• URL-адреси сторінок і джерела переходів зберігаються як походження та шлях, лише походження або взагалі не зберігаються.

Зберігання та видалення

• Кожен проєкт зберігає події 30 днів, 1, 3 або 5 років або доки ви їх не видалите, що є стандартним; прострочені події автоматично видаляються, зазвичай протягом одного-двох днів.
• Один виклик API видаляє все, що збережено для одного external ID, інший — все для одного пристрою, включно з його зв'язками з браузерами та IP-адресами.
• Видалення не поширюється на 90-денний кеш пошуку IP, доставки webhook (зберігаються 30 днів), журнали невдалих завдань і помилок (зберігаються, доки ми їх не видалимо) або резервні копії (35 днів).

Доступ до панелі керування

• Паролі зберігаються за допомогою scrypt, а кожна зміна облікового запису завершує його сеанси.
• Наші власні входи перевіряються самим сервісом: поганий бот або ідентифікація з іншого браузера не можуть увійти.
• Обліковий запис бачить лише ті проєкти, до яких має доступ. Ролей поки немає: кожен член команди може створювати ключі, змінювати налаштування, надавати доступ підтримки та видаляти проєкт. Двофакторна автентифікація поки не підтримується.

Доступ підтримки

• Наша служба підтримки може читати події, використання та ключі проєкту лише тоді, коли проєкт це дозволяє, по 12 годин за раз.
• Члени команди надають доступ у налаштуваннях проєкту або прийнявши запит, можуть завершити його будь-коли та бачать банер, поки підтримка переглядає.
• Кожна сторінка, яку відкриває підтримка, записується в журнал аудиту організації.

Відповідність