Безопасность и ваши файлы

Мы не продаём ваши персональные данные, не показываем таргетированную рекламу и не используем рекламные cookie или сторонние cookie для отслеживания. Политика безопасности контента сайта разрешает нашим страницам подключаться только к нашему собственному домену (connect-src 'self').

Для работы с инструментами аккаунт не нужен. Аналитика у нас своя: мы никогда не храним ваш IP-адрес в исходном виде, а превращаем его в хешированный токен с помощью секрета, который меняется каждый день. Журналы инструментов никогда не содержат имён или содержимого ваших файлов — только сам инструмент, где он работал, успешно ли, сколько времени это заняло и примерный диапазон размера.

Файл читается и обрабатывается внутри вашего браузера, а результат вы скачиваете прямо из браузера. Файл не отправляется ни на какой сервер. Так работает большинство инструментов для PDF и изображений: объединение, разделение, поворот, подпись собственного файла и сжатие изображений.

Некоторым инструментам нужны программы, которые плохо работают в браузере, например конвертация файлов Office и OCR. В этом случае ваш файл передаётся по зашифрованному соединению в наш сервис конвертации, который обрабатывает его и удаляет сразу после отправки вам результата.

«Краткое содержание PDF», «Перевод PDF» и «Спросить PDF» извлекают текст из вашего файла и отправляют этот текст, а не сам файл, в Anthropic по зашифрованному соединению. Подробности — в разделе ИИ. Мы не рекомендуем использовать эти инструменты для особо конфиденциальных документов.

Когда вы просите других людей подписать документ, мы храним его, пока все не подпишут: сам документ, имена и адреса электронной почты подписантов и журнал аудита каждого шага. Эта функция доступна только владельцам аккаунтов. Сроки хранения — в разделе Хранение и удаление.

Официального «сертификата GDPR» не существует, и мы не заявляем, что он у нас есть. Но мы применяем принципы регламента: собираем как можно меньше данных, устанавливаем срок для всего, что храним, и объясняем, где обрабатывается каждый файл. Среди ваших прав:

• Удаление: удалите свой аккаунт сами на странице «Мой аккаунт».
• Исправление: измените имя и язык на странице «Мой аккаунт»; по остальным вопросам напишите нам.
• Доступ и переносимость: запросите копию данных своего аккаунта по адресу [email protected].

Мы применяем практики из рекомендаций OWASP по безопасности веб-приложений, в том числе:

• Политика безопасности контента (CSP): скрипты и соединения ограничены нашим доменом, а сайт нельзя встроить в другие сайты.
• Защита от SSRF: «HTML в PDF» и «HTML в изображение» принимают только публичные ссылки http и https, а мы проверяем IP-адрес при каждом соединении и каждом перенаправлении, так что ни один запрос не может попасть в нашу внутреннюю сеть.
• Изолированный рендеринг: браузер, который отрисовывает веб-страницы, не имеет прямого доступа в интернет; каждый его запрос проходит ту же проверку, а скрипты в загруженных HTML-файлах по умолчанию отключены. Макросы в файлах Office никогда не выполняются, а каждая конвертация идёт в отдельном процессе с ограничением по времени и по объёму того, что она может записать.

В Ираке действует Закон об электронной подписи и электронных сделках № 78 2012 года. Подписи в Safha — это простые электронные подписи: мы храним журнал аудита со временем каждого шага и отпечаток SHA-256 исходного и итогового документа. Это не подписи, удостоверенные удостоверяющим центром, и мы не даём юридических заключений об их действительности. Если вашему документу нужна подпись с определённым правовым статусом, обратитесь к юристу.

• ISO/IEC 27001: создание системы менеджмента информационной безопасности по этому стандарту в рамках подготовки к независимой оценке.
• Независимый тест на проникновение силами внешней компании.
• Двухфакторная аутентификация для аккаунтов администраторов.
• Шифрование файлов запросов подписи при хранении.

Safha работает на сервере, арендованном у Contabo GmbH; диапазон его адресов зарегистрирован в Германии по данным реестра RIPE NCC. Каждый сервис работает в отдельном Docker-контейнере под управлением Coolify: веб-приложение сайта, сервис конвертации и база данных PostgreSQL.

Трафик сайта проходит через сеть Cloudflare, сервис которой включает автоматическую защиту от распределённых атак типа «отказ в обслуживании» (DDoS). Внутри сервера база данных находится во внутренней сети, отрезанной от интернета, а сервис конвертации не принимает внешних подключений: к нему может обратиться только веб-приложение сайта, и только с общим секретным токеном.

• Весь сайт работает по HTTPS, а запросы по HTTP перенаправляются на HTTPS.
• Соединения поддерживают TLS 1.3.
• Мы отправляем заголовок HSTS на два года (max-age=63072000; includeSubDomains), поэтому ваш браузер открывает сайт только по зашифрованному соединению.
• Соединение между Cloudflare и нашим сервером тоже зашифровано, с действительным TLS-сертификатом.

На сервере мы храним немного: аккаунты, сценарии, сохранённые резюме и аналитику — в базе данных, а файлы запросов подписи — на диске сервера. Пароли и токены ссылок для подписи хранятся только в виде хешей (bcrypt и SHA-256). Скажем прямо: сейчас мы не шифруем базу данных и файлы запросов подписи при хранении собственным ключом; их защищают сетевая изоляция и права доступа на сервере.

В Safha всего две роли: участник и администратор. Панель администратора открывается только для аккаунта с ролью администратора, и мы проверяем эту роль на сервере дважды: при входе в панель, а затем на каждой странице и при каждом действии внутри неё. Изменение роли аккаунта или его блокировка сразу завершают его сеансы.

• Сервис конвертации работает от имени пользователя без прав root на файловой системе, доступной только для чтения, и пишет только во временную папку в памяти.
• Он считывает свои секреты один раз при запуске, а затем отказывается от привилегий root; эти секреты никогда не попадают в процессы конвертации.
• Ключ Anthropic хранится только в сервисе конвертации; он никогда не попадает ни в веб-приложение сайта, ни в браузер.
• Пароль базы данных и ключ подписи сеансов генерирует платформа развёртывания; никто не вводит их вручную.

Сейчас мы не предлагаем двухфакторную аутентификацию для аккаунтов администраторов и не будем утверждать обратное. Пока мы её не добавим, первый пароль администратора генерируется случайным образом платформой развёртывания, а попытки входа ограничены так же, как для любого аккаунта.

Действия, которые затрагивают устройства пользователей, например отправка уведомлений и публикация версий приложения, записываются в журнал с указанием администратора и времени.