dokumentacja · workspace

Bezpieczeństwo i dane

Wszystko działa we Frankfurcie, rekordy zgód są zbudowane tak, by je udowadniać, a nie im ufać, a to, czego nie przechowujemy, jest tak samo celowe jak to, co przechowujemy.

Gdzie mieszkają Twoje dane

Rejestrowanie, serwowanie banera, baza danych, przechowywanie plików i kopie zapasowe działają w eu-central-1 (Frankfurt). Dane o zgodach nie opuszczają UE.

Czego rekord zgody nie zawiera

Obok rekordu zgody nigdy nie jest przechowywany adres IP, user agent ani adres strony. Rekord zawiera wybór, kategorie, wersję banera i skrót tekstów, język, reżim i pseudonimowy identyfikator odwiedzającego. Logi serwera są przechowywane najwyżej 30 dni.

Dowód, nie zaufanie

Łańcuch skrótów: każdy rekord jest powiązany z poprzednim, więc każda manipulacja jest widoczna. Panel może zweryfikować łańcuch na żądanie.
Podpisane eksporty: eksporty dowodów są podpisane Ed25519. Każde pobranie ma skrót treści, podpis i identyfikator klucza, więc strona trzecia może zweryfikować plik bez ufania nam.
Rotacja kluczy: rotacja klucza podpisującego wprowadza nowy identyfikator klucza; stare klucze publiczne pozostają opublikowane, żeby już wydane eksporty były weryfikowalne na zawsze.
Opublikowane klucze: publiczny materiał weryfikacyjny jest serwowany otwarcie, razem z kanałem opublikowanych wersji banera.

Retencja i usuwanie

Rekordy zgód są przechowywane przez okres retencji Twojego planu (12 miesięcy w Free, 60 miesięcy w każdym planie płatnym; niestandardowo w Scale), a potem usuwane zgodnie z harmonogramem. Żądania usunięcia są realizowane nagrobkami: dane podmiotu są usuwane, a integralność łańcucha pozostaje możliwa do wykazania. Każda opublikowana wersja banera jest niezmienna, więc zawsze możesz pokazać dokładnie, co odwiedzający widział danego dnia.

Bezpieczeństwo konta

Uwierzytelnianie dwuskładnikowe (TOTP) jest dostępne dla każdego konta i może być wymagane w całym workspace’ie. Single sign-on SAML lub OIDC nadchodzi dla workspace’ów Scale. Podpisana umowa powierzenia danych jest dostępna w Scale; lista podprocesorów jest publiczna.

Operacje

Poświadczenia produkcyjne nigdy nie są wbudowywane w obrazy ani repozytoria; usługi działają z wąsko ograniczonymi rolami bazodanowymi, sekrety mieszkają w plikach środowiskowych z trybem 600 na hoście, a runtime banera nie wykonuje żadnych żądań do firm trzecich: żadnych czcionek, CDN-ów ani beaconów do nikogo poza Twoim własnym endpointem zgód.