Безопасность
Безопасность в DueVestor
Как мы защищаем Ваши данные и данные субъектов проверки — при передаче, хранении и от инсайдерских угроз.
Шифрование
TLS 1.2+ при передаче данных (терминирование на Cloudflare, современные шифры). База данных Postgres зашифрована в состоянии покоя на стороне провайдера хостинга; шифрование учётных данных на уровне базы данных осуществляется посредством Fernet (AES-128-CBC + HMAC-SHA256) для всех хранимых токенов третьих сторон. Резервные копии зашифрованы тем же конвертным ключом.
Управление доступом
Доступ к производственной среде ограничен единственным оператором-основателем в рамках политик минимальных привилегий Cloudflare Access. Все привилегированные административные операции фиксируются в журнале аудита (ADR-058) со сроком хранения 2 года. Доступ по API реализован через непрозрачные ключи (хеш HMAC-SHA256; ADR-056) — утечка дампа базы данных не позволяет воспроизвести ключ без секрета приложения.
План сертификации SOC 2
Цель: получение отчёта SOC 2 Type I в IV квартале 2026 года по критериям доверия «Безопасность» и «Доступность» для производственного SaaS и изолированной среды формирования отчётов. Отчёт Type II — в 2027 году по завершении 6-месячного периода наблюдений. В настоящее время — этап 2 подготовки: средства контроля внедрены, взаимодействие с аудиторской компанией запланировано.
Сообщение об уязвимости
Отправьте письмо на адрес [email protected] с описанием уязвимости, шагами по воспроизведению и предложенным значением CVSS. Мы гарантируем подтверждение получения в течение 72 часов и устранение или разъяснение в течение 30 дней. Денежное вознаграждение в версии v1 не предусмотрено; при желании Ваше имя будет указано в публичном отчёте по результатам анализа инцидента.
Что мы передаём в LLM
Данные субъектов, передаваемые в Anthropic, обрабатываются в рамках договора о запрете обучения, действующего на уровне тарифа Enterprise (Ваши данные DSAR никогда не используются для обучения модели). Изолированные вычислительные среды на RunPod, создаваемые для каждого отчёта, являются эфемерными — контейнер уничтожается по завершении каждого отчёта (ADR-031..034).
Субпроцессоры
DueVestor использует следующих субпроцессоров для оказания услуг. Мы уведомляем клиентов за 30 дней до подключения любого субпроцессора, обрабатывающего персональные данные граждан ЕС.
| Поставщик | Назначение | Регион |
|---|---|---|
| SendGrid | Transactional email | US |
| Twilio | SMS / phone OTP (Sprint 6) | US |
| Cloudflare | CDN + DNS + edge cookies | Global |
| Anthropic | LLM inference (no-train contract) | US |
| GitHub | Source code hosting (no user data) | US |
| RunPod | Per-report ephemeral compute sandbox | US |
| PayPal | Credit purchases | US |
Требуется подписанное DPA?
Клиенты тарифного плана Team и выше могут запросить подписанное Соглашение об обработке данных.
Просмотреть / подписать DPA →