Безопасность
Безопасность в DueVestor
Как мы защищаем Ваши данные и данные субъектов проверки — при передаче, хранении и от инсайдерских угроз.
Шифрование
TLS 1.2+ при передаче данных (терминируется на Cloudflare, современные шифры). Резервные копии базы данных шифруются до того, как покидают хост.
Управление доступом
Доступ к производственной среде ограничен единственным оператором-основателем. Чувствительные административные операции фиксируются в журнале аудита (ADR-058) со сроком хранения 2 года. Доступ по API непрозрачен для каждого ключа (HMAC-SHA256 хэширование; ADR-056) — утечка дампа БД не позволяет воспроизвести ключ без секрета приложения.
Файрвол веб-приложений и защита от DDoS-атак
DueVestor работает за сетью Cloudflare уровня Pro, обеспечивая возможности веб-файрвола (WAF), автоматическое снижение угрозы DDoS-атак и фильтрацию ботов на периметре сети. Управляемые правила WAF защищают от шаблонов атак OWASP Top 10 до их достижения уровня приложения.
Сообщение об уязвимости
Отправьте письмо на адрес [email protected] с описанием уязвимости, шагами по воспроизведению и предложенным значением CVSS. Мы гарантируем подтверждение получения в течение 72 часов и устранение или разъяснение в течение 30 дней. Денежное вознаграждение в версии v1 не предусмотрено; при желании Ваше имя будет указано в публичном отчёте по результатам анализа инцидента.
Что мы передаём в LLM
Отчёты составляются в Google Cloud Vertex AI (EU Multi-Region), а вторым европейским маршрутом служит Amazon Web Services Bedrock (eu-central-1). Anthropic используется только как резервный вариант: если оба европейских маршрута недоступны, отчёт приостанавливается и обрабатывается через Anthropic на серверах в Соединённых Штатах только после явного, зафиксированного согласия клиента (срок хранения у поставщика: 30 дней). Данные субъекта, передаваемые Anthropic, передаются по договору, запрещающему обучение моделей, — они не используются для обучения.
Субпроцессоры
DueVestor использует следующих субпроцессоров для оказания услуг. Мы уведомляем клиентов за 30 дней до подключения любого субпроцессора, обрабатывающего персональные данные граждан ЕС.
| Поставщик | Назначение | Регион |
|---|---|---|
| RunPod | Hosting — application, database, workers | EEA |
| Cloudflare | CDN + DNS + WAF + DDoS protection + file storage (R2) | Global |
| Google Cloud (Vertex AI) | LLM inference — first European route | EU Multi-Region |
| Amazon Web Services (Bedrock) | LLM inference — second European route | EU (eu-central-1) |
| Anthropic | LLM inference — fallback only, consent-gated for reports (no-training contract) | US |
| Resend | Transactional email | US |
| Twilio | SMS / phone verification | US |
| PayPal | Credit purchases | US |
| GitHub | Source code hosting (no user data) | US |
Требуется подписанное DPA?
Клиенты могут запросить подписанное Соглашение об обработке данных.
Просмотреть / подписать DPA →