Безопасность данных

Этот документ описывает технические и организационные меры, которые мы применяем для защиты данных Заказчиков и гостей. Документ носит информационный характер; полные обязательства приведены в Политике конфиденциальности.

1. Где находятся данные

• Все базы данных и файловое хранилище размещены на серверах в Российской Федерации.
• Трансграничная передача персональных данных не осуществляется.
• Бэкапы хранятся в отдельном регионе того же провайдера для отказоустойчивости.

2. Шифрование

• Транспортный уровень: TLS 1.3, HSTS включён;
• Пароли пользователей: bcrypt с индивидуальной солью;
• Платёжные данные: не хранятся, токенизация на стороне ЮKassa (PCI DSS).

3. Контроль доступа

• Принцип наименьших привилегий для всех внутренних ролей;
• Двухфакторная аутентификация для административного доступа;
• Аудит входа и действий в административных интерфейсах;
• Ограничение доступа к инфраструктуре по IP и через VPN.

4. Резервное копирование

• Полный бэкап БД: ежедневно;
• Точечное восстановление (point-in-time) на любую минуту последних 7 дней;
• Ежемесячное тестирование процедуры восстановления.

5. Мониторинг и реагирование

• Автоматический мониторинг ошибок приложения без передачи персональных данных;
• Метрики доступности и времени отклика 24/7;
• Регламент реагирования на инциденты с уведомлением Роскомнадзора в течение 24 часов с момента обнаружения нарушения, как этого требует 152-ФЗ в редакции 2025 года.

6. Безопасность кода

• Зависимости проверяются автоматически на известные CVE;
• Code review для всех изменений в продакшен-коде;
• Защита от распространённых уязвимостей OWASP Top 10 (XSS, CSRF, SQLi, SSRF, IDOR).

7. Ответственное раскрытие уязвимостей

Если вы обнаружили уязвимость в Сервисе, пожалуйста, сообщите нам до её публичного раскрытия. Мы ценим вашу работу и разберёмся в течение 5 рабочих дней.

• Email: resstrosaas@mail.ru с темой «Security»;
• Если уязвимость критическая, пометьте письмо «URGENT»;
• Не используйте уязвимость для доступа к чужим данным, достаточно демонстрации возможности.

Мы не инициируем юридическое преследование исследователей, действующих добросовестно в рамках этой политики.

8. Удаление данных при расторжении

После расторжения договора учётная запись и связанные данные удаляются в течение 6 месяцев. Данные о расчётах, которые мы обязаны хранить по закону (54-ФЗ, налоговый учёт), сохраняются на установленный законом срок.

9. Контакты

Любые вопросы по безопасности: resstrosaas@mail.ru.