Технические и организационные меры

1. Область применения и устройство сервиса

• Компания: CreatorFlow Labs S.L., Мадрид, Испания. Небольшая команда, которая работает полностью удалённо. Мы не эксплуатируем собственные серверы, серверные помещения или корпоративную офисную сеть, и персональные данные не хранятся в помещениях компании.
• Хостинг: Весь сервис работает на Amazon Web Services (AWS) в Европейском союзе, в регионе eu-west-1 (Ирландия). Все компоненты находятся в этом регионе: приложение, базы данных, кэши, объектное хранилище и резервные копии.
• Обрабатываемые данные: Ники в Instagram и публичные идентификаторы профилей; текст комментариев и личных сообщений, которые запускают автоматизации или появляются в результате их работы; адреса email, собранные через автоматизации; события кликов по ссылкам; данные аккаунтов и платёжные данные клиентов. Обработка особых категорий персональных данных по статье 9 GDPR не предполагается.
• Разделение ответственности: Физическую безопасность центров обработки данных и их защиту от воздействия окружающей среды обеспечивает AWS. Всё, начиная с операционной системы и выше, эксплуатирует CreatorFlow. В каждом разделе ниже указано, на чьей стороне находится каждая мера.

2. Контроль физического доступа (Zutrittskontrolle)

• Помещения компании: Неприменимо. В помещениях CreatorFlow нет серверов, сетевого оборудования или носителей информации с персональными данными. Поэтому запираемые серверные помещения, серверные шкафы, управление ключами от помещений, журналы посетителей, системы сигнализации и правила для персонала по уборке и техническому обслуживанию к нам не применяются.
• Центры обработки данных (AWS): Наследуется от AWS. В центрах обработки данных AWS действуют охрана периметра, контроль доступа по пропускам и биометрическим данным, сопровождение посетителей, видеонаблюдение и регистрация доступа. Эти меры проходят аудит по ISO 27001 и SOC 2. Отчёты доступны клиентам по запросу через нас или напрямую через AWS Artifact.
• Аварийное электропитание и пожарная защита: Наследуется от AWS. В центрах обработки данных работают резервированные вводы электропитания, источники бесперебойного питания и генераторы, а также автоматические системы обнаружения и тушения пожара. Эти меры входят в те же отчёты об аудите.

3. Контроль доступа к системам (Zugangskontrolle)

• Аутентификация клиентов: Клиенты входят по адресу email и паролю или через Google. Форма регистрации требует пароль длиной не менее 8 символов. Сейчас это требование проверяется только в браузере, а не на сервере. Пароли хранятся в виде хешей с солью и никогда в открытом виде. Переход на современный алгоритм хеширования паролей (bcrypt или argon2) отслеживается как открытая задача. Новые аккаунты создаются после проверки reCAPTCHA. Подтверждение email перед первым использованием сейчас не требуется.
• Сессии: Сессии хранятся на стороне сервера. На сессию ссылается подписанный файл cookie с флагом HttpOnly. Он привязан к нашему домену, и срок его действия истекает через 7 дней. Флаг Secure для этого cookie пока не установлен. Его добавление включено в наш план работ по безопасности. Смена пароля завершает текущую сессию и отзывает токены «Запомнить меня», но сейчас не завершает другие активные сессии на других устройствах. Если адрес email аккаунта меняет администратор, все сессии этого пользователя становятся недействительными.
• Блокировка аккаунта: Автоматической блокировки аккаунта после повторных неудачных попыток входа пока нет. Дополнительные меры защиты от злоупотреблений при входе включены в наш план работ по безопасности. Ссылки для сброса пароля отправляются только на адрес email, указанный в аккаунте.
• Доступ к Instagram: Мы никогда не запрашиваем и не храним пароли от Instagram. Аккаунты Instagram подключаются через официальный процесс OAuth 2.0 от Meta, а полученные токены доступа перед сохранением шифруются на уровне приложения (AES-256).
• Доступ персонала и доступ к инфраструктуре: Доступ к консоли AWS, серверам и административным функциям есть только у поимённо назначенных сотрудников с индивидуальными учётными данными. Доступ к серверам выполняется по SSH с индивидуальными ключами. Административные функции в приложении доступны только одному аккаунту администратора из списка разрешённых, и частота запросов к ним ограничена.

4. Контроль доступа к данным (Zugriffskontrolle)

• Разграничение доступа по клиентам: Каждая запись клиента (автоматизации, контакты, активность, аналитика) хранится с идентификатором рабочего пространства, к которому она относится. Приложение показывает пользователю только те рабочие пространства, участником которых он является. Серверные проверки участия в рабочем пространстве действуют только для части API. Мы распространяем их на все конечные точки API, которые работают с данными рабочих пространств. Пока эта работа не завершена, мы не заявляем, что разделение данных клиентов полностью обеспечено на уровне API.
• Принцип служебной необходимости: Доступ к данным рабочей среды есть только у поимённо назначенных сотрудников, которые обеспечивают работу сервиса, и только для поддержки, реагирования на инциденты и технического обслуживания.
• Защита учётных данных: Токены доступа Instagram хранятся в зашифрованном виде и по умолчанию не попадают в выборки из базы данных. Поэтому обычные запросы и экспорт их не возвращают.
• Платёжные данные: Данные карт полностью обрабатывает Stripe. CreatorFlow никогда не получает и не хранит полные номера карт.

5. Контроль передачи данных (Weitergabekontrolle)

• Шифрование при передаче: Соединения между пользователями и сервисом, а также между сервисом и Meta, Stripe и нашими поставщиками услуг электронной почты и журналирования шифруются с помощью TLS.
• Субобработчики: Персональные данные передаются только субобработчикам, перечисленным в разделе 5 DPA, на условиях обработки данных. Данные размещаются в Европейском союзе, и журналы ведутся там же. Передача данных субобработчикам за пределами ЕС основана на стандартных договорных положениях или на Рамочной программе конфиденциальности данных ЕС и США, как указано в DPA.
• Экспорт: Клиенты могут экспортировать собранные контакты в файл CSV. После экспорта эти данные находятся под контролем и ответственностью клиента.
• Съёмные носители: Неприменимо. Для персональных данных не используются съёмные носители информации (USB-накопители, внешние диски, ленты для резервного копирования), поэтому учёт носителей не требуется.

6. Ведение журналов и контроль ввода (Eingabekontrolle)

• Журналы приложения: Приложение ведёт структурированные журналы по каждому обработанному вебхуку, запуску автоматизации, отправке сообщения и запросу к API. Каждая запись содержит идентификатор корреляции, поэтому отдельное событие можно отследить от начала до конца.
• Журналы доступа: На уровне HTTP для каждого запроса записывается одна строка журнала доступа.
• Центральное хранилище и срок хранения: Все журналы передаются на платформу журналирования, размещённую в ЕС (New Relic, регион данных ЕС), и хранятся 30 дней. Пользователи приложения не могут изменять журналы.
• Административный журнал аудита: Действия сотрудников CreatorFlow с аккаунтами клиентов через интерфейс администрирования, включая удаление аккаунтов и смену email аккаунтов, записываются в журнал аудита. В записи указываются администратор, который выполнил действие, отметка времени и результат.
• Неудачные попытки входа: Неудачные попытки входа клиентов сейчас не записываются в отдельный журнал безопасности. Это включено в наш план работ по безопасности.

7. Контроль разделения данных (Trennungskontrolle)

• Разделение данных клиентов: Данные клиентов логически разделены по идентификатору рабочего пространства на уровне данных (мультиарендность). Через приложение клиенты не могут видеть данные других рабочих пространств.
• Функциональное разделение: Данные аккаунтов и аутентификации хранятся в базе данных, отдельной от данных приложения (автоматизации, контакты, аналитика).
• Среды: Автоматические тесты выполняются на изолированной базе данных в оперативной памяти и никогда не затрагивают данные рабочей среды. Для повседневной разработки используются локальные базы данных. Поимённо назначенные сотрудники также напрямую выполняют запросы к данным рабочей среды для поддержки, отладки и расследования инцидентов. Рабочая среда одна, отдельной предрелизной среды нет. Перед выпуском изменения проверяются локально и набором автоматических тестов, и их можно откатить.
• Физическое разделение: Неприменимо, кроме разделения на уровне аккаунта AWS. Все рабочие нагрузки выполняются в выделенном аккаунте AWS, который принадлежит CreatorFlow.

8. Доступность и устойчивость (Verfügbarkeitskontrolle)

• Инфраструктура: Сервис работает в одном регионе AWS (eu-west-1) в группе автоматического масштабирования. Эта группа автоматически заменяет вычислительный хост, если он вышел из строя. Данные хранятся на постоянных томах хранилища, которые сохраняются при замене хоста.
• Снимки: Перед изменениями инфраструктуры создаются снимки томов. Они хранятся в том же регионе AWS. Снимки, которые могут содержать персональные данные, удаляются при ротации.
• Устойчивость вебхуков: Meta повторно доставляет вебхуки Instagram в течение определённого времени после временного сбоя, а Stripe повторяет отправку платёжных вебхуков в течение нескольких дней. Поэтому при коротких перерывах в работе события не теряются.
• Мониторинг: Работоспособность приложения, пропускная способность и частота ошибок отслеживаются через нашу платформу журналирования. Результаты каждого развёртывания сравниваются с базовыми показателями, снятыми до него.
• Ограничения: Аварийного переключения между регионами нет. Целевое время восстановления и целевая точка восстановления формально не закреплены. Сервис не предназначен для сценариев, где требуется гарантированная непрерывная доступность.
• Устойчивость центров обработки данных: Наследуется от AWS (резервированные электропитание, охлаждение и сеть, пожаротушение), см. раздел 2.

9. Управление обновлениями и изменениями

• Процесс внесения изменений: Нетривиальные изменения начинаются с письменной спецификации и плана реализации. Код покрыт набором автоматических тестов, которые выполняются на изолированных тестовых базах данных. Каждый релиз перед развёртыванием собирается и проходит проверку типов.
• Релизы: Приложение развёртывается в виде версионированных образов контейнеров. Чтобы откатить релиз, можно повторно развернуть предыдущий образ. Функциональность с повышенным риском включается через флаги функций. Такой флаг можно сначала включить для части рабочих пространств и выключить без повторного развёртывания.
• Проверка: Ключевые показатели фиксируются до развёртывания и сравниваются после него, чтобы выявлять регрессии на раннем этапе.
• Зависимости и операционная система: Сторонние зависимости и базовые образы контейнеров обновляются в рамках обычного процесса выпуска. Операционная система хоста обновляется при замене вычислительного хоста. Фиксированного календарного графика установки исправлений нет. Обновления, важные для безопасности, получают приоритет в зависимости от критичности.
• Реестр безопасности: Замечания по итогам наших собственных аудитов безопасности учитываются во внутреннем реестре с оценкой критичности и устраняются в порядке убывания риска.

10. Реагирование на инциденты и нарушения безопасности данных

• Контакт: О проблемах безопасности можно сообщить на security@creatorflow.so. Мы подтверждаем получение сообщений и расследуем их. Программы вознаграждений за найденные уязвимости у нас нет.
• Реагирование: Инциденты расследуются с помощью централизованных журналов, локализуются, документируются с хронологией и первопричиной и устраняются. Выводы по итогам инцидентов вносятся в реестр безопасности.
• Уведомление клиента: Если нарушение безопасности персональных данных затрагивает данные клиента, мы уведомляем этого клиента без неоправданной задержки после того, как нам станет об этом известно. Мы предоставляем сведения, описанные в разделе 8 DPA, чтобы клиент мог выполнить собственные обязанности по статьям 33 и 34 GDPR.

11. Организационные меры

• Конфиденциальность: Сотрудники с доступом к персональным данным связаны договорными или установленными законом обязательствами по соблюдению конфиденциальности.
• Жизненный цикл доступа: Доступ к инфраструктуре и административным функциям предоставляется индивидуально и отзывается, когда человек уходит из компании или меняет роль.
• Устройства и удалённая работа: Команда работает удалённо. Доступ к данным рабочей среды возможен только с индивидуальными учётными данными через зашифрованные соединения (TLS, SSH). По сложившейся практике данные рабочей среды не хранятся на локальных устройствах. Корпоративной офисной сети нет, поэтому VPN не используется. Каждое административное подключение проходит индивидуальную аутентификацию и шифруется.
• Чистый стол и бумажные записи: Неприменимо в классическом смысле: персональные данные, которые обрабатываются через сервис, существуют только в электронном виде в AWS, а бумажные записи с данными клиентов не ведутся.
• Третьи лица и обслуживание: Внешний персонал по обслуживанию, уборке или поддержке не имеет доступа к рабочим системам. Удалённое обслуживание третьими лицами не используется. Инфраструктуру обслуживают только сотрудники CreatorFlow.
• Защита конечных точек на серверах: В рабочей среде нагрузки выполняются в контейнерах Linux от имени пользователей без прав root, на хосте, который открывает в публичный доступ только HTTPS. Компьютеры сотрудников не входят в сеть рабочей среды.

12. Удаление и сроки хранения данных

• Удаление аккаунта: По запросу аккаунт удаляется вместе со всеми его рабочими пространствами, автоматизациями, контактами, записями активности, незавершёнными состояниями автоматизаций и подключениями Instagram. Соответствующий контакт для маркетинговых писем также удаляется. Каждое удаление записывается в журнал аудита.
• Удаление контактов: Клиент может удалять отдельные контакты (собранные адреса email). Это помогает выполнять запросы субъектов данных на удаление.
• Автоматическое истечение срока: Временные записи, которые используются, пока автоматизация ждёт действия пользователя (например, ответа с email или подписки), становятся недействительными в срок от 24 до 48 часов в зависимости от типа автоматизации. Из базы данных они физически удаляются в течение 48 часов.
• Журналы: Журналы приложения и журналы доступа хранятся 30 дней.
• Снимки: См. раздел 8. Из снимков данные восстанавливаются только для того, чтобы вернуть сервис в работу после системного сбоя. Персональные данные, удалённые до такого восстановления, после него нужно будет удалить повторно. Автоматической сверки для этого нет, поэтому по запросу мы повторно выполняем удаление вручную.

13. Пересмотр настоящих мер