Безопасность и данные

В сервисе лежат чужие персональные данные: фамилии собственников, адреса квартир, телефоны, почта и фотографии помещений. Компания, которая заводит их в АктПро, отвечает за них перед своим заказчиком, и прежде чем начать, она вправе знать, где это всё физически лежит и кто может это открыть. Ниже — по пунктам.

Кто оператор

Сервис делает ООО «СК ДЕВ», ОГРН 1267700304772, ИНН 9701332258. Договор — пользовательское соглашение, обработка данных описана в политике обработки персональных данных. Реквизиты целиком — на странице контактов.

Роли распределены так: в отношении учётных записей сотрудников оператором выступаем мы, а в отношении данных собственников квартир цели обработки определяет ваша организация — мы их только храним и превращаем в документ. Согласие собственника на обработку берёт компания, а не сервис.

Где лежат данные

Сервер один, и он стоит у российского хостинга Timeweb (АО «Таймвэб», Санкт-Петербург). На нём работают сайт, веб-панель и та часть, с которой разговаривает приложение.

• База данных — управляемый PostgreSQL того же Timeweb. Он не выставлен в интернет: подключиться к нему можно только из закрытой сети, в которой стоит сам сервер.
• Фотографии и готовые PDF — в объектном хранилище, российский регион ru-1. В базе от файла остаётся только адрес.
• Письма уходят с нашего домена, с адреса acts@act-pro.ru, через российскую службу доставки писем SMTP.bz. Подлинность отправителя подтверждена записями SPF, DKIM и DMARC в домене — подделать письмо от нашего имени не выйдет.

Это то самое требование ч. 5 ст. 18 закона 152-ФЗ: базы с персональными данными россиян должны находиться в России. Заграничных копий у акта, фотографий и карточек клиентов нет.

Как данные ходят по сети

Только по HTTPS. Обращение по http:// сервер не обслуживает, а переадресовывает на защищённый адрес; сертификаты выпускает Let's Encrypt и продлевает автоматически. Приложение на объекте держит данные у себя в телефоне и отправляет их по тому же защищённому каналу, когда появляется связь — как это устроено, описано в работе без сети.

Кто что видит внутри сервиса

Организации разделены на уровне каждого обращения к данным. Организация не передаётся в адресе страницы и не выбирается в настройках — она берётся из того, под кем человек вошёл, и при каждом обращении сервер заново сверяется с базой: числится ли этот человек в этой организации и не деактивирован ли он. Подставить чужую организацию и увидеть её акты не выйдет: такое обращение получает отказ.

Внутри организации доступ разделён тремя ролями — администратор, менеджер, эксперт. Эксперт в списке актов видит только свои осмотры, а не работу коллег.

Как входят

• Администратор и менеджер — по почте и паролю. Пароль хранится хэшем bcrypt: в базе его нет ни в каком читаемом виде, и прочитать его не можем и мы.
• Эксперт — по четырёхзначному коду, который выпускает администратор. Код живёт семь суток, сгорает при первом входе, и живым он бывает только один: перевыпуск отзывает предыдущий.
• Вход в панель живёт неделю, после чего пароль нужен заново. Пока человек работает, вход продлевается сам, и при каждом продлении прежний ключ гаснет, а выдаётся новый. Если погашенный ключ предъявят снова — это считается кражей, и все входы этого человека в организации закрываются разом.
• Перебор пароля и кода ограничен. Пять неудачных попыток пароля за четверть часа с одного адреса — и адрес отдыхает. У кода эксперта ограничение своё, по устройству и по адресу.

Фотографии и PDF

Снимок с объекта уезжает в хранилище под адресом, в котором стоит номер организации. Принимается он не по расширению: сервер смотрит в сам файл и берёт только настоящий JPEG или PNG не тяжелее двадцати мегабайт — посторонний файл, переименованный в .jpg, он отвергает.

Готовый PDF в панели открывается по временной ссылке: она действует десять минут и выписывается заново при каждом открытии карточки акта. Скопированная из адресной строки и отправленная кому-то через час, она уже не откроется.

Ссылка на акт для собственника

Письмо собственнику уходит со ссылкой, а не с вложением, и открывается она без регистрации — иначе документ не переслать юристу и не показать в суде. Ссылка подписана ключом сервера, в базе от неё лежит только отпечаток, и перебором соседний акт по ней не достать.

Но понимать её надо правильно: у этой ссылки нет срока жизни. Кто её получил — тот открывает документ и через год. Это сознательный размен: собственник не должен упереться в протухшую ссылку в тот день, когда акт понадобился. Если акт содержит то, что видеть посторонним нельзя, отправляйте его тому, кому доверяете, и не выкладывайте ссылку в общий чат.

Удаление данных

Порядок описан отдельным документом — удаление аккаунта и персональных данных. Коротко — три вещи, которые чаще всего путают.

• Деактивация — это не удаление. Она закрывает вход и оставляет акты в истории организации. Для увольняющегося сотрудника нужна именно она.
• Удаление учётной записи делается по письму на support@act-pro.ru с того адреса, на который она заведена. Ответ — не позже тридцати дней.
• Акты и данные собственников принадлежат организации, а не сотруднику: по заявлению одного человека они не удаляются. Запрос собственника квартиры мы передаём организации, которая эти данные внесла.

Если что-то пошло не так

Пишите на support@act-pro.ru — это единственный адрес, и отвечает по нему человек. Если речь о подозрении на чужой доступ, напишите об этом в теме письма: администратор может немедленно деактивировать сотрудника в панели сам, не дожидаясь ответа.

Рядом

Как устроены роли и коды доступа — команда и доступы. Что лежит в телефоне до появления связи — работа без сети. Кто мы и чем занимаемся — о компании.