Политика безопасности данных

1. Общие принципы защиты

Безопасность данных обеспечивается в соответствии с законодательством Российской Федерации, Регламентом ЕС 2016/679 (GDPR) и международными стандартами информационной безопасности (включая ISO/IEC 27001). Основные принципы:

• законность и прозрачность обработки данных;
• минимизация объёма собираемых данных;
• ограничение доступа и контроль привилегий;
• учёт всех инцидентов безопасности.

2. Архитектура защиты и шифрование

• Передача всех данных осуществляется по защищённым протоколам HTTPS (SSL/TLS);
• Пароли пользователей хранятся только в виде хэшей bcrypt с солью;
• Ключи доступа хранятся в зашифрованном виде в переменных окружения;
• Резервные копии выполняются ежедневно и шифруются алгоритмом AES-256;
• Секретные данные не логируются и не передаются сторонним системам без правового основания.

3. Аутентификация и управление доступом

• Авторизация пользователей осуществляется через одноразовые коды и/или пароли с двухфакторной аутентификацией (2FA, при наличии);
• Все действия пользователей логируются в журнал с фиксацией IP и времени действия;
• Доступ сотрудников к админ-панели осуществляется по VPN и именному аккаунту;
• При трёх неудачных попытках входа подряд временно блокируется IP адрес;
• Сессии автоматически завершаются при бездействии более 30 минут.

4. Хранение и сегментация данных

Персональные данные граждан РФ хранятся на серверах на территории Российской Федерации. Данные пользователей ЕС могут обрабатываться на серверах в ЕЭЗ или за его пределами при наличии адекватного уровня защиты (ст. 45–46 GDPR). Доступ к базам данных строго ограничен ролями и идентификаторами доступа.

5. Мониторинг и инциденты безопасности

Сервис осуществляет постоянный мониторинг активности и автоматическое уведомление о подозрительных действиях (аномалии, массовые логины, DDoS). При обнаружении утечки или попытки несанкционированного доступа Администрация:

• немедленно ограничивает доступ к системе;
• проводит расследование и восстанавливает целостность данных;
• в течение 72 часов уведомляет надзорный орган (Роскомнадзор или DPA ЕС) и затронутых пользователей (в соответствии со ст. 33 GDPR);
• фиксирует инцидент в журнале безопасности и принимает меры по предотвращению повторения.

6. Третьи стороны и подрядчики

Доступ к данным может предоставляться только:

• авторизованным партнёрам по хостингу, облачным хранилищам или платёжным агрегаторам;
• по договору об обработке данных (Data Processing Agreement — DPA);
• при наличии адекватных мер защиты (шифрование, контроль доступа, логирование).

7. Ответственность пользователей

Пользователь обязан:

• хранить свои учётные данные в тайне и не передавать их третьим лицам;
• использовать надёжные пароли (не короче 8 символов с комбинацией букв и цифр);
• немедленно сообщать о подозрительной активности на info@rivrox.com.

8. Хранение и срок жизни данных

Данные хранятся не дольше, чем необходимо для целей их обработки. Логи безопасности — 12 месяцев, резервные копии — 90 дней, данные аккаунта — до момента удаления пользователем в соответствии с Политикой удаления аккаунта.

9. Обучение и аудит

Администрация Сервиса регулярно пересматривает настройки безопасности, процессы обработки данных и меры защиты, а при необходимости обновляет их с учётом развития сервиса и изменений законодательства. В случае потребности могут привлекаться внешние специалисты по информационной безопасности. Информация о мерах защиты данных может быть предоставлена по запросу уполномоченных надзорных органов.

10. Обновление политики

Настоящая Политика может быть обновлена без предварительного уведомления. Актуальная версия всегда опубликована на странице /data-security.

11. Контакты

По вопросам безопасности данных обращайтесь: info@rivrox.com