Это DPA является частью вашего основного соглашения с Caldyr. Мы выступаем Обработчиком персональных данных, которые ваша компания обрабатывает с помощью Caldyr.
Субобработчики
UK Dedicated Servers Limited, Ковентри, Великобритания — хостинг: наши собственные хосты у этого провайдера, включая базу данных и её резервные копии. Зашифрованные копии резервных копий базы дополнительно хранятся на отдельном хосте, который мы эксплуатируем вне этого провайдера; прочитать их там нельзя, потому что ключ на этом хосте не хранится. Cloudflare, Inc., США — регистрация домена, авторитативный DNS и маршрутизация входящей почты для @caldyr.ai. Stripe — биллинг. Plausible Insights OÜ, Эстония — аналитика без cookie: сайт её поддерживает, но в продакшене она сегодня выключена и ничего не получает. Исходящая почта уходит с почтового сервера, который мы сами держим на наших собственных хостах у того же провайдера, поэтому стороннего почтового провайдера нет. Адресаты, которых настраиваете вы сами — ваш SIEM, ваше объектное хранилище, ваш провайдер идентификации, ваш провайдер модели — это ваши поставщики, а не наши субобработчики. Уведомление о новых субобработчиках минимум за 30 дней.
Место обработки и передачи данных
Вся обработка для управляемого сервиса происходит на наших собственных хостах у одного хостинг-провайдера в Великобритании. Великобритания находится вне ЕЭЗ, поэтому передача нам персональных данных из ЕЭЗ является международной передачей, и оценивать её надо соответственно. Cloudflare, Inc. учреждена в США и обрабатывает описанные выше DNS-запросы и входящую почту. Обязательства хостить только в ЕС или ЕЭЗ у нас нет. Самостоятельные развёртывания обрабатывают данные там, где вы их запускаете, и по ним мы не обработчик.
Меры безопасности
Сквозное шифрование охватывает ваше личное хранилище заметок и каждую сессию аккаунта Solo, включая её транскрипт, вывод агента и кадры воспроизведения: ключ хранилища выводится из вашей парольной фразы через Argon2id на вашем устройстве, оборачивается только на вас и никогда не депонируется у нас, а сессия Solo шифруется на подключённом хосте ключом, производным от ключа хранилища, поэтому наши серверы хранят и пересылают только шифртекст, а расшифровывает его ваш браузер после того, как вы откроете хранилище ключом доступа (passkey) или парольной фразой. Поэтому ваши личные заметки и сессии Solo мы прочитать не можем, и по той же причине сессии Solo недоступны для поиска в продукте, а выгрузить их мы можем только в виде шифртекста. В аккаунтах компаний секреты, знания команды, сохранённый вывод агента и метаданные сессий шифруются в состоянии покоя ключом на каждую команду, который держит наш сервис хранения ключей и может развернуть самостоятельно, чтобы индексировать, искать, стримить и воспроизводить их; значит, эти классы данных мы прочитать можем. Введённые команды и записи жизненного цикла сессии хранятся без шифрования; снимки экрана терминала в сессиях компаний шифруются в состоянии покоя ключом команды. Row-level security изолирует строки тенантов более чем в сорока тенантных таблицах; небольшое число таблиц пока не покрыто этой защитой — большинство из них внутренние таблицы аудита, биллинга и администрирования, но одна содержит персональные данные, отправленные через публичную форму регистрации. Журнал аудита на каждую компанию, подписанный Ed25519 и связанный в хеш-цепочку, делает подделку обнаруживаемой, но не невозможной. Трафик между вами и сервисом — TLS, а диски наших хостов зашифрованы в состоянии покоя. От зарегистрированных хостов можно требовать клиентский сертификат, но по умолчанию это выключено; трафик между нашими внутренними сервисами идёт по приватной контейнерной сети с аутентификацией общим секретом, а не по взаимному TLS.
Возврат и удаление данных
Пока действует ваш договор, Owner компании или владелец аккаунта Solo может выгрузить данные аккаунта из продукта. Выгрузка включает аккаунт, хосты, сессии и их транскрипты, кадры воспроизведения, заметки базы знаний, заметки хранилища, журнал аудита с подписями, журнал расходов, а также конфигурацию и вебхуки; выгрузка Owner содержит транскрипты всех участников и все записи аудита компании. Имена секретов включаются; значения секретов, ключевой материал и производные поисковые индексы (эмбеддинги и фрагменты) — нет. Заметки хранилища и сессии Solo зашифрованы для вас, поэтому выгружаются в зашифрованном виде и расшифровываются в вашем браузере в продукте. Каждая выгрузка требует подтверждения TOTP, число выгрузок ограничено 3 в сутки, архив хранится 7 дней.
Owner или владелец аккаунта Solo может запросить удаление компании или аккаунта Solo из продукта. Удаление вступает в силу после 30-дневного льготного периода, в течение которого запрос можно отменить из продукта. В этот момент мы удаляем данные из рабочих систем, из резервных копий — в течение 30 дней, из логов — в течение 30 дней. Оплаченный период доходит до конца без возврата средств (подписка отменяется в конце периода), после чего клиент в Stripe удаляется. Если договор расторгнут, а удаление никто не запросил, Owner или владелец аккаунта Solo ещё 30 дней после расторжения может выгрузить данные и запросить удаление; если никто этого не сделает, удаление начинается автоматически на 30-й день и далее идёт по тем же правилам: из рабочих систем — сразу, из резервных копий — в течение 30 дней, из логов — в течение 30 дней, клиент в Stripe удаляется. Копии, уже доставленные в ваш собственный приёмник SIEM, принадлежат вам, и удаление их не затрагивает.
После удаления мы сохраняем только: запись об отозванной лицензии (тариф и идентификаторы, без персональных данных); строки аудита для подотчётности, содержащие идентификаторы, счётчики и хеш адреса электронной почты, — они псевдонимизированы, а не удалены, и хранятся 365 дней; строки исходящей очереди аудита; а также счета, которые хранит Stripe. Участник, удалённый из компании, остаётся псевдонимизированной записью (без адреса электронной почты и учётных данных), пока существует компания.
Этот раздел реализует права по GDPR на доступ (статья 15), удаление (статья 17) и переносимость данных (статья 20), а также нашу обязанность как обработчика удалить или вернуть данные клиента по окончании оказания услуг (статья 28(3)(g)).