Политика безопасности данных

Действует с: 28 сентября 2026 г.

1. ТЕХНИЧЕСКИЕ МЕРЫ ЗАЩИТЫ

🔒 Шифрование

• SSL/TLS - все данные шифруются при передаче
• HTTPS - безопасный протокол, не HTTP
• Database encryption - данные зашифрованы в БД

🔑 Пароли

• Хеширование bcrypt - пароли не хранятся в открытом виде
• Salt - дополнительная защита
• Не обратимо - даже мы не можем вернуть ваш пароль

🛡️ Аутентификация

• Двухфакторная аутентификация - опционально, через SMS/Email
• Сессионные токены - защита от подделки
• CSRF защита - от поддельных запросов

💾 Резервные копии

• Ежедневные бэкапы - на случай краха
• Хранение - на отдельных серверах
• Восстановление - в течение 24 часов

2. ОРГАНИЗАЦИОННЫЕ МЕРЫ

👥 Доступ

• Принцип least privilege - сотрудник имеет только нужный доступ
• Логирование доступа - кто и когда получил доступ
• Многоуровневые пароли - для доступа в админ-панель
• Двухфакторная аутентификация - для сотрудников

📋 NDA (Соглашения о конфиденциальности)

• Все сотрудники подписывают NDA
• Разглашение = увольнение и судебное преследование
• Это распространяется и на подрядчиков

🔍 Аудиты

• Регулярные проверки безопасности - раз в квартал
• Пентесты - внешние тесты на уязвимости
• Code reviews - проверка кода перед деплоем

🚨 Мониторинг

• Автоматическое обнаружение аномалий - странная активность
• Логирование - все действия записываются
• Алерты - срабатывают при подозрительной активности
• 24/7 мониторинг - круглосуточный контроль

3. ЗАЩИТА ОТ АТАК

🧛 DDoS защита

• Cloudflare/похожий сервис - блокирует массированные атаки
• Rate limiting - ограничение запросов
• Анализ трафика - обнаружение аномалий

🦠 SQL Injection защита

• Prepared statements - защита от внедрения кода
• Input validation - проверка всех входных данных
• ORM - использование безопасных библиотек

🎭 Cross-Site Scripting (XSS)

• Санитизация HTML - удаление опасного кода
• Content Security Policy - ограничение источников скриптов
• Escaping - экранирование опасных символов

🔐 Cross-Site Request Forgery (CSRF)

• CSRF токены - на каждой форме
• SameSite cookies - ограничение передачи cookies

4. ХОСТИНГ И ИНФРАСТРУКТУРА

🏢 Провайдеры

• Vercel - frontend хостинг (Нью-Йорк)
• Supabase (AWS) - БД хостинг (множество регионов)

Их стандарты:

• SOC 2 Type II - стандарт безопасности
• GDPR compliant - соответствие европейскому закону
• Шифрование в transit и at rest - везде защита
• DDoS protection - встроенная защита

5. УТЕЧКА ДАННЫХ - ЧТО МЫ ДЕЛАЕМ

🚨 НЕМЕДЛЕННО (первые часы):

1. Обнаруживаем утечку (автоматические алерты)
2. Останавливаем утечку (выключаем доступ)
3. Собираем доказательства (для криминалистики)
4. Уведомляем руководство

📞 В ТЕЧЕНИЕ 24 ЧАСОВ:

1. Уведомляем органы власти (если требуется)
2. Проводим расследование (что произошло)
3. Исправляем уязвимость (кодим патч)

📧 В ТЕЧЕНИЕ 72 ЧАСОВ:

1. Уведомляем вас - по email
2. Рассказываем, что произошло - максимально честно
3. Даём рекомендации - что вам делать
4. Публикуем отчёт - на сайте

📋 СОДЕРЖАНИЕ УВЕДОМЛЕНИЯ:

• Когда произошла утечка
• Какие данные скомпрометированы
• Что мы делаем
• Что вы должны делать
• Номер для вопросов

6. ЗАЩИТА ПЛАТЕЖЕЙ (PCI DSS)

💳 Безопасность карт

• Никогда не храним полные номера карт
• Только последние 4 цифры сохраняются
• PCI DSS Level 1 - максимальный стандарт
• Tokenization - замена данных на токен

🏦 Платёжные провайдеры

• Stripe, PayPal, или похожие
• Их сертификаты и охрана
• Мы вообще не видим номер карты

7. ВЫ МОЖЕТЕ ПРОВЕРИТЬ

🔗 Проверьте сертификат:

1. Кликните на замок 🔒 в браузере
2. Посмотрите сертификат
3. Он должен быть выдан авторитетным центром (не самоподписанный)

🌐 Проверьте HTTPS:

1. Адрес начинается с https:// (не http://)
2. Есть замок 🔒 слева
3. Без этого - не используйте сайт!

📊 Проверьте статус безопасности:

• https://svoivn.vn/.well-known/security.txt

8. КОНТАКТЫ ДЛЯ СООБЩЕНИЯ ОБ УЯЗВИМОСТЯХ

Если нашли уязвимость:

1. НЕ публикуйте в интернете - это поможет хакерам
2. Напишите нам конфиденциально:
   • Email: security@svoivn.vn
   • Subject: "Security Vulnerability Report"
3. Ждите ответа - в течение 48 часов
4. Не разглашайте - до выпуска исправления

Мы ценим ответственное раскрытие уязвимостей и можем предложить вознаграждение.

9. УРОВЕНЬ РИСКА

Этот сайт:

• ✅ Безопасен для использования (как и любой сайт)
• ⚠️ Не 100% защищён (ничто не 100%)
• ✅ Соответствует лучшим практикам

Используйте здравый смысл:

• Не делитесь паролем
• Проверяйте URL в браузере
• Используйте сильные пароли
• Регулярно меняйте пароль