1. О чём этот документ
1.1. Настоящая Политика описывает меры, которые ООО «Ав-Рем» применяет для защиты данных пользователей сервиса 13x66 CRM, а также распределение ответственности между сервисом и его пользователями.
1.2. Политика дополняет Публичный договор и Политику в отношении обработки персональных данных и не заменяет их. В части определений и порядка оказания услуг применяются положения Публичного договора.
1.3. Документ описывает текущее состояние. Меры защиты развиваются вместе с сервисом; актуальная редакция размещается на сайте.
2. Изоляция данных
2.1. Данные каждой компании размещаются в отдельной базе данных. Разделение выполнено на уровне архитектуры сервиса, а не только на уровне интерфейса: запрос, выполняемый в одном рабочем пространстве, технически не обращается к данным другого.
2.2. Файлы, загруженные в рабочее пространство, хранятся в отдельном каталоге компании и не находятся в открытом доступе. Выдача файла выполняется только после проверки прав обратившегося пользователя.
3. Доступ пользователей внутри компании
3.1. Права выдаются группам доступа, а не отдельным сотрудникам: это исключает ситуацию, когда права одного человека настроены иначе, чем у остальных на той же должности, и об этом никто не знает.
3.2. Для каждого раздела права задаются раздельно на собственные и на чужие записи и могут ограничиваться глубиной по времени — например, сотрудник видит только свои документы и только за последний период.
3.3. Видимость данных дополнительно ограничивается филиалом и статусом записи. Сотрудник не получает доступ к данным филиала, к которому не привязан.
3.4. Раздел защищён на двух уровнях: скрытием в меню и проверкой прав на самой странице. Прямой переход по адресу мимо скрытого меню доступа не даёт.
4. Вход и сессии
4.1. Доступ к сервису возможен только по защищённому соединению.
4.2. Пароли хранятся в виде необратимых хеш-значений. Восстановление исходного пароля невозможно, в том числе сотрудниками Исполнителя.
4.3. После нескольких подряд неверных попыток входа вход с этого адреса временно блокируется. Ограничение снимается автоматически по истечении срока блокировки.
4.4. В рамках одной компании одновременно активно одно подключение с устройства каждого типа. Вход с нового устройства того же типа требует явного подтверждения, после чего прежнее подключение завершается, владельцу учётной записи направляется уведомление, а событие фиксируется в журнале.
4.5. Смена адреса электронной почты вступает в силу только после подтверждения с нового адреса. Возврат прежнего адреса применяется с отложенным сроком, в течение которого операцию можно отменить, — это защищает учётную запись, если доступ к почте получил посторонний.
4.6. Пользователь может включить двухфакторный вход: после пароля сервис запрашивает одноразовый код из приложения на телефоне. Компания может допускать к своим данным только сотрудников с включённым двухфакторным входом.
5. Журналирование и разбор
5.1. Значимые действия в сервисе фиксируются в журнале: кто выполнил действие, когда и что изменилось. Журнал доступен уполномоченным пользователям компании.
5.2. Журналы используются для разбора спорных ситуаций и инцидентов и хранятся в течение срока, необходимого для этих целей.
5.3. Обращения к данным — открытие карточек, скачивание файлов, печать документов — фиксируются в отдельном журнале: учётная запись, время, объект и сетевой адрес. Записи этого журнала удаляются автоматически по истечении установленного срока хранения.
6. Реагирование на угрозы
6.1. В сервисе предусмотрены сценарии оперативного ограничения доступа — для отдельного сотрудника, сессии, адреса или компании целиком, — позволяющие локализовать угрозу без остановки работы остальных пользователей.
6.2. При выявлении инцидента информационной безопасности, затронувшего данные компании, Исполнитель уведомляет её в разумный срок с момента установления факта инцидента и его влияния на данные, а также сообщает о принимаемых мерах.
7. Доступ сотрудников Исполнителя к данным
7.1. Доступ работников и уполномоченных лиц Исполнителя к данным компании возможен в объёме, необходимом для сопровождения сервиса, устранения сбоев, обработки обращений и исполнения требований законодательства.
7.2. Сотрудники Исполнителя входят в аккаунт компании через интерфейс сервиса только по приглашению компании; их действия в аккаунте фиксируются в журналах компании наравне с действиями её сотрудников. Технический доступ к инфраструктуре и базам данных используется только для сопровождения сервиса и устранения сбоев и ограничен кругом лиц, указанным в п. 7.3. Данные компании не используются Исполнителем для собственных целей, не передаются третьим лицам иначе как для оказания услуг либо в силу закона и не применяются для профилирования или перепродажи.
7.3. Круг лиц, имеющих техническую возможность доступа, ограничен сотрудниками, которым он необходим для выполнения обязанностей.
8. Резервное копирование и восстановление
8.1. Исполнитель выполняет резервное копирование данных сервиса. Периодичность и порядок восстановления определяются Исполнителем исходя из технических возможностей и характера данных; глубина хранения резервных копий — не более 35 суток.
8.2. Резервные копии используются для восстановления работоспособности сервиса. Резервные копии и служебные выгрузки данных, сделанные для обслуживания сервиса (переноса, обновления, проверки восстановления), хранятся не более 35 суток и по истечении этого срока удаляются вместе с содержащимися в них удалёнными данными.
8.3. Восстановление отдельных данных по обращению компании выполняется при технической возможности и не является отдельной гарантируемой услугой, если иное не предусмотрено договором.
9. Зона ответственности пользователя
9.1. Значительная часть рисков находится вне контроля сервиса. Компания самостоятельно обеспечивает:
- сохранность паролей и недопущение их передачи третьим лицам;
- своевременный отзыв доступа у сотрудников, прекративших работу;
- выдачу сотрудникам прав в объёме, необходимом для их задач, без избыточных полномочий;
- защиту устройств, с которых сотрудники работают в сервисе, от вредоносного программного обеспечения;
- контроль за тем, какие данные сотрудники выгружают из сервиса и как их хранят вне его.
10. Сообщение об уязвимости
10.1. Если вы обнаружили уязвимость или иную угрозу безопасности сервиса, сообщите об этом по контактам, указанным на сайте, с описанием, достаточным для воспроизведения.
10.2. Просим не публиковать сведения об уязвимости до её устранения и не совершать действий, которые могут привести к утрате или раскрытию данных пользователей: тестирование на реальных данных других компаний недопустимо.
10.3. Исполнитель рассматривает такие обращения в приоритетном порядке и информирует отправителя о результатах.
11. Что на текущем этапе не реализовано
11.1. Ниже перечислено то, что в сервисе пока отсутствует. Перечень приводится сознательно: умолчание в документе такого рода вводит в заблуждение.
- самостоятельная выгрузка полного архива данных компании без обращения в поддержку;
- формальная сертификация по международным стандартам управления информационной безопасностью.