Het grootste deel van deze tabel zegt “nooit”.
Retentie is de enige privacyclaim die tegen de werkelijkheid kan worden gecontroleerd, omdat het record ofwel bestaat of niet. Wat volgt is de volledige lijst, inclusief de vermeldingen die voor ons ongemakkelijk zijn.
Het principe, zo men wil
Niets hiervan is slim. We hebben uitgezocht welke records de dienst werkelijk niet kan draaien zonder, en zijn gestopt met het verzamelen van al het andere.
Gegevens die nooit worden geschreven, kunnen niet worden geproduceerd, opgevorderd, gelekt of verkocht.
Elk logbestand moet één vraag overleven: wat gaat er kapot als het niet bestaat? Toegangslogs van het paneel overleven dat, omdat het overnemen van accounts een reële gebeurtenis is en zeven dagen voldoende is om zoiets te ontdekken. Flow records overleven dat niet, dus geen enkele router in de vloot is geconfigureerd om ze te exporteren.
Regel twee is dat bewaring op een timer draait in plaats van op goede voornemens. Verwijdering is een geplande taak, uitgevoerd tegen productie en tegen elke back-upgeneratie die voorbij de eigen termijn is verouderd. Niemand hoeft te onthouden om iets op te ruimen, wat maar goed is ook, want niemand zou het doen.
De tabel
Gegenereerd uit dezelfde configuratie die de verwijderingstaken lezen.
| Gegeven | Bewaartermijn | Waarom het bestaat | Hoe het verdwijnt |
|---|---|---|---|
| E-mailadres | Zolang het account bestaat | Wachtwoordherstel en factuurlevering | Binnen het uur overschreven bij sluiting |
| Wachtwoord-hash | Zolang het account bestaat | scrypt, per-account salt, nooit omkeerbaar | Overschreven bij sluiting |
| Sessierecords | 14 dagen, of tot uitloggen | Je aangemeld houden en een apparaat kunnen blokkeren | Verwijderd bij vervaldatum, uurlijkse opschoning |
| Herstelcodes | Tot gebruik of regeneratie | Het enige accountherstelpad dat bestaat | Gehasht; de hash wordt verwijderd bij regeneratie |
| Toegangslog paneel | 7 dagen | Detectie van accountovername | Rij verwijderd; het adres was al ingekort |
| API-token metadata | Levensduur van het token | Scope, voorvoegsel, laatste gebruik, vervaldatum | Verwijderd met het token |
| Factuurgegevens | 24 maanden | Zodat je kunt bewijzen wat je kocht en wanneer | Verwijderd bij de jaarlijkse opschoning |
| Crypto-betaalreferentie | Tot de factuur voldaan is | Een betaling koppelen aan een factuur | Gepurgeerd bij betaling,zelfde transactie |
| Supporttickets | 90 dagen na sluiting | Continuïteit zolang een probleem actief is | Thread en bijlagen samen verwijderd |
| Misbruikrapporten | 12 maanden | Een herhaalde klager of herhaalde overtreder herkennen | Verwijderd met de klagergegevens |
| Back-ups facturatiedatabase | 30 dagen rollend | Herstel van onze eigen fouten | Generatie vervalt en de volume wordt bijgesneden |
| Metagegevens consolesessies | 7 dagen | Weten dat een tunnel geopend is, niets over de inhoud | Verwijderd met het toegangslog |
| Instance-verkeer | Nooit opgenomen | Wij routeren pakketten in plaats van ze te lezen | Er is niets te verwijderen |
| DNS-query's | Nooit opgenomen | Resolvers antwoorden en vergeten | Er is niets te verwijderen |
| Netwerkadres bij aanmelding | Nooit opgenomen | De applicatie heeft er geen kolom voor | Er is niets te verwijderen |
| Inhoud van snapshots en back-ups | Zolang u ze bewaart | Versleuteld met uw sleutel voordat ze de instantie verlaten | Wij houden cijfertekst en een lengte vast |
De accountpagina in het paneel toont deze zelfde lijst met uw eigen waarden en een live aftelling naast elke timer. Alles wat op die pagina ontbreekt, ontbreekt ook op onze schijven.
Nooit opgeschreven, op enig moment
De kortere lijst telt zwaarder. Dit zijn geen korte bewaartermijnen; dit zijn afwezigheden.
Verkeer door uw instantie
Geen flow-export, geen sampling, geen packet capture, geen inspectie op welke diepte dan ook. Routers tellen bytes per poort voor capaciteitsplanning en weten niets over de pakketten die ze vormden.
Uw netwerkadres bij aanmelding
De weblaag stuurt het niet door naar de applicatie, en de applicatie heeft er geen plek voor. Toegangslogs van het paneel bewaren een afgekapt voorvoegsel gedurende zeven dagen en nooit het volledige adres.
DNS-query's
Onze resolvers antwoorden en vergeten. Query-logging staat uit in de configuratie, en het is dezelfde configuratie die naar alle vierendertig locaties wordt uitgeleverd.
Consolesessies
Serieel en VNC lopen door een geverifieerde tunnel die niets vastlegt. We weten dat een sessie is geopend en gesloten. Wat er op het scherm stond, is van u.
Inhoud van instanties
Schijven, geheugen, snapshots. Back-ups en snapshots worden binnen de instantie versleuteld voordat ze deze verlaten, dus wat er op onze opslag ligt is cijfertekst met een lengte eraan.
Alles wat van een derde partij is
Geen analytics, geen advertentiepixels, geen tagmanager, geen extern gehoste lettertypen. De pagina die u leest doet geen verzoek aan iemand anders dan ons, wat u in ongeveer vier seconden kunt bevestigen met een netwerktabblad.
Hoe verwijdering daadwerkelijk werkt
- 01
De timer gaat af
Per uur, per categorie, tegen de primaire database en objectopslag in dezelfde doorgang.
- 02
Rijen worden verwijderd, niet gemarkeerd
Verwijderd betekent weg, met een tombstones die geen payload draagt. Soft-delete-kolommen zijn om precies deze reden uit het schema gehaald in platformrevisie 5.1.
- 03
Back-ups vervallen
Facturatieback-ups draaien op een venster van dertig dagen, dus een vandaag verwijderd record overleeft maximaal dertig dagen langer in een back-upgeneratie. Achter dat venster is er geen archief, geen tape en geen koude kopie.
- 04
Logs blijven lokaal
Hostlogs worden nergens naartoe verzonden. Elke machine roteert zijn eigen logs, en rotatie truncateert in plaats van uploadt.
- 05
Sluiting is volledig
Sluit een account en het adres, de hash, sessies en tokens verdwijnen binnen het uur. Factuurrecords dienen hun vierentwintig maanden uit met niets identificerends eraan.
Wat korte retentie niet doet
Bijna niets bewaren beschermt u tegen ons, tegen een verzoek dat ons is opgelegd, en tegen wat we ooit zouden kunnen verliezen bij een inbreuk. Het doet niets aan de netwerken tussen u en uw instantie, die verkeer observeren dat wij nooit aanraken, en het doet niets aan wat uw eigen software op uw eigen schijf schrijft.
Hier volgen twee consequenties, beide praktisch. Uw applicatielogs zijn van u, ze staan op uw opslag, en tenzij u het uitschakelt, nemen ze braaf het adres op van elke bezoeker die u bedient. Een snapshot van een draaiende instantie bevat eveneens wat zich op dat moment in het geheugen en op de schijf bevond, versleuteld met uw sleutel in plaats van de onze, wat bescherming tegen ons is en hoegenaamd geen bescherming tegen een sleutel die onbewaakt in een wachtwoordmanager ligt.
Beter om dat hier te zeggen dan een tabel vol ‘nooit’ meer te laten impliceren dan het zou moeten.
Lees het beleid tegenover het paneel.
Elke timer op deze pagina verschijnt in uw accountpagina met een live aftelling ernaast. Als de twee ooit verschillen, is het paneel de waarheid en de pagina de bug — vertel het ons en de pagina wordt dezelfde dag nog opgelost.