В этом документе описано, что Paragon записывает о вас, как долго хранится каждая запись и кто ещё когда-либо её видит. Он намеренно короткий, потому что честная версия этого документа для хоста, который берёт адрес электронной почты и оплату в криптовалюте, не может быть длинной.
Здесь нет ничего, что было бы лишь стремлением. Каждая строка в таблице ниже соответствует тому, что реально хранит схема базы данных, а схема — это то, на что ориентируется задание по удержанию данных.
1. Что охватывается
Система учётных записей, панель управления, процесс выставления счетов, этот сайт и тикеты поддержки. Он не охватывает то, что происходит внутри вашего инстанса, потому что у нас нет туда доступа и нет желания его получать.
Операционная организация, указанная в вашем счёте, является контролёром всего описанного здесь. Контакт по любому вопросу из этого документа: [email protected].
2. Всё, что мы храним
| Данные | Срок хранения | Зачем они нужны |
|---|---|---|
| Адрес электронной почты | Время жизни учётной записи | Сброс пароля и доставка счетов. Больше ни для чего. |
| Хеш пароля | Время жизни учётной записи | scrypt, N=2^16. Никогда не обратим, никогда не экспортируется. |
| Журнал доступа к панели | 7 дней | Выявление захвата учётной записи, затем удаление. |
| Записи счетов | 24 месяца | Чтобы вы могли подтвердить, что купили. Не содержат личных данных. |
| Ссылка на криптовалютный платёж | До расчёта | Сопоставление платежа со счётом. Удаляется после расчёта. |
| Трафик инстанса | Никогда не записывается | Мы маршрутизируем пакеты. Мы их не читаем. |
| IP-адрес при регистрации | Никогда не записывается | Он вообще не записывается на диск. |
Это полный список. Восьмой строки, придержанной для юристов, нет.
Тикеты поддержки — это то, о чём клиенты забывают. Тикет живёт столько же, сколько учётная запись, и содержит то, что вы в него ввели, так что если вы вставите в тикет учётные данные или имя клиента, это теперь сохранено. Попросите нас — и мы удалим всю ветку.
3. Что мы не собираем
Нет имени, нет почтового адреса, нет номера телефона, нет реквизитов компании, нет налогового идентификатора, нет никаких документов при любом заказе. Нет порога, при превышении которого запрашивается что-либо из этого, и добавление такого порога изменило бы гарантийную канарейку (/canary) раньше, чем эту страницу.
Адреса при регистрации не записываются — это более сильное утверждение, чем «не хранятся»: поле не существует в записываемой строке. Журнал доступа к панели хранит усечённый сетевой префикс, а не полный адрес, и запись истекает через семь дней вместе со всем остальным в нём.
Мы не снимаем отпечатки браузера, не запускаем повторную запись сессий и не пытаемся связывать учётные записи друг с другом.
4. Файлы cookie
Два, оба собственные, ни с кем не передаются.
- Сессионный cookie-r. Непрозрачный идентификатор, который говорит, что вы вошли в систему. Он не содержит ничего больше, не доступен скриптам и истекает при выходе из системы или после тридцати дней бездействия.
- Предпочтение темы. Светлая или тёмная. Один год, и единственное, что в нём есть, — это это слово.
Ничего другого не устанавливается. На этом сайте не появляется баннер согласия, потому что не на что давать согласие, что и было задумано правилом до того, как оно превратилось в декоративное промежуточное окно.
5. Аналитика и третьи стороны
Никакой аналитики. Нет пикселя, нет менеджера тегов, нет карты действий, нет сторонних скриптов и нет шрифтов, загружаемых с чужого домена. Просмотры страниц считаются в совокупности по собственным счётчикам веб-сервера, которые записывают путь и общее количество, и не записывают ничего о запросившем.
Три стороны видят фрагмент ваших данных, и только эти три:
- OxaPay, которая обрабатывает расчеты в криптовалюте, видит ссылку на счёт и платёж. Она не получает ваш адрес электронной почты.
- Сайт, на котором работает ваш инстанс. Операторы площадки занимаются питанием и пространством; у них нет доступа к содержимому ни одной машины и нет отношения к вашей учётной записи.
- Больше никто. Почта уходит с наших собственных серверов, панель работает на нашем собственном оборудовании, и эту страницу обслуживает узел того же типа, который описывает каталог (/hardware).
6. Ваши права
Доступ, исправление, удаление, переносимость и возражение — всё это осуществляется письмом на [email protected] с адреса учётной записи. Большинство запросов обрабатывается на той же неделе, а предельный срок — тридцать дней.
Два практических замечания. Удаление по запросу убирает адрес и хеш пароля и закрывает учётную запись, но записи счетов доживают до своего двухлетнего срока, потому что книги должны сходиться; в этих записях есть номер счёта и сумма, а не личность. Переносимость — это экспорт JSON вашей учётной записи, счетов и тикетов, который приходит по почте в течение дня после запроса.
Нет обращения к нам, которое значило бы больше, чем ваше право обратиться в надзорный орган по месту жительства. Делайте и то, и другое, в любом порядке, который вам удобен.
7. Правовые запросы
Мы отвечаем на то, что реально требует законодательство соответствующего сайта, и не более того. Запросы, поступающие по электронной почте с личного адреса, — это не запросы; это переписка, и на них мы отвечаем отказом.
Что можно предоставить — мало, потому что мала таблица в разделе 2. Если уведомление разрешено, вы узнаете о передаче заранее. В противном случае факт запроса появляется в отчёте о прозрачности (/transparency) при следующей публикации, а гарантийная канарейка (/canary) подписывается ежемесячно.
8. Безопасность того немногого, что есть
Пароли хешируются алгоритмом scrypt с параметрами, которые мы перенастраиваем каждое поколение оборудования. База данных панели зашифрована в состоянии покоя и реплицируется между двумя европейскими площадками, AMS-01 и FRA-01, по приватному каналу, который никогда не касается публичного интернета. Резервные копии этой базы данных зашифрованы на стороне клиента до того, как покидают хост.
Доступ персонала требует аппаратных токенов, и каждое административное действие с учётной записью записывается в журнал, который клиенты могут запросить. Если утечка затронет вас, уведомление уйдёт в течение семидесяти двух часов после подтверждения, с описанием того, что произошло и что было раскрыто, даже если ответ неприятен.
9. Международная передача
Ваш инстанс находится в выбранном вами городе, и его данные не перемещаются. Данные панели и счетов находятся в Европе. Инженеры поддержки читают тикеты из того места, где в данный момент находятся на смене, а это не всегда тот же континент, поэтому тикет может быть прочитан за пределами региона, из которого он был отправлен.
Если такая передача происходит, она основывается на стандартных контрактных условиях обычного типа между вовлеченными организациями. Мы не перечисляем здесь страны по той же причине, по которой в шаблоне не указывается юрисдикция: список устареет в течение года, а неверный список хуже общего.
10. Изменения
Изменения в этом документе датируются в верхней части страницы и резюмируются в журнале (/journal). Всё, что удлиняет срок хранения или добавляет строку в таблицу раздела 2, рассылается по электронной почте каждой учётной записи за тридцать дней, и вы можете закрыть учётную запись в этот период с пропорциональным возвратом неиспользованного срока.
Сокращение срока хранения не анонсируется заранее. Мы просто это делаем.