Защита данных

На этой странице описаны технические и организационные меры, которые SunPeak Innovations LLC применяет для защиты данных на нашем сайте, в платформе SP SmartCloud, мобильном приложении SunPeak Devices и в наших устройствах. Эта страница также служит описанием мер безопасности, на которое ссылаются условия обработки данных на нашей странице «Соответствие GDPR». Какие персональные данные мы обрабатываем и зачем, объяснено в нашей Политике конфиденциальности.

1. Наш подход

Мы собираем только те данные, которые нужны для оказания наших услуг, храним данные платформы в Европейском союзе и встраиваем защиту в наши устройства, а не только в серверы. Здесь мы описываем только меры, которые действительно применяются, и обновляем эту страницу, когда они меняются.

2. Где хранятся данные

• Серверы приложений и база данных платформы работают в Google Cloud, в регионе Бельгия Европейского союза.
• Файлы, загруженные на платформу, хранятся в Google Cloud Storage.
• Наш платёжный сервис работает в Google Cloud, в регионе Германия Европейского союза. Платежи по картам обрабатывает лицензированный поставщик платёжных услуг; данные карт никогда не попадают в наши системы.
• Сайт доставляется через Google Firebase Hosting.
• Наша электронная почта работает на Google Workspace.

3. Шифрование

• Сайт, платформа и API доступны только по зашифрованным соединениям HTTPS.
• Google Cloud по умолчанию шифрует хранимые данные.
• Пароли никогда не хранятся в читаемом виде; мы храним только криптографический хеш с солью (PBKDF2-SHA256).
• В мобильном приложении ваш токен входа хранится в защищённом хранилище телефона (Keychain на iOS, зашифрованное хранилище на Android).

4. Управление доступом

• Данные каждого клиента хранятся в его собственном рабочем пространстве и доступны только пользователям этого рабочего пространства в соответствии с их ролями: владелец, администратор или участник.
• Вход выполняется по одноразовым кодам, которые отправляются по электронной почте, SMS или в Telegram, перестают действовать через две минуты и допускают ограниченное число попыток, либо по паролю.
• Входы в систему и ручные команды оборудованию фиксируются в журнале аудита, который могут просматривать владелец и администраторы рабочего пространства.
• API-ключи выдаются для каждого рабочего пространства отдельно, имеют лимиты использования и могут быть отозваны в любое время.
• Доступ к нашим рабочим (продуктивным) системам есть только у небольшого числа уполномоченных лиц, которым он нужен для работы.

5. Безопасность устройств и радиосвязи

• Устройства обмениваются данными по протоколу LoRaWAN, который шифрует содержимое каждого сообщения по AES-128 и защищает всё сообщение кодом целостности, поэтому изменённые или поддельные сообщения отклоняются. В публичных сетях, таких как Helium, оператор сетевого сервера также обрабатывает сообщения, чтобы переслать их нам.
• Команды настройки, которые отправляются устройствам по радиоканалу, подписываются секретным ключом, уникальным для каждого устройства и никогда не передаваемым по радиоканалу, и устройство отклоняет команды с недействительной подписью.
• Обновления встроенного ПО шлюзов SP Net имеют цифровую подпись, и шлюз устанавливает только образ с действительной подписью.
• Для настройки по NFC нужен физический доступ к устройству.
• Публичная страница проверки устройства показывает его модель, месяц изготовления, результаты испытаний и калибровки. В связанных с ними документах также указаны имена наших сотрудников контроля качества и может быть указано имя или название владельца устройства, как описано в нашей Политике конфиденциальности.

6. Минимизация и хранение данных

• Наш сайт не использует файлы cookie, аналитику и рекламные трекеры.
• Мобильное приложение не имеет доступа к вашему местоположению и не содержит инструментов аналитики или рекламы.
• Необработанные радиосообщения удаляются через 7 дней; хранятся только обработанные результаты измерений.
• Записи о доставке вебхуков удаляются через 24 часа, а при неудачной доставке — через 30 дней.
• Сроки хранения других данных указаны в нашей Политике конфиденциальности.

7. Резервное копирование и надёжность

База данных платформы работает в управляемом сервисе баз данных Google Cloud. Перед каждым изменением структуры рабочей базы данных мы делаем полную резервную копию, чтобы при сбое данные можно было восстановить.

8. Разработка и организация работы

• Изменения в нашем программном обеспечении перед выпуском проверяются автоматическими тестами.
• Все, кто работает с персональными данными от нашего имени, связаны обязательством конфиденциальности: руководство и сотрудники — в силу устава компании и своих письменных обязательств, подрядчики — в силу письменных соглашений.
• Мы пользуемся услугами поставщиков, которые предлагают условия обработки данных с надлежащими гарантиями, и перечисляем их в нашей Политике конфиденциальности и на странице «Соответствие GDPR».

9. Реагирование на инциденты

Если мы обнаруживаем инцидент безопасности, мы сразу принимаем меры, чтобы локализовать его, оценить его последствия и восстановить нормальную работу. Если инцидент затрагивает персональные данные, контролёром которых являемся мы, мы уведомляем Службу защиты персональных данных Грузии и, если применяется GDPR или KVKK, компетентный надзорный орган или Совет по защите персональных данных Турции (Kişisel Verileri Koruma Kurulu) в течение 72 часов, если только инцидент вряд ли создаст риск для прав и свобод людей, а при высоком риске для затронутых лиц без неоправданной задержки информируем их. Если инцидент затрагивает данные, которые мы обрабатываем от имени клиентов, мы без неоправданной задержки уведомляем этих клиентов, чтобы они могли выполнить свои собственные обязанности.

10. Сертификация

У SunPeak Innovations LLC сейчас нет независимой сертификации в области информационной безопасности, например по ISO/IEC 27001, или отчёта SOC 2. Google, в инфраструктуре которой размещена наша платформа, имеет такие сертификаты для собственной инфраструктуры; они не распространяются на собственные процессы SunPeak. Если мы получим сертификацию, мы укажем это на этой странице.

11. Сообщение об уязвимости

Если вы считаете, что обнаружили уязвимость в нашем сайте, платформе, приложении или устройствах, напишите, пожалуйста, на info@sunpeaki.com с темой «Security» и дайте нам разумное время на её устранение, прежде чем раскрывать её публично. Не обращайтесь к данным, которые вам не принадлежат, не изменяйте и не удаляйте их и не нарушайте работу наших сервисов. Мы не будем предпринимать юридических действий против тех, кто сообщает об уязвимости добросовестно и в соответствии с этими правилами.

12. Контакты

SunPeak Innovations LLC, Gldani Khevi, Building 3, Floor 1, 0178 Tbilisi, Грузия. Электронная почта: info@sunpeaki.com. Телефон: +995 598 281 522.