1. Обзор
VoidFort («мы») предоставляет управляемый Web Application Firewall (WAF) и временный аудит безопасности. Эта политика объясняет, какие данные мы собираем, зачем, кто ещё их обрабатывает и как долго мы их храним.
2. Какие данные мы собираем
Посетители сайта
Сайт размещён на GitLab Pages. Хостинг обрабатывает ваш IP-адрес и данные запроса в своих серверных логах.
Мгновенная проверка
Когда вы запускаете мгновенную проверку на странице аудита, мы получаем введённый вами домен. Мы также видим ваш IP-адрес и используем его, чтобы ограничить число проверок. Запросы к нашему API (api.voidfort.com) идут через Cloudflare.
Заявки на аудит
Когда вы заказываете аудит безопасности, мы собираем:
- Ваш email: чтобы подтвердить владение доменом и отправить PDF-отчёт.
- Домен: чтобы выполнить проверку.
- Результат проверки и PDF-отчёт.
Платный аудит оплачивается через Stripe. Мы получаем статус платежа. Номера карт мы не храним.
После отправки отчёта бесплатного аудита ваш email, проверенный домен и вердикт проверки могут быть добавлены в список рассылки в Brevo. Мы используем список, чтобы отправлять сообщения о VoidFort. Контакт в списке рассылки хранится, пока вы не отпишетесь или не попросите его удалить (раздел 8).
Временный VPS, который выполняет проверку, удаляется после отправки отчёта. Результат и отчёт остаются в наших системах на срок из раздела 4.
Форма листа ожидания
Форма собирает ваш email, адрес сайта, категорию сайта и сообщение. Форму обрабатывает web3forms и пересылает нам по почте.
Клиенты Shield
Клиенты сервиса Shield дополнительно сообщают или создают:
- Email учётной записи. Клиенты входят по одноразовому коду из письма. Учётные записи сотрудников используют пароль, он хранится в виде хэша.
- Платёжные данные, их обрабатывает Stripe. Номера карт мы не храним.
- Домены и адреса origin-серверов, а также настройки, которые вы задаёте (правила, списки разрешений и запретов).
Трафик защищаемых сайтов
Узел Shield обрабатывает запросы, которые посетители отправляют на ваш сайт: IP-адрес, страну, запрошенный адрес и заголовки запроса. Узел использует их, чтобы применять ваши правила и обнаруживать атаки. Журнал доступа узла читает CrowdSec, система обнаружения вторжений на узле.
Узел отправляет в наш центр управления агрегированные счётчики: число запросов, заблокированные запросы, разбивку по странам, ASN (сети посетителя) и категориям атак, а также самые частые пути запросов (до 20, без параметров запроса). Эти счётчики не содержат IP-адресов отдельных посетителей. Исключение: IP-адреса, которые вы или наши сотрудники заблокировали вручную.
3. Как мы используем данные
- Отправляем отчёты аудита и подтверждаем владение доменом.
- Создаём и обслуживаем ваш узел Shield.
- Обнаруживаем и блокируем вредоносный трафик. Блокировки действуют на все домены одного узла.
- Отправляем служебные письма (подтверждение, отчёты, чеки, критичные оповещения).
- Отправляем сообщения о VoidFort после бесплатного аудита (см. раздел 2).
- Измеряем использование сайта, только если вы приняли аналитические cookie (см. раздел 5).
Мы не продаём ваши персональные данные.
4. Сроки хранения
- Email, домен и результат аудита: 90 дней, затем удаляются.
- Данные учётной записи: пока существует запись. Удаляем по запросу на [email protected] в течение 30 дней.
- Контакт в списке рассылки (Brevo), если вы подписаны: пока вы не отпишетесь.
- Платёжные записи (сумма, валюта, статус, идентификатор Stripe; без email и домена): хранятся дольше, как требует закон.
- Статистика трафика: значения по минутам 48 часов, по часам 30 дней, по дням 400 дней.
- Заблокированные IP-адреса: до истечения блокировки или её снятия. У каждой блокировки есть срок.
5. Cookie и аналитика
Мы используем Google Analytics (Google), чтобы считать визиты и видеть, какие страницы и
функции используются. Google Analytics ставит cookie (_ga и _ga_…) и
передаёт данные в Google, в том числе на серверы в США.
Google Analytics загружается только после нажатия «Принять» в баннере. Если вы нажмёте «Отказаться» или не ответите, сайт не обращается к Google Analytics и не ставит аналитические cookie. Выбор можно изменить в любой момент по ссылке «Настройки cookie» в подвале сайта.
С вашего согласия мы записываем просмотры страниц и события: запуск симулятора, результат мгновенной проверки (вердикт и оценка, без домена), начало заказа аудита (уровень и цена), отправку формы листа ожидания (категория сайта).
Ваш выбор хранится в браузере (localStorage, ключ vf-consent). Других cookie сайт не
ставит. Когда вы входите в кабинет клиента, он ставит одну строго необходимую cookie,
voidfort_refresh (HttpOnly, срок до 30 дней), чтобы вы оставались в системе.
При оплате Stripe ставит собственные cookie на stripe.com.
6. Симулятор на главной странице
Симулятор на главной странице обращается из вашего браузера к двум сторонним сервисам:
- api.ipify.org получает ваш IP-адрес при загрузке страницы и возвращает его, чтобы симулятор показал его как адрес «атакующего».
- Google Public DNS (dns.google) получает домен, который вы вводите в симуляторе, чтобы узнать его IP-адрес.
Эти запросы идут без отдельного согласия. Симулятор не отправляет их нам.
7. Сторонние обработчики
- Облачный VPS-провайдер (название предоставляется по запросу на [email protected]): размещает узлы Shield и временные сканеры аудита.
- Stripe: приём платежей. Действует его собственная политика конфиденциальности.
- Brevo: список контактов и письма после бесплатного аудита.
- SMTP-сервис отправки почты: доставка служебных писем (подтверждение, отчёты, чеки).
- Cloudflare: прокси перед нашим API.
- GitLab: размещает этот сайт.
- Google: Analytics (только после согласия) и Public DNS (симулятор).
- ipify: возвращает симулятору ваш IP-адрес.
- web3forms: обрабатывает форму листа ожидания.
- CrowdSec: программа CrowdSec на каждом узле скачивает общий список блокировок и по умолчанию сообщает CrowdSec IP-адреса, которые атаковали ваш сайт.
- Let's Encrypt: выпускает TLS-сертификаты для защищаемых доменов. Доменные имена в сертификатах публичны.
У каждой из этих сторон есть своя политика конфиденциальности.
8. Ваши права
Вы можете в любой момент запросить доступ к своим персональным данным, их исправление или удаление, написав на [email protected]. Запросы обрабатываются в течение 30 дней.
Если вы находитесь в ЕС или ЕЭЗ, у вас есть права по GDPR, в том числе право подать жалобу в местный надзорный орган.
9. Безопасность
Соединения с нашим сайтом, API и панелями используют TLS (версии 1.2 и выше). Трафик между центром управления и узлами Shield аутентифицируется. Ни одна система не защищена идеально, и мы не можем гарантировать абсолютную безопасность.
10. Изменения политики
Мы можем обновлять политику по мере развития сервиса. О существенных изменениях мы сообщим активным клиентам по email не позднее чем за 14 дней до вступления в силу.
11. Контакты
Вопросы? Пишите на [email protected].