Pasas yra pažadas.
Štai kaip jį tesime.

Programos serverio funkcijos veikia Frankfurte (fra1), šalia pagrindinės duomenų saugyklos – valdomo Postgres klasterio AWS eu-central-1 (Frankfurtas). Ten saugomas klientų turinys, paskyrų įrašai ir audito žurnalai. DI funkcijos tekstą, su kuriuo dirba, siunčia į Google Gemini API, kuri jį apdoroja JAV.

Statiniai ištekliai ir vieši pasų puslapiai teikiami iš pasaulinio kraštinių serverių tinklo, iš skaitytojui artimiausios vietos; ten talpinami tik vieši, nejautrūs ištekliai (logotipai, rinkodaros tekstai, sprendiklio puslapių HTML). Autentifikuotų API užklausų atsakymai pagal politiką į podėlį nepatenka.

Pasirinktiniai paskyrų domenai (pavyzdžiui, dpp.brand.com) teikiami toje pačioje platformoje. Neturime jokios rezervinės sistemos, kuri saugomus duomenis perkeltų už ES ribų.

Visi ryšiai su sprendikliu, paskyros administravimu ir API naudoja TLS 1.2 ar naujesnę versiją. HSTS taikomas su dvejų metų max-age ir nustatytu preload. Puslapiai teikiami su X-Frame-Options SAMEORIGIN ir Referrer-Policy strict-origin-when-cross-origin; Content-Security-Policy veikia tik ataskaitų (report-only) režimu.

Saugomus duomenis Postgres saugyklos tomuose paslaugų teikėjas šifruoja AES-256. Integracijų prisijungimo duomenys (Akeneo, Centra, Shopify, inriver, Delogue, pasirinktiniai REST raktai) laikomi kiekvienos paskyros šifruotoje saugykloje; šifravimo raktas laikomas už duomenų bazės ribų. Paskyrų pateikti LLM API raktai (BYOK) šifruojami taip pat.

Prisijungti galima el. pašto nuoroda (magic link) ir per Google. Sesijos laikomos Secure, SameSite=Lax slapukuose, apribotuose mūsų domenu.

Kiekviena lentelė, kurioje yra klientų turinys, apsaugota duomenų bazės eilučių lygmens sauga (Row-Level Security). Paskyros naudotojas niekada negali perskaityti kitai paskyrai priklausančių duomenų – šis apribojimas taikomas duomenų bazės lygmeniu, ne vien programos kode. Darbuotojų prieiga apibrėžiama atskirai per lentelę staff_users ir reikalauja veiklos priežasties, įrašomos į audito žurnalą.

Vaidmenys paskyroje yra admin, editor ir viewer – admin valdo narius ir visa, kas žemiau, editor dirba su pasais ir duomenimis, bet negali keisti, kas turi prieigą, viewer skaito. Greta jų yra viešojo paso vaidmenys, skirti priežiūros institucijoms (economic-operator, distributor, refurbisher, recycler, market-surveillance, competent-authority). Darbuotojai gali veikti naudotojo vardu tik per pasirašytą, audituojamą procesą.

Programos slaptieji raktai laikomi tik šifruotuose platformos aplinkos kintamuosiuose. Jokie slaptieji raktai nepatenka į versijų valdymo sistemą, nė vienas neįrašomas į žurnalus, o į pokalbį įklijuoti API raktai laikomi nutekėjusiais ir iškart pakeičiami.

Kai paskyra integruojama su išorine sistema, prisijungimo duomenys saugomi kiekvienai paskyrai atskirai pirmiau aprašytoje šifruotoje saugykloje. Raktų keitimai, galiojimo pabaigos ir teisių pokyčiai rodomi Integracijų skydelyje; prieigos nesėkmės įrašomos į paskyros audito žurnalą.

Pagrindinės duomenų bazės atsarginės kopijos daromos nuolat, su atkūrimu į bet kurį laiko tašką slenkančiame laikotarpyje. Kasdieninės šifruotos momentinės kopijos saugomos pagal paskyros planui tinkamą grafiką; reguliuojamoms kategorijoms pagal pageidavimą galimas ilgalaikis saugojimas.

Klientams, kuriems reikia nepriklausomo atsarginio serverio (pagal EN 18221 §4.5), vykdome lygiagretų įrašymą į atskirtą saugojimo pakopą, kad pasas liktų pasiekiamas net ir tada, kai pagrindinė programa nepasiekiama. Atsarginio serverio teikėjo specifikacija potencialiems klientams prieinama pasirašius NDA.

Tiesioginė infrastruktūros būsena – veikimo laikas, incidentai ir planiniai darbai – skelbiama adresu status.dppagent.com. Ankstesnių incidentų aprašuose nurodoma, kas įvyko, ką pakeitėme ir ką kitą kartą aptiksime.

Atsakingo atskleidimo pranešimus priimame adresu security@dppagent.com. Pranešimai įvertinami per vieną darbo dieną, o spragos šalinamos pagal rimtumo grafiką. Sąžiningai veikiantys tyrėjai apsaugoti nuo teisinių veiksmų, pagal pageidavimą paminimi ir pranešimui pateikti neprivalo pasirašyti NDA.

Patvirtintų incidentų, paveikiančių klientus, atveju vadovaujamės dokumentuotu reagavimo į incidentus vadovu: pirmiausia sulaikymas, paskyros savininko informavimas per sutartyje nustatytą laiką, poincidentinė ataskaita, skelbiama būsenos puslapyje, ir pagrindinės priežasties šalinimas, sekamas iki pabaigos.

DPP Agent sistema ir jos išvestis kuriamos pagal CEN/CENELEC JTC 24 standartų rinkinį (EN 18216 prieiga, EN 18219 identifikatoriai, EN 18221 gyvavimo ciklas ir tęstinumas, EN 18223 struktūra ir sąveikumas), CIRPASS-2 referencinį profilį ir ESPR (Reglamentas 2024/1781) bei ES Baterijų reglamento (2023/1542) laukų lygmens reikalavimus. Pasų duomenys atitinka GS1 Digital Link su GTIN, partijos, CPV ir serijinio numerio taikomųjų identifikatorių (application identifiers).

Kaip ES veikiantis duomenų valdytojas / tvarkytojas, mums taikomas BDAR (GDPR), o standartinę duomenų tvarkymo sutartį (DPA) pateikiame pagal pageidavimą. Klientų duomenų srautai aprašyti mūsų duomenų subtvarkytojų sąraše, kuris esminių pakeitimų atveju keičiamas apie tai pranešus prieš 30 dienų.

Šiuo metu neturime SOC 2 ar ISO 27001 sertifikato. Gavę sertifikatą, čia paskelbsime ataskaitą ir audito apimtį. Enterprise klientai, pasirašę NDA, gali paprašyti naujausio saugumo peržiūros paketo, įsiskverbimo testo santraukos ir vidaus kontrolės kontrolinio sąrašo.