18 ответов на самые частые вопросы покупателей о безопасности: хостинг, субпроцессоры, шифрование, аутентификация, аудит, работа с уязвимостями, реакция на инциденты, аварийное восстановление, соответствие требованиям, запросы субъектов данных, место хранения, медицинские данные. Структура в духе CAIQ, SIG и VSAQ. Сокращает изучение поставщика с недель до одной страницы. В паре с мерами безопасности, глоссарием соответствия требованиям и шаблоном запроса предложений.
Опишите средства управления доступом.
Управление доступом на основе ролей (RBAC) для каждого арендатора. Паттерн Repository обеспечивает ключ секционирования ClientId на этапе компиляции через правило статического анализатора (SLATECH001). Межарендаторный доступ к данным - структурная невозможность, а не проверка во время выполнения.
Какие механизмы аутентификации поддерживаются?
Хеширование паролей Argon2id с политикой паролей для каждого арендатора. SAML SSO на тарифе Enterprise (Okta, OneLogin, Azure AD, Google Workspace). Провижининг SCIM запланирован на 1-й кв. 2027. 2FA / TOTP поддерживаются на всех тарифах.
Могут ли клиенты наложить вето на изменение субпроцессоров?
Клиенты получают уведомление за 30 дней до добавления нового субпроцессора. Клиенты тарифа Custom Solutions могут наложить вето на субпроцессора (с переходом на путь без вето или расторжением договора). Мультитенантные тарифы (Starter / Pro / Enterprise): уведомление, но без права вето.
Какие договорные документы доступны?
DPA, BAA, список субпроцессоров, оценка воздействия передачи по SCC 2021/914, сопоставление SoA для анализа пробелов, анкета поставщика (заполненная заранее). Всё доступно по запросу на security@slatech.ai. MSA на тарифе Enterprise настраивается.
Что аудируется и сколько хранится?
Все действия администраторов (вход, изменение роли, экспорт данных, изменение конфигурации) фиксируются в журнале аудита с меткой времени, субъектом, действием и целью. Журналы хранятся 13 месяцев. Журнал аудита для каждого арендатора можно экспортировать на тарифе Enterprise.
Как обрабатываются чувствительные персональные данные?
При загрузке документов (опционально, по выбору клиента) обнаруженные структурные идентификаторы - email, телефон, платёжная карта, номер израильского удостоверения личности (Teudat Zehut), номер медицинской карты - заменяются токенами в собственной инфраструктуре SLAtech до того, как данные покидают наши серверы и попадают к субпроцессорам (провайдерам языковой модели); оригиналы хранятся в зашифрованном виде и этим провайдерам не передаются. Имена, даты рождения и адреса в свободном тексте автоматически не распознаются. В сообщениях посетителя те же идентификаторы редактируются до вызова LLM. Функция доступна во всех вертикалях; содержимое публичного сайта остаётся без изменений.
Используются ли клиентские данные для обучения AI-моделей?
Нет. Клиентские данные исключены из конвейера обучения моделей как договорно, так и за счёт технической изоляции. Соглашения с субпроцессорами - нашими провайдерами языковой модели - явно исключают клиентские данные из своих обучающих данных.
Как соблюдаются статьи 15-22 GDPR (DSR)?
Портал DSR в админ-платформе. Право на доступ (статья 15) - полный экспорт данных в Markdown / JSON / PDF. Право на исправление (статья 16). Право на удаление (статья 17) - безвозвратное удаление в течение 30 дней. Право на переносимость (статья 20) - экспорт в машиночитаемом формате. Право на возражение (статья 21) - средства отказа по каждой категории данных.
Можно ли закрепить размещение данных за конкретным регионом?
Тарифы Custom Solutions и Enterprise могут закрепить хостинг за конкретным регионом в вашей юрисдикции (доступно по запросу). Данные не покидают выбранный регион без явного согласия клиента.
Что происходит с клиентскими данными при расторжении договора?
Уведомление за 30 дней для расторжения по желанию. При расторжении клиентские данные можно экспортировать в течение 90 дней (содержимое базы знаний в Markdown / JSON + история переписок в JSONL). После 90 дней все клиентские данные безвозвратно удаляются из продакшена и резервных копий в течение дополнительных 35 дней.
Какова процедура реагирования на инциденты?
Процедура из 6 шагов: обнаружение (мониторинг ошибок / синтетические проверки) → сортировка (страница статуса в течение 10 мин) → смягчение (применяется руководство по устранению) → устранение → публичный разбор в течение 5 рабочих дней → обратная связь с клиентом с компенсацией за услугу. SLA по уведомлению клиента в течение 24 часов для значимых инцидентов (соответствие NIS2).
Какие возможности резервного копирования и аварийного восстановления?
Ежедневные резервные копии управляемой базы данных с хранением 35 дней. Восстановление на момент времени в пределах последних 24 часов. Ночной снимок векторного хранилища в объектное хранилище. Мультирегиональное аварийное переключение между регионами. RTO 4 часа, RPO 1 час. Руководство по аварийному восстановлению тестируется ежеквартально с имитацией отказа региона.
Каким системам требований соответствует SLAtech?
Соответствие принципам GDPR по умолчанию. Возможность подписания BAA по HIPAA на тарифе Enterprise (однотенантное развёртывание). Отчёт SOC 2 Type I - цель 3-й кв. 2026; Type II - 2-й кв. 2027. Сертификация ISO 27001 - цель 4-й кв. 2026. PCI-DSS - применим SAQ-A (данные держателей карт не хранятся).
Какие субпроцессоры обрабатывают клиентские данные?
По категориям: провайдер облачного хостинга, провайдер языковой модели (США, вывод LLM), провайдер векторного поиска, провайдер мониторинга ошибок (США, ошибки), провайдер CDN и защиты периметра (глобальная периферийная сеть, WAF / CDN), провайдер транзакционной почты (США, электронная почта). Все передачи регулируются SCC 2021/914. Список поддерживается в актуальном состоянии в течение 14 дней с момента изменения. Полный список с названиями поставщиков предоставляется по запросу - под NDA или в составе нашего соглашения об обработке данных (DPA).
Опишите программу управления уязвимостями.
Автоматические обновления зависимостей Dependabot в продакшн-ветке. Статический анализ GitHub CodeQL на каждом PR. Ежегодное внешнее тестирование на проникновение (следующее - 4-й кв. 2026). Политика скоординированного раскрытия уязвимостей.
Где хостятся клиентские данные?
SLAtech работает на полностью управляемом облаке с мультирегиональным аварийным переключением. Хостинг в вашей юрисдикции доступен по запросу (Enterprise-развёртывания) - однотенантное развёртывание, закреплённое за выбранным вами регионом.
Как шифруются данные при передаче?
TLS 1.2+ принудительно на каждой конечной точке; включён HSTS preload. Рейтинг SSL Labs A+. Внутренняя коммуникация между сервисами также шифруется по TLS.
Как шифруются данные при хранении?
AES-256-GCM при хранении на всех уровнях хранилища (реляционные таблицы, коллекции векторного хранилища, объектное хранилище документов). Ключи шифрования хранятся в управляемом хранилище ключей с ежегодной ротацией + ротацией при кадровых изменениях.
На анкеты SIG, CAIQ, VSAQ или собственные корпоративные отвечаем за 2–3 рабочих дня.
Четыре инструмента самообслуживания, чтобы оценить SLAtech без звонка с продавцами: