Юридичне

Безпека

Версія 1.0 · чинна з 5 листопада 2026

Коротко
  • Усе з'єднання — лише через HTTPS.
  • Паролі зберігаються тільки як хеш. Сам пароль ми не знаємо.
  • Підбір пароля і кодів обмежено: після кількох помилок вхід тимчасово блокується.
  • Дані СТО бачать лише люди, яких додав власник, і лише в межах своєї ролі.
  • Знайшли вразливість? Напишіть на [EMAIL] — відповімо протягом 72 годин.

1. Шифрування з'єднання

Сайт і застосунок працюють лише через HTTPS. Сертифікати TLS забезпечують Cloudflare і Let's Encrypt.

2. Паролі і вхід

  • Паролі зберігаються лише як хеш PBKDF2-SHA256: 100 000 ітерацій і унікальна «сіль» для кожного пароля. Відкритий пароль ми ніколи не зберігаємо.
  • Після 5 неправильних паролів вхід у акаунт блокується на 10 хвилин.
  • Одноразові коди зберігаються лише як хеш, діють 10 хвилин, дають не більше 5 спроб і видаляються після використання.
  • Запити кодів і входу за телефоном обмежені: не більше 5 за 10 хвилин.
  • Номер телефону підтверджує сам Telegram: ви ділитеся з ботом своїм контактом. Коли з'явиться вхід через WhatsApp, номер підтверджуватиметься номером відправника.

3. Сесії

Після входу браузер отримує cookie сесії sid. Він підписаний (HMAC-SHA256), недоступний для скриптів на сторінці (HttpOnly), передається лише через HTTPS (Secure), має SameSite=Lax і діє 30 днів. Детальніше — у Політиці cookie.

4. Хто бачить дані

  • Дані СТО бачать лише її творець і люди, яких власник додав у «Компанія → Користувачі» за email або телефоном.
  • Ролі (власник, менеджер, майстер тощо) обмежують, що бачить і робить кожна людина.
  • Власник може будь-коли прибрати людину — і її доступ припиниться.
  • Повідомлення клієнту надсилається лише після того, як користувач підтвердить його текст.

5. Захист застосунку

  • Сторінки застосунку мають Content-Security-Policy — це обмежує, які скрипти можуть виконуватися.
  • У нас немає сторонніх трекерів і рекламних скриптів.
  • Кожне збереження має версію. Якщо двоє людей одночасно змінюють те саме, зміни однієї людини не перезапишуть тихо зміни іншої.

6. Збереження, копії і видалення

  • Дані CRM зберігаються в базі Cloudflare D1.
  • Власник може вивантажити дані і зробити резервну копію, захищену паролем.
  • Після запиту на видалення акаунта чи СТО ми видаляємо дані протягом 30 днів. З резервних копій вони зникають ще протягом до 30 днів.

7. Інциденти

Якщо станеться витік чи інший інцидент із даними СТО, ми повідомимо власника СТО не пізніше ніж за 48 годин після того, як дізнаємося про нього (див. Договір доручення на обробку персональних даних). Ми розповімо, що сталося, які дані зачеплено і що ми робимо.

8. Що можете зробити ви

  • Використовуйте унікальний пароль, якого немає на інших сайтах.
  • Нікому не повідомляйте коди входу. Ми ніколи не просимо їх по телефону чи в чаті.
  • Прибирайте з «Користувачів» людей, які більше у вас не працюють.
  • На спільному комп'ютері виходьте з акаунта і очищайте дані сайту.
  • Регулярно робіть резервну копію.

9. Повідомити про вразливість

Якщо ви знайшли проблему з безпекою, напишіть на [EMAIL]. Опишіть, що ви знайшли і як це відтворити. Ми відповімо протягом 72 годин.

Будь ласка, під час перевірки:

  • не відкривайте, не змінюйте і не видаляйте чужі дані — використовуйте лише власний акаунт;
  • не порушуйте роботу сервісу (без навантажувальних атак, спаму, соціальної інженерії);
  • не розголошуйте проблему, поки ми її не виправимо.

Якщо ви дотримуєтеся цих правил і дієте добросовісно, ми не матимемо до вас претензій.