Εμπιστοσύνη

Τεχνικά και οργανωτικά μέτρα (άρθρο 32 ΓΚΠΔ)

Το κείμενο αυτό περιγράφει τα μέτρα που προστατεύουν τα προσωπικά δεδομένα στο filterit, την πύλη AI chat και απόκρυψης δεδομένων που λειτουργεί ο διαχειριστής του filterit (ο «Διαχειριστής»· νομική ταυτότητα κατόπιν αιτήματος στο contact@filterit.app). Είναι το κείμενο στο οποίο παραπέμπει η Σύμβαση Επεξεργασίας Δεδομένων ως τα μέτρα ασφάλειας του Διαχειριστή, και είναι γραμμένο από το τι κάνουν ο κώδικας και η εγκατάσταση, όχι από πρότυπο. Όπου ένα μέτρο δεν υπάρχει ακόμη, το λέει η ενότητα 10.

Σχετικά: η σελίδα ασφάλειας (η αρχιτεκτονική με απλά λόγια), η πολιτική απορρήτου (η ενότητα 7 έχει τον πίνακα διατήρησης), η διαδικασία περιστατικών και παραβιάσεων, η σελίδα ακρίβειας και η μέθοδός της.

1. Τι προστατεύουν τα μέτρα

Το προϊόν αντικαθιστά τα προσωπικά δεδομένα που ανιχνεύει με υποκατάστατα πριν το κείμενο φύγει προς μοντέλο τρίτου και επαναφέρει τις τιμές στην απάντηση. Δύο πράγματα χρειάζονται λοιπόν την ισχυρότερη προστασία: η αντιστοίχιση υποκατάστατων και αρχικών τιμών (το vault) και τα κλειδιά που την κρυπτογραφούν. Η παραβίαση του vault μαζί με το κλειδί του είναι το συμβάν με τον μεγαλύτερο αντίκτυπο έναντι του οποίου σχεδιάστηκε το σύστημα, και τα μέτρα που ακολουθούν έχουν αυτή την προτεραιότητα.

Η ανίχνευση δεν είναι αλάνθαστη· τα μέτρα μειώνουν την έκθεση, δεν υπόσχονται την απουσία της. Η μέθοδος λέει τι μετριέται και τι όχι.

2. Κρυπτογράφηση και κλειδιά

Διαχωρισμός κλειδιών: το κλειδί κρυπτογράφησης, το κλειδί αναζήτησης και το κλειδί ελέγχου παράγονται από το κύριο μυστικό με HKDF-SHA256 υπό διαφορετικές ετικέτες, ώστε η παραβίαση ενός παράγωγου κλειδιού να μη δίνει τα υπόλοιπα.

3. Τι δεν αποθηκεύεται ποτέ

• Πρωτότυπα αρχεία και σαρώσεις: κρατιούνται σε προσωρινό δίσκο το πολύ 30 λεπτά (10 λεπτά για πηγές οπτικής απαλοιφής) και δεν γράφονται ποτέ στη βάση.
• Νήματα email: διαβάζονται ζωντανά από τον πάροχο, επεξεργάζονται, απορρίπτονται. Αποθηκεύεται μόνο το καλυμμένο προσχέδιο.
• Ακάλυπτο κείμενο συνομιλιών: η βάση κρατά καλυμμένο, σφραγισμένο περιεχόμενο· οι τιμές υπάρχουν μόνο στο vault, για το πολύ 30 ημέρες.
• Προσωπικά δεδομένα σε αρχεία καταγραφής: τα αρχεία καταγραφής της εφαρμογής φέρουν το πολύ υποκατάστατα· τίτλοι, ονόματα έργων, ονόματα αρχείων και σώματα κειμένου δεν καταγράφονται ποτέ.

4. Ανίχνευση που αρνείται αντί να διαρρεύσει

• Όταν η υπηρεσία ανίχνευσης δεν είναι διαθέσιμη ή είναι υποβαθμισμένη, το αίτημα απορρίπτεται (HTTP 503) αντί να προωθηθεί με ασθενέστερη ανίχνευση. Το API μηχανής προς μηχανή συμπεριφέρεται το ίδιο, εκτός αν ο καλών αποδεχθεί ρητά την υποβαθμισμένη ανίχνευση.
• Τα δομημένα αναγνωριστικά (ΑΦΜ, ΑΜΚΑ, IBAN και τα εθνικά αναγνωριστικά άλλων χωρών της ΕΕ) επαληθεύονται με μορφή και ψηφίο ελέγχου· ένα επαληθευμένο αναγνωριστικό παρακάμπτει κάθε κατώφλι εμπιστοσύνης, ώστε μια αυστηρή πολιτική να μην μπορεί ποτέ να το αφήσει.
• Οι απαντήσεις σε ροή περνούν από επαναφορέα με μνήμη που συγκρατεί μισά υποκατάστατα, ώστε μια αρχική τιμή να μη διαρρεύσει στα όρια των τμημάτων.
• Το εργαλείο αναζήτησης ιστού στέλνει ένα ερώτημα μόνο αφού αφαιρεθούν από αυτό οι τιμές που ανιχνεύτηκαν, και καταγράφει την αποστολή στο αρχείο εξόδου.
• Κάθε αποστολή προς εξωτερικό μοντέλο αφήνει μία γραμμή σε αρχείο εξόδου με αλυσίδα κατακερματισμού και μόνο υποκατάστατα (προορισμός, μέγεθος, αποτύπωμα SHA-256, καλυμμένη προεπισκόπηση). Η αλυσίδα επαληθεύεται όταν παράγεται πακέτο τεκμηρίων.

5. Έλεγχος πρόσβασης

• Λογαριασμοί: email και κωδικός με ελάχιστο μήκος δέκα χαρακτήρων και απόρριψη συνηθισμένων κωδικών, ή σύνδεση με Google. Οι συνεδρίες είναι υπογεγραμμένα διακριτικά με διάρκεια οκτώ ωρών. Σύνδεση, εγγραφή, επαλήθευση και επαναφορά κωδικού έχουν όριο ρυθμού ανά διεύθυνση.
• Οργανισμοί: ρόλοι (ιδιοκτήτης, διαχειριστής, μέλος) ορίζουν ποιος διαχειρίζεται μέλη, κλειδιά API, πολιτικές και χρεώσεις· συνομιλίες και έργα ανήκουν σε χώρο εργασίας και διαβάζονται μόνο με ιδιότητα μέλους.
• Πίνακας διαχείρισης: χωριστή εφαρμογή σε δικό της host με δικούς της λογαριασμούς διαχειριστή· κάθε ενέργεια διαχειριστή γράφεται σε αρχείο ελέγχου. Ένας διαχειριστής δεν βλέπει ποτέ τιμή σφραγισμένη υπό κλειδί πελάτη.
• Παραγωγή: πρόσβαση περιορισμένη στους χειριστές, μέσω SSH με κλειδιά. Τα μυστικά ζουν σε αρχείο περιβάλλοντος στον server, εκτός αποθετηρίου και images. Η βάση δεν είναι προσβάσιμη από το διαδίκτυο.
• Κώδικας: έλεγχος ταυτότητας δύο παραγόντων στον πάροχο φιλοξενίας κώδικα· αλλαγές φτάνουν στον κύριο κλάδο μόνο μέσω pull request που χρειάζεται έγκριση, με τους απαιτούμενους ελέγχους της ενότητας 7 πράσινους.

6. Φιλοξενία και υποδομή

• Φιλοξενία στη Hetzner Online GmbH, Γερμανία (κέντρο δεδομένων στο Falkenstein), σε servers που λειτουργεί ο Διαχειριστής. Ο κατάλογος υποεπεξεργαστών είναι δημόσιος στο /sub-processors.
• Οι υπηρεσίες τρέχουν ως containers χωρίς δημοσιευμένες θύρες εκτός από τον αντίστροφο διακομιστή μεσολάβησης· αυτός τερματίζει το TLS και προωθεί μόνο τις διαδρομές της εφαρμογής. Ένας έλεγχος κάθε αρχείου compose προς εγκατάσταση αποτυγχάνει σε δημοσιευμένη θύρα βάσης, σε προνομιούχο container ή σε πρόσβαση στο Docker socket.
• Ο πάροχος μοντέλου λαμβάνει μόνο καλυμμένο κείμενο. Ανίχνευση, OCR, μετατροπή ομιλίας σε κείμενο και οπτική απαλοιφή τρέχουν στους servers του Διαχειριστή.
• Αντίγραφα ασφαλείας: ημερήσια, κρυπτογραφημένα (ενότητα 2), φυλάσσονται στον server 14 ημέρες· μια δοκιμή επαναφοράς καταγράφεται στο εγχειρίδιο λειτουργίας. Αντίγραφο παλαιότερο από 26 ώρες σηκώνει ειδοποίηση.

7. Έλεγχοι σε κάθε αλλαγή

Κάθε αλλαγή περνά από τη γραμμή συνεχούς ενσωμάτωσης πριν μπορέσει να συγχωνευθεί:

• Πύλη ποιότητας ανίχνευσης. Τα σετ αναφοράς τρέχουν σε hermetic replay. Στο βαθύ επίπεδο ανίχνευσης, ένα προσωπικό δεδομένο που μένει ακάλυπτο σε οποιοδήποτε είδος σταματά το build. Ο δημοσιευμένος πίνακας ακρίβειας συγκρίνεται με τη νέα εκτέλεση και πρέπει να ταυτίζεται.
• Πύλη ακρίβειας. Τα λάθος ευρήματα στο αντιπαραδειγματικό σετ (660 έγγραφα χωρίς προσωπικά δεδομένα) έχουν καταγεγραμμένο ανώτατο όριο.
• Στιγμιότυπα αναφοράς. Ένα byte-exact στιγμιότυπο της ελληνικής διαδικασίας και ο πίνακας των 52 μορφών εθνικών αναγνωριστικών πρέπει να μείνουν ίδια ή να αλλάξουν συνειδητά.
• Σάρωση για μυστικά σε κάθε push (gitleaks).
• Σάρωση ευπαθειών στις εξαρτήσεις Java και npm και στα container images (trivy), συν νυχτερινός έλεγχος OWASP dependency check και αυτόματες προτάσεις ενημέρωσης (Dependabot). Τα ευρήματα διορθώνονται ή καταγράφονται με αιτία και ημερομηνία λήξης.
• Έλεγχος ασφάλειας compose, έλεγχος Content Security Policy των δημόσιων σελίδων, ετοιμότητα των νομικών κειμένων (κανένα πρόχειρο, κανένα κενό πεδίο, μία αντιγραφή της DPA), και οι κανόνες διατύπωσης.
• Φύλακας αντιγράφων. Ένας έλεγχος αποδεικνύει ότι το σενάριο λήψης αντιγράφων αρνείται να γράψει καθαρό κείμενο.

8. Καταγραφή και παρακολούθηση

• Τα αρχεία καταγραφής της εφαρμογής δεν περιέχουν προσωπικά δεδομένα ούτε περιεχόμενο· τα σφάλματα φέρουν αναγνωριστικά, όχι τιμές.
• Τα αρχεία πρόσβασης του web server (που περιλαμβάνουν διευθύνσεις IP) φυλάσσονται 7 ημέρες· τα αρχεία της εφαρμογής εναλλάσσονται κατά μέγεθος και φυλάσσονται το πολύ 30 ημέρες.
• Μετρήσεις και ειδοποιήσεις καλύπτουν την υγεία των υπηρεσιών και την ηλικία των αντιγράφων ασφαλείας.
• Το αρχείο εξόδου (ενότητα 4) και το αρχείο ελέγχου των διαχειριστών είναι τα αρχεία που μπορεί να ζητήσει ένας πελάτης.

9. Ανάπτυξη και διαχείριση αλλαγών

• Ένα αποθετήριο, προστατευμένος κύριος κλάδος, pull requests με έλεγχο, οι έλεγχοι της ενότητας 7 υποχρεωτικοί.
• Οι αλλαγές στην ανίχνευση μετριούνται πριν τη συγχώνευση (σετ αναφοράς, αντιπαραδειγματικό σετ, στιγμιότυπο αναφοράς) και οι δημοσιευμένοι αριθμοί συνοδεύονται από την έκδοση της μεθόδου που τους παρήγαγε.
• Ουσιώδεις αλλαγές στην ανίχνευση, στη μορφή των υποκατάστατων, στους υποεπεξεργαστές ή σε αυτό το κείμενο καταγράφονται στο ιστορικό του αποθετηρίου και, όπου αφορούν πελάτες, στον κατάλογο υποεπεξεργαστών και στη DPA.
• Τα περιβάλλοντα ανάπτυξης και δοκιμής δεν κρατούν προσωπικά δεδομένα παραγωγής.

10. Τι δεν υπάρχει ακόμη

Το λέμε εδώ, ώστε να μη χρειαστεί να το ανακαλύψει ο αξιολογητής:

• Καμία πιστοποίηση ISO 27001 ή SOC 2. Μια αξιολόγηση χάσματος είναι προγραμματισμένη· η πιστοποίηση είναι έργο μηνών.
• Κανένας ολοκληρωμένος εξωτερικός έλεγχος διείσδυσης. Είναι προγραμματισμένος. Μέχρι τότε, η ασφάλεια στηρίζεται στους παραπάνω αυτόματους ελέγχους και στην υπεύθυνη γνωστοποίηση (security.txt, πολιτική γνωστοποίησης).
• Καμία χρονοσήμανση έμπιστου τρίτου στην αλυσίδα του αρχείου εξόδου: η αλυσίδα αποδεικνύει ακεραιότητα και σειρά, όχι απόλυτο χρόνο.
• Η αναστρεψιμότητα αποδεικνύεται με ελέγχους ιδιοτήτων στο vault της μνήμης και της συσκευής· το vault με βάση δεδομένων της φιλοξενούμενης υπηρεσίας καλύπτεται από τον σχεδιασμό και από μοναδιαίους ελέγχους.

11. Αναθεώρηση

Το κείμενο αναθεωρείται τουλάχιστον μία φορά τον χρόνο και μετά από κάθε ουσιώδη αλλαγή στην αρχιτεκτονική. Η έκδοση και η ημερομηνία είναι στην κορυφή· το ιστορικό αλλαγών βρίσκεται στο αποθετήριο.