Безопасность данных

1. Подход

Защита данных встроена в процессы QRIUM и соответствует ст. 19 152-ФЗ; объём мер соразмерен возможным угрозам.

2. Размещение данных в РФ

Базы данных, используемые для обработки персональных данных граждан РФ, расположены на территории Российской Федерации (242-ФЗ). Инфраструктурный провайдер — ООО «РУВЕБ» (RuWeb); серверы размещены в центре обработки данных DataHouse в г. Москве (площадка «Медная Фольга»). По информации провайдера, дата-центр оснащён системой контроля и управления доступом, охраной и круглосуточным видеонаблюдением, инженерными системами резервирования; оборудование расположено на территории РФ.

3. Шифрование

Передача данных между пользователем и Сервисом защищается протоколом TLS (HTTPS). Доступ к страницам Сервиса осуществляется по защищённому соединению. Данные банковских карт в QRIUM не хранятся (см. Безопасность онлайн-платежей).

4. Управление доступом

Доступ предоставляется по принципу минимальных привилегий и служебной необходимости; в Сервисе реализованы роли и разграничение прав внутри команды; значимые действия с данными журналируются.

5. Сетевая и прикладная защита

Применяются базовые меры защиты веб-приложения и заголовки безопасности (запрет встраивания в чужие фреймы, запрет MIME-sniffing, политика реферера, ограничение чувствительных разрешений браузера). На уровне инфраструктурного провайдера применяются меры сетевой защиты.

6. Резервное копирование

Выполняется регулярное резервное копирование данных с целью восстановления при сбоях; копии защищаются мерами разграничения доступа.

7. Безопасная разработка и обновления

Обновления и исправления безопасности устанавливаются в плановом порядке; изменения проходят внутренний контроль перед выпуском.

8. Реагирование на инциденты

При выявлении инцидента с персональными данными принимаются меры по локализации и устранению последствий; уведомление Роскомнадзора и субъектов осуществляется в порядке и сроки, установленные 152-ФЗ.

9. Обезличивание данных сканирований

Аналитика по сканированию QR-кодов предоставляется владельцам кодов в обезличенном и агрегированном виде и не предназначена для идентификации конкретных людей (см. Политику конфиденциальности, разделы 3–4).

10. Ответственность пользователя

Безопасность зависит и от пользователя: используйте надёжные пароли, не передавайте данные для входа, корректно распределяйте роли в команде и своевременно отзывайте доступы.

11. Соответствие законодательству

QRIUM функционирует в правовом поле РФ: 152-ФЗ, 242-ФЗ, 54-ФЗ, 149-ФЗ и иные применимые акты. Оператор направил в Роскомнадзор уведомление об обработке персональных данных (рег. № уведомления 100288093); на дату редакции уведомление находится на рассмотрении.

12. Контакты по вопросам безопасности

Сообщения об уязвимостях и инцидентах — на info@qrium.ru с пометкой «Безопасность» или на legal@shmelevs.ru. Такие обращения рассматриваются в приоритетном порядке.

Применяемые меры снижают риски, но не являются гарантией абсолютной защиты информации.