Как устроена защита ваших данных
Редакция 1.0 от 18.08.2026
1. Коротко и честно
Содержимое ваших документов и файлы шифруются перед тем, как попасть в хранилище. Ключи хранятся отдельно от данных, в несколько уровней. У наших сотрудников нет ни одного экрана, где можно было бы посмотреть, что лежит в вашем сейфе.
И при этом сервис технически способен расшифровать ваши данные. Мы говорим это первым абзацем, а не мелким шрифтом, потому что это следует из самой сути продукта: в тот момент, когда сейф нужно передать вашим близким, вас нет рядом и ключ дать некому. Сервис, который обещает одновременно автоматическую передачу и полное незнание содержимого, обещает невозможное.
Дальше - что именно мы делаем, чтобы эта техническая возможность не превратилась в реальный доступ.
2. Как устроено шифрование
Три уровня ключей:
| Уровень | Что это | Где хранится |
|---|---|---|
| Ключ данных | Свой у каждого поля и у каждого файла. Им шифруется содержимое | Рядом с данными, но только в зашифрованном виде |
| Ваш персональный ключ | Один на пользователя. Им зашифрованы все ваши ключи данных | Только в зашифрованном виде |
| Корневой ключ | Им зашифрованы персональные ключи всех пользователей | Отдельно от данных, в специализированном хранилище ключей |
Алгоритм - AES-256-GCM. Он защищает не только от чтения, но и от подмены: изменённый шифротекст не расшифруется, а будет отвергнут.
Что это даёт практически:
| Что произошло | Последствия |
|---|---|
| Украдена база данных | Содержимое полей и файлов недоступно: нет корневого ключа |
| Украдено файловое хранилище | Файлы недоступны: это шифротекст, ключи в другом месте |
| Украдено хранилище корневого ключа | Данных нет - красть нечего |
| Украдены база данных и корневой ключ | Расшифровка возможна. Это худший сценарий, и защита от него - раздельное хранение, ограничение доступа и журналирование |
3. Что хранится без шифрования
Мы предпочитаем сказать это сами.
- Названия сейфов, документов, разделов и полей, а также описания сейфов.
- Адреса электронной почты ваших получателей и ваши пометки к их каналам связи.
Причина техническая: без этого не работают списки, поиск и сортировка - пришлось бы расшифровывать каждую запись при каждом открытии страницы.
Практическое следствие для вас: не пишите в названиях то, что должно остаться тайной. Не «Сбербанк, карта 4276 1234», а «Основная карта».
4. Что защищает содержимое, кроме шифрования
| Мера | Что означает |
|---|---|
| Нет интерфейса для чтения | В административных инструментах не существует экрана, показывающего содержимое сейфа. Это не запрет для сотрудников, а отсутствие такой возможности в продукте |
| Журналирование | Каждая операция с ключами и каждое предоставление доступа получателям записываются. Свой журнал вы видите в личном кабинете и можете выгрузить |
| Ограниченный доступ | Доступ к производственным системам имеют только поимённо определённые люди; перечень пересматривается |
| Разделение контуров | Данные пользователей из России и из остальных стран находятся в разных, не связанных между собой системах |
| Ключи в специализированном хранилище | Корневой ключ не покидает хранилище ключей |
| Шифрование при передаче | TLS на всех участках: между вами и сервисом, между сервисом и базой, между сервисом и файловым хранилищем |
| Хеширование паролей | Пароль не хранится и не может быть восстановлен - только сброшен |
| Ограничение частоты | Защита от подбора паролей, перебора публичных кодов и рассылки приглашений |
| Доступ получателя | Два фактора: ссылка и отдельно присланный код. Срок доступа ограничен 7 сутками. Получатель видит только адресованное ему |
5. Как мы отвечаем на запросы органов
Раз мы способны расшифровать данные, значит, теоретически способны и выдать их. Что мы делаем, чтобы это оставалось теорией: требуем законного основания, выдаём минимум, уведомляем вас, если это не запрещено законом, оспариваем чрезмерные запросы и публикуем годовой отчёт прозрачности. Расшифровка содержимого выполняется только по судебному акту, вручную, двумя ответственными лицами и с записью в журнале.
Подробно - в Политике ответов на запросы государственных органов по адресу kinwatcher.ru/legal-requests/.
6. Что мы обещаем не делать
- Не продавать данные и не передавать их в рекламных целях - никогда, ни при каких условиях, включая продажу компании.
- Не использовать содержимое сейфов для обучения каких-либо моделей.
- Не применять запись сессий, карты кликов и другие инструменты, восстанавливающие поведение конкретного человека.
- Не удалять ваши данные по своей инициативе, включая случай неоплаты.
7. Если вы нашли уязвимость
Пишите на security@kinwatcher.ru. Мы не преследуем добросовестных исследователей: правила ответственного раскрытия - в Политике допустимого использования по адресу kinwatcher.ru/acceptable-use/.
8. Что мы планируем улучшить
Мы не пишем «мы полностью безопасны». Вот что мы считаем слабыми местами:
| Слабое место | План |
|---|---|
| Сервис способен расшифровать содержимое | Режим с разделением ключа между получателями, при котором даже мы не сможем этого сделать. Появится как отдельная возможность; автоматическую передачу он усложняет, поэтому останется выбором, а не заменой |
| Названия хранятся без шифрования | Ищем способ обеспечить поиск и сортировку по зашифрованным полям без потери производительности |
| Независимый аудит | Мы его не проходили. Когда пройдём - опубликуем результат, в том числе неудобный |