Безопасность и раскрытие уязвимостей

1. Как мы защищаем данные

• Шифрование канала: весь трафик передаётся по HTTPS (TLS).
• Разграничение доступа: данные каждой организации изолированы; доступ — только у авторизованных пользователей организации по ролям.
• Хранение: инфраструктура и база данных размещены на защищённом хостинге (ЕС); выполняется резервное копирование.
• ИИ-провайдер: данные передаются провайдеру ИИ только для обработки запроса и не используются для обучения моделей.
• Платежи: реквизиты карт обрабатываются платёжной организацией (эквайринг банка) и не хранятся Оператором.
• Токены и секреты хранятся в защищённом серверном окружении и не публикуются.

Полный перечень привлекаемых поставщиков — в Списке субобработчиков.

2. Ответственное раскрытие уязвимостей

Мы благодарны исследователям безопасности за добросовестную помощь. Если вы обнаружили уязвимость в ZanAI:

• сообщите нам на dauren.m@lief.dev с темой «Security» — опишите проблему, шаги воспроизведения и потенциальное влияние;
• не используйте уязвимость во вред, не получайте доступ к чужим данным больше необходимого для подтверждения и не раскрывайте её публично до устранения;
• мы подтвердим получение, устраним проблему в разумный срок и, при вашем согласии, поблагодарим вас.

В отношении добросовестных исследователей, соблюдающих эти правила, мы не инициируем юридических претензий. Программа денежного вознаграждения (bug bounty) пока не действует.