Безопасность и защита данных

Локализация данных (152-ФЗ)

• Все персональные данные хранятся исключительно на территории Российской Федерации.
• Соответствие ч. 5 ст. 18 Федерального закона № 152-ФЗ «О персональных данных».
• ООО «Принципал» внесено в Реестр операторов, осуществляющих обработку персональных данных: реестровый номер 77-26-562413 (Приказ Роскомнадзора № 385 от 20.07.2026).
• Официальная ссылка на реестр РКН: pd.rkn.gov.ru/operators-registry/operators-list/?id=77-26-562413.

Инфраструктура (только российская)

• Production-окружение: АО «Селектел», Москва.
• Резервное окружение: в планах (российский облачный провайдер).
• Виртуализация: KVM. ОС: Ubuntu Server 24.04 LTS.
• Иностранные облака (AWS, GCP, Azure, DigitalOcean) не используются ни в каком виде — ни для production, ни для резервов, ни для CI/CD.

Шифрование

• Транспортный уровень: TLS 1.3 обязательно для всего внешнего трафика.
• Резервные копии: шифруются (age, X25519 + ChaCha20-Poly1305) до записи на диск.
• Перед отправкой в модель: фильтр маскирует паспорт, СНИЛС, ИНН физлица, номера карт и счетов, телефоны и email.
• Пароли пользователей: bcrypt (12 раундов).

Аутентификация

• Email и пароль.
• Вход через Яндекс ID.
• Двухфакторная аутентификация (TOTP, RFC 6238) с резервными кодами — на всех тарифах, включается в «Настройки → Безопасность».
• Просмотр активных сессий, завершение других сессий, журнал действий пользователя.
• В планах: вход по ссылке из письма, интеграция с Госуслугами (ЕСИА).

Резервное копирование

• Полная резервная копия БД — ежедневно.
• Ретенция: 30 ежедневных + 12 ежемесячных + 3 ежегодных копии.
• RPO (Recovery Point Objective): не более 24 часов.
• RTO (Recovery Time Objective): не более 8 часов.

Российские LLM-провайдеры

• GigaChat — ПАО «Сбербанк».
• YandexGPT — ООО «Яндекс.Облако».
• Multi-provider router с автоматическим failover между провайдерами.
• Иностранные LLM (OpenAI, Anthropic, Google, Mistral) не используются.

Уведомление об инцидентах

• При инциденте безопасности — уведомление пользователей в течение 72 часов на указанный email.
• Контакт для сообщений о security-инцидентах: hello@principalai.ru.
• Ответственное лицо: Генеральный директор Жукова Дарья Олеговна.

Стандарты и сертификаты

• 152-ФЗ — реестр РКН 77-26-562413.
• Планы: ISO/IEC 27001 и SOC 2 Type II — после набора корпоративной клиентской базы.