Безопасность и доступы

1. Общий подход

delovitsa.ru использует модель разграничения доступа по компаниям, пользователям, ролям и правам.

Каждая компания работает в отдельном рабочем пространстве. Пользователь получает доступ только к тем разделам, функциям и складам, которые доступны ему по назначенной роли.

2. Компании и рабочие пространства

Данные компании хранятся в рамках отдельного рабочего пространства.

Пользователи одной компании не должны иметь доступ к данным другой компании, если такой доступ не предусмотрен архитектурой сервиса, настройками или отдельным соглашением.

3. Роли пользователей

В сервисе могут использоваться следующие роли:

владелец;

администратор;

куратор;

исполнитель;

пользователь с ограниченными правами;

иные роли, предусмотренные сервисом.

Фактический набор ролей может отличаться в зависимости от тарифа и версии сервиса.

4. Права доступа

Права доступа могут определять возможность:

просмотра данных;

создания записей;

изменения записей;

удаления записей;

согласования операций;

отклонения операций;

управления пользователями;

управления складами;

настройки справочников;

просмотра истории действий.

Заказчик самостоятельно назначает права доступа своим пользователям и отвечает за последствия таких назначений.

5. Авторизация

Для доступа к сервису может использоваться email, пароль, токен доступа, код подтверждения или иной механизм авторизации.

Пользователь обязан сохранять средства доступа в тайне.

Если пользователь подозревает компрометацию аккаунта, он должен немедленно уведомить администратора Заказчика или поддержку Исполнителя.

6. Журнал действий

Сервис может фиксировать действия пользователей, включая:

создание запросов;

изменение данных;

запрос согласования;

согласование;

отклонение;

дату и время действия;

пользователя, совершившего действие;

статус операции;

комментарии и причины.

Журнал действий помогает Заказчику контролировать внутренние процессы, а Исполнителю — расследовать технические инциденты и обращения.

7. Уведомления

Сервис может показывать пользователям уведомления о событиях, действиях, согласованиях и изменениях статусов.

Пользовательские настройки уведомлений могут сохраняться в сервисе, включая сведения о прочитанных или скрытых уведомлениях.

8. Ответственность Заказчика за безопасность

Заказчик отвечает за:

выбор надежных паролей;

хранение доступов;

назначение ролей;

своевременное удаление бывших сотрудников;

контроль действий пользователей;

проверку корректности операций;

обучение своих сотрудников правилам работы с сервисом;

соблюдение требований закона при внесении данных.

9. Ограничения безопасности

Ни один интернет-сервис не может гарантировать абсолютную защиту от всех технических рисков.

Исполнитель принимает разумные технические и организационные меры для защиты сервиса, но не несет ответственность за инциденты, вызванные:

передачей пароля третьим лицам;

использованием слабого пароля;

заражением устройства пользователя;

доступом с чужого или небезопасного устройства;

действиями сотрудников Заказчика;

ошибочной настройкой ролей;

действиями третьих лиц вне контроля Исполнителя;

сбоями провайдеров, хостинга, сетей связи и внешних сервисов.

10. Рекомендации пользователям

Для безопасной работы рекомендуется:

использовать уникальный пароль;

не передавать доступы коллегам;

не хранить пароль в открытом виде;

ограничивать права пользователей по принципу необходимости;

регулярно проверять список пользователей;

удалять доступы бывшим сотрудникам;

внимательно проверять складские операции перед согласованием;

не вводить лишние персональные данные в комментарии и свободные поля.