Zaufanie, spisane na papierze.
Elido jest domyślnie hostowane w UE, zgodne z duchem RODO i zbudowane z wbudowanymi ścieżkami audytu. Poniżej oddzielamy to, co działa dziś, od tego, co jest planowane lub w toku, i oznaczamy każdą pozycję.
- Region UEEUEU-residency · domyślnie
Tu dziś znajdują się główna baza danych, magazyn analityczny i kopie zapasowe, dla każdego workspace'a.
- USA WschódUSPlanowane
Planowane. Niewdrożone: workspace'ów nie można dziś tu przypiąć.
- Azja-PacyfikAPACPlanowane
Planowane. Niewdrożone: workspace'ów nie można dziś tu przypiąć.
Co „zaufanie” oznacza w kategoriach produktu
Co rozumiemy przez zaufanie
Każdy filar odpowiada czemuś konkretnemu w produkcie, w DPA lub w dzienniku audytu.
Domyślna EU residency
Baza danych, analityka i kopie zapasowe są hostowane w UE. Węzły przekierowań w USA (Ashburn) i Singapurze przetwarzają żądania odwiedzających. Przypinanie workspace'a do US East lub Azji i Pacyfiku nie jest jeszcze dostępne.
Ścieżka audytu dla wszystkiego
Ustawienia obszaru roboczego, zmiany ról, rotacja kluczy, tworzenie linków, usuwanie, eksporty. Każde zdarzenie ma informację: kto, kiedy i co - z możliwością eksportu.
AI domyślnie tylko do odczytu
Integracje AI otrzymują ograniczone, rotowalne klucze. Dostęp do zapisu/usuwania to jawne, audytowane ustawienie - nie domyślne.
Klucze zarządzane przez klienta (planowane)
Szyfrowanie z własnym kluczem (BYOK) nie jest jeszcze dostępne. Kopie zapasowe bazy danych są szyfrowane, zanim opuszczą nasze serwery.
Potok zapobiegania nadużyciom
Każdy link przechodzi przez złożony skaner (URLhaus + Google Safe Browsing + heurystyka) przy tworzeniu i podczas cyklicznych skanów.
Przejrzystość sub-procesorów
Pełna lista, lokalizacja i cel. Zobowiązujemy się do 30-dniowego wyprzedzenia przy dodawaniu nowych.
Log audytu append-only
Każda zmiana stanu jest rejestrowana.
Aplikacja tylko dopisuje do tabeli audytu (nie ma ścieżki aktualizacji), a każdy wpis jest powiązany hashem z poprzednim, więc manipulację można wykryć za pomocą administracyjnego endpointu weryfikacji. Działa to na poziomie aplikacji, nie jako ograniczenie uprawnień bazy danych. Wpisy starsze niż okno retencji są usuwane codziennie: domyślnie 730 dni, konfigurowalnie dla każdego workspace'a od 30 dni (na przykład 6 lat dla workspace'ów HIPAA).
- Tożsamość aktoraIdentyfikator użytkownika lub service principal oraz IP źródła i request ID
- Diff przed/poStrukturalny diff JSON zmienionego wiersza - nie zwykła linia tekstowego logu
- Strumień do SIEMWebhook podpisany HMAC do Splunk / Datadog / ELK w czasie rzeczywistym
- Odporny na modyfikacjęWpisy powiązane hashem z endpointem weryfikacji łańcucha
{ "domain": "go.acme.eu",- "status": "pending_dns",+ "status": "verified",- "tls_mode": "none",+ "tls_mode": "on_demand",+ "verified_at": "2026-05-08T11:42:18Z", "workspace_id": "ws_8a2f" }Wnioski osób, których dane dotyczą
Prawa osoby, której dane dotyczą, przez API.
Wnioski o dostęp i usunięcie wysyłaj na [email protected]; nasz zespół rejestruje każdy z nich i pilnuje 30-dniowego terminu. Nie ma jeszcze samoobsługi ani publicznego API dla wniosków osób, których dane dotyczą. Pakiet dostępu to archiwum zip z plikami CSV: rekord konta, członkostwa w workspace'ach, własne workspace'y, linki, wpisy dziennika audytu, w których osoba jest aktorem, oraz sesje. Usunięcie obecnie anonimizuje e-mail i imię i nazwisko konta oraz kończy sesje; zdarzenia kliknięć (zawierające adresy IP odwiedzających) nie są jeszcze automatycznie eksportowane ani usuwane. Nie ma trybu przyspieszonego.
- Krok 1
Wniosek osoby
Użytkownik końcowy → administrator (Ty)Osoba kontaktuje się z Tobą. Uwierzytelniasz ją w swoim produkcie, nie w Elido.
- Krok 2
Wniosek zarejestrowany
Wyślij wniosek e-mailem, podając e-mail konta i typ wniosku (export / erase); nasz zespół rejestruje go i weryfikuje tożsamość.
- Krok 3
Pakiet workspace’a
zip · CSVKonto, członkostwa, własne workspace'y, linki, wpisy dziennika audytu, w których osoba jest aktorem, sesje. Zdarzenia kliknięć nie są jeszcze uwzględniane.
- Krok 4
SLA
30 dniJednomiesięczny termin RODO, śledzony dla każdego wniosku na każdym planie.
Trzynastu podprocesorów, wymienionych publicznie
Trzynastu dostawców. Wymienionych publicznie.
Pełna lista z lokalizacją dostawcy, celem przetwarzania, kategoriami danych i URL referencyjnym DPA znajduje się na /legal/subprocessors. Dodanie lub zastąpienie sub-procesora uruchamia 30-dniowe powiadomienie dla każdego administratora workspace’a przez baner in-app i e-mail, zanim rozpocznie się przetwarzanie, by klienci mogli wnieść sprzeciw.
- Compute i hostingISO 27001Główna infrastruktura aplikacji + edgeEU · Niemcy + Finlandia
- Edge computeISO 27001 · SOC 2Węzły przekierowań (odbierają adresy IP odwiedzających)USA (Ashburn) + Singapur
- Dostarczanie e-mailiE-mail transakcyjnyUE + USA
- PłatnościPłatności kartą (Paddle poza Ukrainą, monobank na Ukrainie)UK / UE / UA
- CDN + WAFISO 27001 · SOC 2DNS, proxy i CAPTCHA; dostawcy czatu na żywo, AI, SSO i reputacji URL są na pełnej liścieGlobalnie · routing w UE
Postawa zgodności
Gdzie jesteśmy w sprawach frameworków, o które pytają klienci.
Każdy wiersz mówi, co działa dziś, a co jest jeszcze w toku.
ISO 27001
Brak certyfikacji. Pracujemy nad ISO 27001; nie wydano żadnego certyfikatu i nie ma publicznej daty audytu.
SOC 2 Type II
Przygotowanie do audytu w toku; okres obserwacji planowany na koniec 2026 do 2027. Nie wydano jeszcze raportu SOC 2.
GDPR
DPA ze standardowymi SCC dostępna na życzenie, publiczna lista podprocesorów. Nie każdy przepływ danych ogranicza się do UE: zob. politykę prywatności.
HIPAA-ready
BAA dostępna na Business+; dziennik audytu i kontrola dostępu są wdrożone. Warunki prawne określa sama BAA.
EU residency
Główna baza danych, analityka i kopie zapasowe są w UE. Węzły przekierowań w USA i Singapurze przetwarzają żądania odwiedzających, więc transfery poza UE mają miejsce.
Encryption
TLS w tranzycie; szyfrowane kopie zapasowe poza siedzibą. BYOK nie jest jeszcze dostępny.
FAQ zgodności
Pytania, które procurement nieustannie do nas pisze.
Czy podpisujecie DPA?
Tak. Nasza standardowa DPA zawiera SCC UE. Nie jest jeszcze dostępna do pobrania ani akceptowana przy zakupie: poproś o podpisaną kopię pod adresem [email protected]. Indywidualne poprawki są dostępne na Business i Enterprise.
Ilu macie sub-procesorów?
Trzynastu, nie wszyscy z siedzibą w UE: hosting (UE i USA), edge przekierowań (USA, Singapur), kopie zapasowe, e-mail transakcyjny, płatności (Paddle, monobank, opcjonalnie Coinbase), czat na żywo, AI, SSO, CAPTCHA/DNS, reputacja URL oraz offline'owy zbiór danych geolokalizacyjnych. Pełna lista z nazwami, lokalizacją i celem jest na /legal/subprocessors.
Czy pinning regionu jest dostępny w każdym planie?
Jeszcze nie. Każdy workspace jest obsługiwany z tej samej infrastruktury (główna w UE, węzły przekierowań także w USA i Singapurze). Przypinanie workspace'a do US East lub Azji i Pacyfiku jest planowane, nie wdrożone i nie jest dziś oferowane w żadnym planie.
Jaki jest czas obsługi DSAR?
30 dni na każdym planie (jeden miesiąc wg RODO). Wnioski wysyła się na [email protected] i obsługuje je nasz zespół; nie ma trybu przyspieszonego ani publicznego API dla wniosków. Pakiety dostępu to archiwum zip z plikami CSV; zdarzenia kliknięć nie są jeszcze uwzględniane.
Jak działają BAA dla HIPAA?
BAA tylko na Business+. Dziennik audytu i kontrola dostępu są takie same jak w domyślnym poziomie. Napisz na [email protected], aby zacząć.
Czy istnieje opcja self-host?
W repozytorium istnieje chart Helm dla Kubernetes. Warunki licencji i obsługiwany model self-hostingu są ustalane w umowie; skontaktuj się z [email protected], zanim zaczniesz polegać na self-hostingu.
Jak powiadamiacie o zmianach sub-procesorów?
Dodanie lub zmiana podprocesora uruchamia 30-dniowe powiadomienie przez baner w aplikacji i e-mail do każdego administratora workspace'a. Klienci mogą zgłosić sprzeciw przed rozpoczęciem przetwarzania. Zmiany są odzwierciedlane na /legal/subprocessors.
Gdzie publikujecie incydenty i uptime?
Aktualny status, ostatnie incydenty i pełne post-mortemy na /status. O naruszeniach ochrony danych osobowych powiadamiamy dotkniętych klientów zgodnie z RODO i DPA.
Gdzie szukać dalej
Zacznij tutaj, jeśli oceniasz nas w procesie zakupowym.
Komu udostępniamy dane, gdzie się znajdują i dlaczego.
Podpisz przed przetwarzaniem danych osobowych z EU.
Co zbieramy (w tym adresy IP odwiedzających), gdzie to przechowujemy, retencja.
Architektura i praktyki bezpieczeństwa.
Uptime na żywo, ostatnie incydenty, post-mortem.
Kontakt
Masz pytanie o bezpieczeństwo?
[email protected] - zgłoszenia podatności (dostępny PGP). [email protected] - SOC 2 / ISO / DPA. Staramy się odpowiadać w ciągu jednego dnia roboczego.
Bezpieczeństwo
Zgłoszenia podatności, security.txt, klucz PGP na życzenie. Staramy się odpowiadać w ciągu jednego dnia roboczego.
[email protected]Compliance
Wnioski SOC 2 / ISO, kontr-podpis DPA, powiadomienia o sub-procesorach, proces BAA dla HIPAA.
[email protected]Gotowi, gdy gotowe jest procurement.
DPA na życzenie, publiczna lista podprocesorów, dziennik audytu na każdym planie. Zacznij za darmo lub porozmawiaj z działem sprzedaży o kwestionariuszu bezpieczeństwa.