Начать
← Выберите ракурс, который подходит вашей команде
Для compliance-команд

Сокращатель, против которого ваш DPO не возразит.

Вы измеряете время ответа DSAR, свежесть SOC 2-доказательств и сколько vendor-вопросов стоит sales-цикл. Elido - шортнер, против которого ваш DPO не возразит.

Начать бесплатноСвязаться с отделом продаж
  • EU-default регион для каждого рабочего пространства
  • Журнал аудита только для добавления, с хеш-цепочкой на уровне приложения
  • 13 субобработчиков, все указаны публично с местоположением + целью
  • DSAR API с SLA 30 дней (5 дней ускоренно на Business)
Where data is processed
no region selection yet
  • EU regioneu · primary origin
    EU residency · default

    Primary database, analytics store and backups are hosted here (Hetzner, Germany and Finland).

  • US Eastus-east · redirect edge
    Edge node

    Redirect node in Ashburn. Processes visitor requests and IP addresses; no per-workspace region selection.

  • Asia-Pacificapac · redirect edge
    Edge node

    Redirect node in Singapore. Processes visitor requests and IP addresses; no per-workspace region selection.

No cross-region replication for hot dataaudit · clicks · backups
13
Субпроцессоры
ЕС
Размещение основных данных
<30д
SLA для DSAR
730 дн.
Срок хранения аудита

Журнал аудита только с добавлением

Каждое изменение состояния. Актор, IP, diff до/после, источник.

Приложение только добавляет записи в таблицу аудита, и каждая запись связана хеш-цепочкой с предыдущей, поэтому подмена обнаруживается. Это защита на уровне приложения, а не ограничение прав в базе данных. Срок хранения по умолчанию 730 дней, настраивается для каждого рабочего пространства.

  • Идентификатор актора
    ID пользователя или сервисный принципал, плюс исходный IP и ID запроса
  • Diff до/после
    Структурированный JSON-diff изменённой строки - не просто текстовая строка журнала
  • SIEM-файрхоз
    HMAC-подписанный вебхук в Splunk / Datadog / ELK в реальном времени
  • Защита от подделки
    Записи с хеш-цепочкой и эндпоинт проверки цепочки
Обзор безопасности →
Audit entry · evt_8c41a7
domain.claim · ws_8a2f
Timestamp (UTC)
2026-05-08T11:42:18Z
Source IP
203.0.113.42 · DE
Source
dashboard · req_a4f9c1
  {    "domain": "go.acme.eu",-   "status": "pending_dns",+   "status": "verified",-   "tls_mode": "none",+   "tls_mode": "on_demand",+   "verified_at": "2026-05-08T11:42:18Z",    "workspace_id": "ws_8a2f"  }
Event type
domain.claim
Diff lines
+3 / -2
Retention
730 days (default)
Append-only · enforced by database GRANTStreamed to SIEM

Запросы субъектов данных

DSAR, а не тикет в поддержку. API-вызов, подписанный пакет, счётчик SLA.

Вы получаете запрос субъекта от вашего конечного пользователя. Вы пересылаете его через дашборд или API как запрос controller-on-behalf-of-subject - Elido аутентифицирует контроллера (вас), а не субъекта. Пакет - подписанный ZIP: запись идентификатора, ссылки, записи журнала аудита, где субъект является актором, квитанции биллинга, если субъект является владельцем рабочего пространства. Стандартный SLA - 30 дней; ускоренный Business возвращает в течение 5 рабочих дней.

  1. Step 1

    Subject request

    End user → controller (you)

    Subject contacts you. You authenticate them in your own product, not in Elido.

  2. Step 2

    DSAR API call

    POST /v1/dsar

    Forward as a controller-on-behalf request with subject email + request type (export / erase).

  3. Step 3

    Workspace bundle

    signed zip · JSON + CSV

    Identity, links, audit-log entries where subject is actor, billing if owner, anonymised click metadata.

  4. Step 4

    SLA

    30 days · 5 days expedited

    Standard SLA on every plan; Business expedited tier returns inside 5 business days.

Читать DPA →Справочник эндпоинта DSAR → API

Тринадцать субобработчиков, список публичный

Хостинг, edge, резервные копии, почта, платежи, чат, ИИ, SSO, CAPTCHA, проверки URL. Тринадцать поставщиков. Это весь список.

Полный поименный список с местонахождением поставщика, целью обработки, категориями данных и URL-ссылкой на DPA находится на /legal/subprocessors. Добавление или замена субпроцессора вызывает 30-дневное уведомление каждому администратору рабочего пространства через внутренний баннер и email до начала обработки, чтобы клиенты могли возразить.

Sub-processor fan-out · workspace data flow
13 vendors · public list
Your workspace
ws_xxxx
EU region (default)
  • Compute & hostingISO 27001
    Primary app + edge infrastructure
    EU · Germany + Finland
  • Edge computeISO 27001 · SOC 2
    Redirect edge nodes
    US + APAC
  • Email deliverySOC 2 Type II
    Transactional email
    EU (opt-out for EU-only)
  • PaymentsPCI DSS L1
    Card acquiring
    EU
  • CDN + WAFISO 27001 · SOC 2
    Marketing proxy (not redirect path)
    Global · EU routing
Adding a vendor triggers a 30-day customer notice/legal/subprocessors
Посмотреть полный список субпроцессоров →Trust Center → позиция и инциденты

Что можно поместить в procurement-дек

  • EU-default регион для каждого рабочего пространства
  • Журнал аудита только для добавления, с хеш-цепочкой на уровне приложения
  • 13 субобработчиков, все указаны публично с местоположением + целью
  • DSAR API с SLA 30 дней (5 дней ускоренно на Business)
  • SOC 2 в подготовке, ISO 27001 не сертифицирован
  • BAA, готовый к HIPAA, на Business+ с уже подключёнными защитными мерами

Как комплаенс реализован в продукте

Большинство сервисов сокращения отвечают на вопросы о комплаенсе кратким обзором и анкетой поставщика. Функции ниже - это то, что реально реализовано в коде, а не просто обещания в презентации для закупок.

Хранение данных
01

Основные данные размещены в ЕС

Основная база данных, аналитическое хранилище, метаданные ссылок и резервные копии размещены в ЕС (Hetzner, Германия и Финляндия). Наша сеть редиректов также работает в Hetzner Ashburn (США) и OVH Сингапур, поэтому запросы посетителей, их IP-адреса, user agent и referrer обрабатываются там, а эти узлы могут хранить кешированные или реплицированные копии данных ссылок. Выбор региона для отдельного рабочего пространства пока недоступен: каждое рабочее пространство обслуживается из одной и той же инфраструктуры. Резервные копии шифруются перед загрузкой.

Журнал аудита
02

Лог всех изменений состояния только для добавления

Настройки рабочего пространства, выдача и ротация API-ключей, приглашения участников и смена ролей, привязка собственных доменов, изменения брендинга, смена тарифа, а также создание, изменение и удаление ссылок - каждое изменение состояния попадает в аудит-лог с автором, временем UTC, diff «до/после» в JSON, исходным IP и идентификатором запроса. Хранение по умолчанию составляет 730 дней и настраивается для каждого рабочего пространства. События можно передавать в SIEM (Splunk, Datadog, ELK) через подписанный вебхук. Приложение только добавляет записи в таблицу аудита, и каждая запись связана хешем с предыдущей, поэтому подмену можно обнаружить через endpoint проверки. Это защита на уровне приложения, а не ограничение прав в базе данных.

Прозрачность субпроцессоров
03

Тринадцать поставщиков, все указаны публично

Мы используем тринадцать субобработчиков, и список опубликован полностью: хостинг и база данных (ЕС - Германия + Финляндия, плюс edge-узел в США), edge редиректов (США и Сингапур), зашифрованные резервные копии, транзакционная почта, платежи (Paddle за пределами Украины, monobank в Украине), живой чат, функции ИИ, корпоративный SSO, CAPTCHA и DNS/прокси, проверка репутации URL и офлайн-набор данных геолокации. Полный поимённый список с местоположением поставщика и целью обработки размещён на /legal/subprocessors. Добавление или замена субобработчика влечёт уведомление за 30 дней каждому администратору рабочего пространства через баннер в приложении и email до начала обработки, чтобы клиенты могли возразить.

DSAR и права субъектов данных
04

Экспорт и удаление через API, а не через тикет

DSAR API возвращает пакет по субъекту в JSON и CSV в подписанном zip: запись идентичности, ссылки субъекта, записи аудит-лога, где субъект является автором действия, а также платёжные квитанции и историю тарифов для владельцев рабочих пространств. Запрос на удаление обезличивает запись аккаунта (email и имя), завершает сессии и убирает идентичность входа; платёжные записи сохраняются там, где этого требует закон. События кликов посетителей коротких ссылок (вместе с IP-адресами) пока не включаются автоматически; пришлите нам короткую ссылку, и мы обработаем запрос индивидуально. Стандартный срок ответа - 30 дней.

Статус соответствия
05

SOC 2 в подготовке, готовность к HIPAA

SOC 2 в подготовке: аудиторский отчёт не выпущен, и мы не заявляем о сертификации. ISO 27001 не сертифицирован. Набор контролей, который мы готовим, включает пересмотры доступа, тикеты управления изменениями, регулярное сканирование уязвимостей, учения по инцидентам и проверки поставщиков. Готовность к HIPAA на Business+ означает, что мы подписываем BAA, где Elido выступает business associate, а меры защиты уже настроены: шифрование в покое и при передаче, аудит-лог только на добавление, RBAC, API-ключи с ограниченными правами и задокументированная 72-часовая процедура уведомления о нарушениях. Сам HIPAA - отраслевая самоаттестация, а аудиторы просят именно BAA вместе с мерами защиты. Изменения в безопасности появляются в /changelog в день выпуска.

Стек, который вы будете подтверждать

  • EU-residency
  • GDPR DPA
  • SOC 2 (в подготовке)
  • ISO 27001 (запланировано)
  • Audit log + SIEM firehose
  • DSAR API

Что измеряет ваш DPO

Количество субпроцессоров
13, список публичный
Ответ DSAR
Менее 30 дней
Хранение audit log
730 дней по умолчанию

Что меняется, когда покупателем является отдел комплаенса

Если ваш DPO проверяет поставщика, он задаст именно эти вопросы. Честные ответы по трем вариантам.

ВозможностьElidoBitly EnterpriseОбычный сервис сокращения
Регион хранения данных по умолчаниюРегион ЕС для каждого рабочего пространстваСША по умолчанию; ЕС по запросу в EnterpriseРегион зависит от уровня тарифного плана
Зависимость от DPF / Schrems IIОсновные данные в ЕС; узел edge в США и субпроцессоры из США указаныВ списке DPF; полагается на механизмы передачиСмешанная; зависит от субпроцессоров
Количество субпроцессоров5, все указаны публично20+ на разных уровнях плановНе опубликовано
Подписание DPAДоступен по запросуРучное подписание по запросуПо запросу, только на платных тарифах
Срок хранения журнала аудита730 дней по умолчанию, настраивается1 год по умолчанию30-90 дней
Стриминг журнала аудита → SIEMПоток через webhook в реальном времениТолько ежедневный экспортЗагрузка вручную
Выполнение DSARAPI; стандартно <30д, ускоренно <5дТикет в поддержку; 30дТикет в поддержку; SLA варьируется
Поддержка BAA / HIPAAДа, на Business+Дополнение для EnterpriseНет
SOC 2 / ISO 27001SOC 2 в подготовке; ISO 27001 не сертифицированОба сертификата, подтвержденыНи одного

Частые вопросы от отдела закупок

Где именно хранятся наши данные?

В ЕС: основная база данных, аналитическое хранилище, метаданные ссылок и резервные копии. Узлы редиректов также работают в США (Ashburn) и Сингапуре и обрабатывают там запросы посетителей. Выбор региона для отдельного рабочего пространства пока недоступен.

Входите ли вы в сферу действия SOC 2 / ISO 27001?

SOC 2 в подготовке, отчёт не выпущен. ISO 27001 не сертифицирован. Мы не заявляем ни о том, ни о другом. Актуальное состояние отслеживает Trust Center на /trust.

Подписываете ли вы DPA?

Доступен по запросу на [email protected]; EU SCC включены. DPA ссылается на наш список субпроцессоров на /legal/subprocessors как на живой документ; об изменениях субпроцессоров мы уведомляем за 30 дней. Если нужны правки, свяжитесь с нами.

Сколько субпроцессоров задействовано?

Тринадцать, и не все в ЕС: хостинг и база данных (Hetzner, DE/FI, плюс узел edge в США в Ashburn), edge редиректов (OVH, Сингапур), зашифрованные резервные копии (Backblaze), транзакционная почта, платежи (Paddle вне Украины, monobank в Украине, Coinbase Commerce только если включён), живой чат, функции ИИ, корпоративный SSO, CAPTCHA и DNS/прокси, проверка репутации URL и офлайн-набор геолокационных данных. Полный именной список с локацией и назначением каждого - на /legal/subprocessors. Добавление субпроцессора запускает 30-дневное уведомление клиентов.

Можем ли мы использовать свои HSM / KMS для ключей шифрования?

Не на multi-tenant SaaS: ключи, управляемые клиентом, пока недоступны. Резервные копии базы данных шифруются до того, как покидают наши серверы. Self-hosting доступен по договору (Enterprise); пишите на [email protected].

Какой SLA для уведомления об утечке?

Подтвержденные утечки персональных данных: уведомление клиента в течение 24 часов, уведомление регулятора в течение 72 часов (GDPR ст. 33). Уведомление охватывает то, что нам известно на тот момент; мы не ждем завершения полной экспертизы. Процесс описан в нашем Центре доверия на /trust/incident-response.

Выполняете ли вы запросы DSAR от конечных пользователей (субъектов данных), а не только от нас как от клиента?

Мы действуем по инструкциям контролера (вас, клиента). Конечные пользователи связываются с вами; вы пересылаете запрос через панель управления или API, и мы его выполняем. Мы не принимаем DSAR напрямую от конечных пользователей, так как у нас нет способа аутентифицировать их как субъектов вашего рабочего пространства - эта задача лежит на вас.

Может ли администратор Elido изменить журнал аудита?

Не через продукт. Приложение только добавляет записи в таблицу аудита, и каждая запись связана хешем с предыдущей, поэтому подмену можно обнаружить через endpoint проверки. Это защита на уровне приложения, а не ограничение прав в базе данных: кто-то с прямым доступом к базе мог бы изменить строки, но цепочка перестала бы проходить проверку. Удаление по истечении срока хранения (730 дней по умолчанию) автоматическое и записывает метасобытие «retention purge».

Есть ли у вас публичный security.txt / политика ответственного разглашения?

Да - security.txt на /.well-known/security.txt; политика скоординированного раскрытия на /trust/disclosure. Об уязвимостях сообщайте на [email protected]. Платная программа bug bounty на HackerOne настраивается и пока не запущена.

Что происходит по окончании контракта? Как нам получить свои данные?

Полный экспорт данных возможен в любое время через API или по разовому запросу в поддержку. Вы получаете архив JSON + CSV, содержащий ссылки, события кликов (сырые или агрегированные, на ваш выбор), журнал аудита, список участников, настройки и брендинг. После окончания контракта мы храним данные 30 дней для защиты от случайной отмены, затем полностью удаляем из основной базы, реплик и бэкапов. Мы можем выдать письменное подтверждение удаления, если того требует ваш DPA.

Чтение для DPO

Trust Center

Субпроцессоры, DPA, security.txt - публичная версия каждого утверждения на этой странице.

Соглашение об обработке данных

GDPR DPA доступен по запросу. Стандартные EU SCC включены.

Субпроцессоры

Тринадцать поставщиков, публичный список с местоположением и целью в каждой строке.

Безопасность

Шифрование, контроль доступа, раскрытие уязвимостей, сроки реагирования на инциденты.

SCIM и SSO

SAML / OIDC под управлением WorkOS + синхронизация каталога SCIM; депровизионинг в течение минут.

API и SDK

Эндпоинты DSAR, стриминг журнала аудита, скоупованные API-ключи - типизированные для TS / Py / Go.

Не уверены, какой ракурс подходит?

Большинство команд начинают с одного и развиваются до всех четырех. Наша команда продаж может обсудить ваш конкретный стек за 20 минут.

Начать бесплатноСвязаться с отделом продаж