Довіра, зафіксована.
Elido - EU-хостинг за замовчуванням, GDPR-friendly, з audit trail з коробки. Нижче ми розділяємо те, що діє сьогодні, і те, що заплановано або в процесі, та позначаємо кожен пункт.
- Регіон ЄСEUEU residency · за замовчуванням
Де сьогодні розміщені основна база даних, аналітичне сховище та резервні копії для кожного робочого простору.
- Схід СШАUSЗаплановано
Заплановано. Не реалізовано: наразі робочі простори не можна закріпити тут.
- Азійсько-Тихоокеанський регіонAPACЗаплановано
Заплановано. Не реалізовано: наразі робочі простори не можна закріпити тут.
Що «довіра» означає у продуктових термінах
Що ми маємо на увазі під довірою
Кожен пункт відповідає чомусь конкретному в продукті, DPA або аудит-лозі.
EU-residency за замовчуванням
База даних, аналітика та резервні копії розміщені в ЄС. Вузли редиректу в США (Ешберн) і Сінгапурі обробляють запити відвідувачів. Закріплення за робочим простором за сходом США чи Азійсько-Тихоокеанським регіоном поки недоступне.
Audit trail на все
Налаштування воркспейсу, зміни ролей, ротації ключів, створення/видалення посилань, експорт. Кожна подія має who/when/what - експортується.
Read-only за замовчуванням для AI
AI-інтеграції отримують scoped, ротовані ключі. Запис/видалення - окреме явне налаштування з аудитом.
Ключі під керуванням клієнта (заплановано)
Шифрування з власним ключем (BYOK) поки недоступне. Резервні копії бази даних шифруються до того, як залишають наші сервери.
Anti-abuse pipeline
Кожне посилання проганяється через композитний сканер (URLhaus + Google Safe Browsing + евристика) на створенні і ще раз - повторним воркером.
Прозорість sub-processors
Повний список, локація, призначення. Ми зобов'язуємося сповіщати про додавання за 30 днів.
Append-only audit log
Кожна зміна стану записується.
Застосунок лише додає записи до таблиці аудиту (шляху оновлення немає), і кожен запис пов'язаний хеш-ланцюгом із попереднім, тож втручання можна виявити через адміністративний ендпоінт перевірки. Це рівень застосунку, а не обмеження прав доступу в базі даних. Записи, старші за вікно зберігання, щодня видаляються: 730 днів за замовчуванням, налаштовується для кожного робочого простору від 30 днів (наприклад, 6 років для робочих просторів HIPAA).
- Особа ініціатораID користувача або сервісного principal, IP-адреса джерела і request ID
- Diff до/післяСтруктурований JSON-diff зміненого рядка - не просто текстовий запис лога
- Потік до SIEMWebhook з HMAC-підписом у Splunk / Datadog / ELK у реальному часі
- Захист від підробкиЗаписи, пов'язані хеш-ланцюгом, з ендпоінтом перевірки ланцюга
{ "domain": "go.acme.eu",- "status": "pending_dns",+ "status": "verified",- "tls_mode": "none",+ "tls_mode": "on_demand",+ "verified_at": "2026-05-08T11:42:18Z", "workspace_id": "ws_8a2f" }Запити суб’єктів даних
Права суб’єктів через API.
Надсилайте запити на доступ і видалення на [email protected]; наша команда реєструє кожен із них і відстежує 30-денний термін. Самообслуговування чи публічного API для запитів суб'єктів даних поки немає. Пакет доступу - це zip із CSV-файлами: запис облікового запису, членство в робочих просторах, власні робочі простори, посилання, записи аудит-лога, де суб'єкт є ініціатором, та сесії. Видалення наразі анонімізує email та ім'я облікового запису й завершує сесії; події кліків (які містять IP-адреси відвідувачів) поки не експортуються й не видаляються автоматично. Прискореного тарифу немає.
- Крок 1
Запит суб’єкта
Кінцевий користувач → контролер (ви)Суб’єкт звертається до вас. Ви аутентифікуєте його у власному продукті, не в Elido.
- Крок 2
Запит зареєстровано
Надішліть запит листом із email облікового запису та типом запиту (export / erase); наша команда реєструє його та перевіряє особу.
- Крок 3
Бандл робочого простору
zip · CSVОбліковий запис, членство, власні робочі простори, посилання, записи аудит-лога, де суб'єкт є ініціатором, сесії. Події кліків поки не включено.
- Крок 4
SLA
30 днівМісячний термін GDPR, відстежується для кожного запиту на кожному тарифі.
Тринадцять субпідрядників, публічно перелічених
Тринадцять вендорів. Опубліковані.
Повний список з розташуванням вендора, цілями обробки, категоріями даних і посиланням на DPA знаходиться на /legal/subprocessors. Додавання або заміна субпідрядника запускає 30-денне сповіщення всім адміністраторам через in-app банер і email до початку обробки, щоб клієнти могли заперечити.
- Обчислення та хостингISO 27001Основна інфраструктура додатку + edgeEU · Німеччина + Фінляндія
- Крайові обчисленняISO 27001 · SOC 2Вузли редиректу (отримують IP-адреси відвідувачів)США (Ешберн) + Сінгапур
- Доставка поштиТранзакційна поштаЄС + США
- ПлатежіПлатежі картками (Paddle за межами України, monobank в Україні)Великобританія / ЄС / UA
- CDN + WAFISO 27001 · SOC 2DNS, проксі та CAPTCHA; вендори живого чату, ШІ, SSO та перевірки репутації URL - у повному спискуГлобально · EU-маршрутизація
Compliance-позиція
Де ми по фреймворках, про які запитують клієнти.
Кожен рядок каже, що діє сьогодні, а що ще в процесі.
ISO 27001
Не сертифіковано. Ми працюємо над ISO 27001; сертифікат не видано, а дата аудиту не оприлюднена.
SOC 2 Type II
Підготовка до аудиту триває; період спостереження заплановано на кінець 2026 - 2027 рік. Звіт SOC 2 поки не видано.
GDPR
DPA зі стандартними SCC доступний за запитом, публічний список субпідрядників. Не всі потоки даних лише в ЄС: див. політику конфіденційності.
HIPAA-ready
BAA доступний на Business+; аудит-лог і контроль доступу реалізовано. Юридичні умови визначені в самому BAA.
EU residency
Основна база даних, аналітика та резервні копії розміщені в ЄС. Вузли редиректу в США та Сінгапурі обробляють запити відвідувачів, тож передача за межі ЄС відбувається.
Encryption
TLS під час передачі; зашифровані резервні копії поза майданчиком. BYOK поки недоступний.
Compliance FAQ
Питання, які procurement продовжує нам надсилати.
Ви підписуєте DPA?
Так. Наш стандартний DPA містить EU SCC. Його ще не можна завантажити чи прийняти під час оформлення замовлення: запросіть підписану копію на [email protected]. Кастомні правки доступні на Business і Enterprise.
Скільки у вас субпідрядників?
Тринадцять, не всі з ЄС: хостинг (ЄС і США), edge редиректу (США, Сінгапур), резервні копії, транзакційна пошта, платежі (Paddle, monobank, опціонально Coinbase), живий чат, ШІ, SSO, CAPTCHA/DNS, перевірка репутації URL та офлайн-набір геолокації. Повний іменований список із розташуванням і метою на /legal/subprocessors.
Чи доступний пін регіону на кожному тарифі?
Поки ні. Усі робочі простори обслуговуються з тієї самої інфраструктури (основна в ЄС, вузли редиректу також у США та Сінгапурі). Закріплення за сходом США чи Азійсько-Тихоокеанським регіоном заплановано, але не реалізовано і сьогодні не пропонується на жодному тарифі.
Які терміни обробки DSAR?
30 днів на будь-якому тарифі (місяць за GDPR). Запити надсилаються на [email protected] і обробляються нашою командою; прискореного тарифу та публічного API для запитів поки немає. Пакети доступу - це zip із CSV-файлами; події кліків поки не включено.
Як працюють BAA для HIPAA?
BAA лише на Business+. Аудит-лог і контроль доступу такі ж, як на базовому тарифі. Напишіть на [email protected], щоб почати.
Чи є self-host?
У репозиторії є Helm-чарт для Kubernetes. Умови ліцензії та підтримувана модель self-hosting визначаються контрактом; зв'яжіться з [email protected], перш ніж покладатися на self-hosting.
Як ви сповіщаєте клієнтів про зміни субпідрядників?
Додавання або заміна субпідрядника запускає 30-денне сповіщення через in-app банер і email кожному адміністратору робочого простору. Клієнти можуть заперечити до початку обробки. Зміни відображаються на /legal/subprocessors.
Де ви публікуєте інциденти й uptime?
Живий статус, недавні інциденти і повні post-mortem на /status. Про порушення захисту персональних даних постраждалих клієнтів повідомляють, як того вимагають GDPR і DPA.
Куди дивитися далі
Починайте звідси, якщо оцінюєте нас для рішення про закупівлю.
Контакти
Питання щодо безпеки?
[email protected] для звітів про вразливості (PGP доступний). [email protected] для SOC 2 / ISO / DPA. Ми прагнемо відповісти протягом одного робочого дня.
Безпека
Звіти про вразливості, security.txt, PGP-ключ за запитом. Ми прагнемо відповісти протягом одного робочого дня.
[email protected]Compliance
Запити SOC 2 / ISO, зустрічний підпис DPA, сповіщення про субпідрядників, процес BAA для HIPAA.
[email protected]Готові, коли готовий procurement.
DPA за запитом, публічний список субпідрядників, аудит-лог на кожному тарифі. Почніть безкоштовно або поговоріть із sales щодо security-опитувальника.