Знаки доверия и compliance-аттестации

1. Назначение документа

На этой странице собраны независимые подтверждения соответствия сервиса Ghostless требованиям российского законодательства и международным best practice по защите информации. Все ссылки и факты можно проверить независимо.

2. 152-ФЗ — Закон «О персональных данных»

2.1 Локализация персональных данных в РФ (ст. 18 ч. 5)

Все базы данных, журналы операций, бэкапы и инфраструктура размещены исключительно на территории Российской Федерации (Санкт-Петербург, аккредитованный российский провайдер — обязательная disclosure согласно ст. 18.1 ч. 2 п. 7 152-ФЗ опубликована на /processors/).

ПДн граждан РФ не передаются за рубеж ни в каком виде, включая обезличенные.

2.2 Политика обработки ПДн (ст. 18.1 ч. 2)

Опубликована в неограниченном доступе: /privacy/. Содержит все обязательные пункты согласно ч. 2 ст. 18.1:

• Цели обработки;
• Категории ПДн и категории субъектов;
• Способы обработки;
• Сроки хранения;
• Меры безопасности (отдельный документ — /security/);
• Передача третьим лицам — список обработчиков /processors/;
• Права субъекта (ст. 14, 21);
• Контактная информация (privacy@ghostless.ru).

2.3 Договор-поручение для клиентов-операторов (ст. 6 ч. 3)

Опубликован: /dpa/. Для клиентов subscription consent-widget — мы выступаем обрабатывающим лицом по поручению клиента (он Оператор для своих посетителей).

2.4 Технические и организационные меры (ст. 19 + ПП РФ № 1119)

Публичная Политика безопасности: /security/. Описывает TLS, авторизацию, изоляцию, мониторинг, журналирование 5 лет, incident response, responsible disclosure.

3. Технические attestations

3.1 Качество TLS / SSL — Qualys SSL Labs A+

Оценка: A+ (максимальная по 100-балльной шкале SSL Labs).

Независимый отчёт: ssllabs.com/ssltest/analyze.html?d=ghostless.ru

Поддержка TLS 1.3, HSTS с длительным сроком, EC 256 bits (SHA384withECDSA). PQC (post-quantum) — в планах когда стандарт стабилизируется.

3.2 HTTP Security Headers

Применён полный набор современных security-заголовков:

• Strict-Transport-Security с includeSubDomains и preload
• Content-Security-Policy с whitelist'ом только наших доменов
• X-Frame-Options: DENY (защита от clickjacking)
• X-Content-Type-Options: nosniff
• Referrer-Policy: strict-origin-when-cross-origin
• Permissions-Policy — camera/microphone/geolocation/payment/usb/interest-cohort отключены
• Cross-Origin-Opener-Policy: same-origin

Независимая проверка: Mozilla Observatory · securityheaders.com

3.2 Покрытие SAN-сертификата

Все домены экосистемы покрыты одним сертификатом:

• ghostless.ru + www.ghostless.ru
• api.ghostless.ru (API-домен)
• widget.ghostless.ru (CDN для виджета)
• score.ghostless.ru (антибот score endpoint)

4. Финансовые операции

4.1 Платёжный агент PCI DSS Level 1

Приём платежей по подписке осуществляется через ООО «Робокасса» (ИНН 6320005565) — сертифицированного платёжного оператора.

Полные платёжные реквизиты карт (PAN, CVV) не передаются и не хранятся Оператором сервиса Ghostless. Сервис получает только обезличенный токен повторного списания.

4.2 Фискализация по 54-ФЗ

Чеки об оплате формирует Robokassa Pro Fiscal Service автоматически после каждого успешного списания (включая рекуррентные). Чек уходит на email Заказчика в течение 5 минут.

5. Бизнес-надёжность

5.1 ЕГРИП

Регистрация ИП в Едином государственном реестре индивидуальных предпринимателей: ОГРНИП 319312300015628 от 31.01.2019.

Проверить: https://egrul.nalog.ru/ → ввести ИНН 312822499408.

5.2 ФНС «Прозрачный бизнес»

Сервис проверки добросовестности контрагентов от Федеральной налоговой службы: https://pb.nalog.gov.ru/

Проверить: ввести ИНН 312822499408 — показывает отсутствие задолженностей, отсутствие признаков фирмы-однодневки, регулярную сдачу отчётности.

5.3 Налоговый режим

Упрощённая система налогообложения (УСН). НДС не облагается на основании гл. 26.2 НК РФ. Отчётность сдаётся через сертифицированный российский сервис электронной отчётности.

6. Self-attestations (наши собственные обязательства)

Эти пункты не имеют внешнего сертификатора, но мы публично заявляем:

7. Что мы делаем при инциденте безопасности

Согласно правовой позиции по делу № А40-293790/2025 (Арбитражный суд Московского округа) — кибератаки в интернете не являются форс-мажором, защита от них — обязанность Оператора. Поэтому мы публично фиксируем временные показатели реагирования:

Полная процедура и обязательства — см. /security/ §3.3 и Соглашение об уровне информационной безопасности.

Сообщить об инциденте: security@ghostless.ru.

8. Планируемые сертификации

Эти статусы в процессе получения / планируются после первой волны клиентов:

• Реестр операторов ПДн (РКН) — форма Р20001 в работе. После получения регистрационного номера он будет добавлен в футер и реквизиты.
• РУБДА (Российский Союз Брокеров Данных) — рассматриваем членство для отраслевого подтверждения.

9. Связанные документы

• Политика обработки персональных данных — основной compliance-документ по ст. 18.1
• Политика безопасности — технические меры по ст. 19 + ПП РФ № 1119
• Соглашение об уровне информационной безопасности — конкретные обязательства по защите + incident response timeline
• Список обработчиков ПДн — третьи лица по ст. 18.1 ч. 2 п. 7
• Публичная оферта — условия услуг по ГК РФ ст. 437
• Договор-поручение — DPA для клиентов виджета по ст. 6 ч. 3

10. Запустите проверки сами

Все наши attestations — внешние независимые сервисы. Прогоните ghostless.ru через них и сравните результаты:

11. Контакты для проверки

• Privacy / compliance: privacy@ghostless.ru
• Security incidents: security@ghostless.ru
• Поддержка: @ghostlessbot в Telegram