უსაფრთხოება და ნდობა

• მინიმიზაცია: ვაგროვებთ მხოლოდ იმას, რაც ვინაობის დადასტურებისთვისაა საჭირო; webhook-ში და ბრაუზერში პერსონალური მონაცემები არ გადაიცემა — მხოლოდ სტატუსი.
• შენახვის ვადა: სურათები და ამოკითხული მონაცემები ავტომატურად იშლება კომპანიის მიერ განსაზღვრულ ვადაში.
• „უცნობი — განხილვაზე“: ავტომატური დადასტურება მხოლოდ ყველა შემოწმების გავლისას; წაუკითხავი ან საეჭვო შემთხვევა ადამიანთან მიდის (fail closed).
• საკუთარი ამოცნობა: დოკუმენტი მუშავდება ჩვენს სერვერებზე — მესამე მხარის ამოცნობის API-ს გარეშე.

• გადაცემისას — HTTPS (TLS 1.2 და უფრო ახალი), HSTS, მკაცრი Content-Security-Policy.
• შენახვისას — AES-256-GCM; თითო კომპანიის გასაღები იწარმოება მთავარი გასაღებიდან HKDF-ით (RFC 5869).
• პაროლები ინახება PBKDF2-ით; სესიები იხურება უმოქმედობისას, შესვლის მცდელობები იზღუდება.
• On-premise ვერსიაში მთავარი გასაღები კლიენტის გარემოშია; Windows-ზე — დამატებით DPAPI-ით დაცული.

• კაბინეტში შესვლისთვის სავალდებულოა ორფაქტორიანი ავთენტიფიკაცია (TOTP, RFC 6238).
• როლები ზღუდავს, ვინ ხედავს პერსონალურ მონაცემებს; ყოველი ნახვა აუდიტში იწერება.
• აუდიტის ჩანაწერები ერთმანეთზეა მიბმული (ჯაჭვი), ამიტომ ჩანაწერის შეუმჩნეველი შეცვლა ან წაშლა შეუძლებელია.
• webhook-ები იგზავნება მხოლოდ HTTPS-ზე და ხელმოწერილია HMAC-SHA256-ით დროის ნიშნულით.

• ICAO Doc 9303 — მანქანით წაკითხვადი დოკუმენტები და საკონტროლო ციფრები;
• ISO 3166-1 — ქვეყნების კოდები;
• NIST FIPS 197 / SP 800-38D — AES-GCM დაშიფვრა;
• RFC 6238 (TOTP), RFC 2104 (HMAC), RFC 5869 (HKDF);
• OWASP ASVS — აპლიკაციის უსაფრთხოების მოთხოვნები (დონე 2);
• GDPR და საქართველოს კანონი „პერსონალურ მონაცემთა დაცვის შესახებ“ — მონაცემების დამუშავების პრინციპები.

ჩამონათვალი აღნიშნავს სპეციფიკაციებს, რომელთა მოთხოვნებითაც აგებულია პლატფორმის შესაბამისი კომპონენტები; ის არ წარმოადგენს მესამე მხარის სერტიფიცირების განცხადებას.

ბანკებისა და მკაცრად რეგულირებადი ორგანიზაციებისთვის IDmatic სრულად განთავსდება კლიენტის სერვერზე ან დახურულ ქსელში — იგივე ფუნქციონალით, რაც ღრუბელში. ამ შემთხვევაში დოკუმენტები და პერსონალური მონაცემები კლიენტის პერიმეტრს არ ტოვებს.

თუ აღმოაჩინეთ უსაფრთხოების შესაძლო ხარვეზი, გთხოვთ, შეგვატყობინოთ: ოპერატორის საკონტაქტო ელფოსტაზე (იხ. ზემოთ) (თემაში მიუთითეთ „Security“). მოგვაწოდეთ ხარვეზის აღწერა და გამეორების ნაბიჯები.

• ნუ გამოიყენებთ ხარვეზს იმაზე მეტად, ვიდრე მისი დადასტურებისთვისაა საჭირო, და ნუ შეეხებით სხვის მონაცემებს;
• ნუ გაასაჯაროებთ ინფორმაციას, სანამ ხარვეზს არ აღმოვფხვრით;
• კეთილსინდისიერად მოქმედ მკვლევარს შეტყობინების მიღებას დავუდასტურებთ და აღმოფხვრის შესახებ ვაცნობებთ.