Сигурност в JoyPDF

Моделът на сигурност на JoyPDF е принципно различен от традиционните cloud PDF инструменти. Вместо да качвате файловете си на отдалечен сървър за обработка, всички операции се изпълняват локално в браузъра ви чрез WebAssembly (WASM) и JavaScript.

Това означава, че чувствителните ви документи — договори, финансови отчети, медицински досиета, правни документи — никога не преминават през интернет. Остават на устройството от начало до край. Няма server-side съхранение, временен cloud cache и няма възможност server-side data breaches да засегнат файловете ви.

Тази архитектура елиминира цели категории рискове за сигурност:

• Без data-in-transit риск за файловете ви — никога не напускат sandbox-а на браузъра

• Без server-side съхранение означава нулев риск от cloud data leaks

• Без достъп от трети страни до съдържанието на документите ви

• Без остатъчни данни — след затваряне на таба processing данните се освобождават от паметта

Целият трафик към и от joypdf.app е криптиран с TLS 1.3 и силни cipher suites. Прилагаме HTTPS на всички endpoints и HTTP Strict Transport Security (HSTS) за предотвратяване на downgrade атаки.

DNS записите ни са защитени с DNSSEC и използваме Content Security Policies (CSP) за намаляване на cross-site scripting (XSS) и code injection атаки.

Security headers, които прилагаме, включват:

• `Strict-Transport-Security` — принуждава HTTPS

• `X-Content-Type-Options: nosniff` — предотвратява MIME type sniffing

• `X-Frame-Options: DENY` — предотвратява clickjacking

• `Referrer-Policy: strict-origin-when-cross-origin` — ограничава referrer leakage

• `Content-Security-Policy` — ограничава зареждането на ресурси

Когато изрично изберете AI функции (AI Summary, AI Translate, AI Agent), само извлеченият текст се изпраща на нашия AI processing partner чрез нашия secure API — никога оригиналният PDF файл, изображения или metadata.

Data flow за AI функциите е:

1. Текстът се извлича от PDF локално в браузъра ви

2. Извлеченият текст се изпраща чрез криптиран HTTPS към нашия API endpoint

3. Нашият API препраща заявката към AI model provider

4. AI отговорът се stream-ва обратно и се render-ва в браузъра ви

5. След завършване на заявката нито текст, нито отговор се съхраняват на нашите сървъри

Изрично забраняваме на AI providers да използват данните ви за model training. Това е contractually enforced.

Потребителската автентикация се управлява от Clerk, enterprise identity platform. Clerk предоставя:

• Secure password hashing с bcrypt

• Multi-factor authentication (MFA) support

• OAuth 2.0 / OpenID Connect social login

• Session management със secure HttpOnly cookies

• Brute-force и bot protection

• SOC 2 Type II certified infrastructure

JoyPDF е проектиран за съответствие с:

• GDPR — Общ регламент на EU за защита на данните

• CCPA — California Consumer Privacy Act

• ePrivacy Directive — EU electronic communications privacy

• LGPD — General Data Protection Law на Бразилия

• PIPEDA — Personal Information Protection and Electronic Documents Act на Канада

Zero-upload архитектурата ни по същество опростява compliance, защото document data никога не достига нашата инфраструктура.

Security vulnerabilities приемаме сериозно. Ако откриете security issue, моля докладвайте отговорно на security@joypdf.app. Ангажираме се да:

• Потвърдим доклада ви в рамките на 48 часа

• Предоставим редовни актуализации за remediation progress

• Не предприемаме правни действия срещу good-faith security researchers

• Credit-нем researchers (с тяхно разрешение) за открити vulnerabilities