Безпека в JoyPDF

Модель безпеки JoyPDF принципово відрізняється від традиційних хмарних PDF-інструментів. Замість завантаження файлів на віддалений сервер для обробки всі операції виконуються локально у вашому браузері за допомогою WebAssembly (WASM) і JavaScript.

Це означає, що ваші конфіденційні документи — договори, фінансові звіти, медичні записи, юридичні документи — ніколи не проходять через інтернет. Вони залишаються на вашому пристрої від початку до кінця. Немає серверного зберігання, немає тимчасового хмарного кешування і немає можливості серверних витоків даних, що стосуються ваших файлів.

Така архітектура усуває цілі категорії ризиків безпеки:

• Немає ризику data-in-transit для ваших файлів — вони ніколи не залишають sandbox браузера

• Немає серверного зберігання означає нульовий ризик хмарних витоків даних

• Немає доступу третіх сторін до змісту ваших документів

• Немає залишкових даних — після закриття вкладки дані обробки звільняються з пам’яті

Увесь трафік до joypdf.app і від нього шифрується за допомогою TLS 1.3 із надійними cipher suites. Ми примусово використовуємо HTTPS на всіх endpoint і реалізуємо HTTP Strict Transport Security (HSTS) для запобігання downgrade-атакам.

Наші DNS-записи захищені DNSSEC, і ми використовуємо Content Security Policies (CSP) для пом’якшення cross-site scripting (XSS) і code injection атак.

Заголовки безпеки, які ми реалізуємо, включають:

• `Strict-Transport-Security` — примусове використання HTTPS

• `X-Content-Type-Options: nosniff` — запобігання MIME type sniffing

• `X-Frame-Options: DENY` — запобігання clickjacking

• `Referrer-Policy: strict-origin-when-cross-origin` — обмеження витоку referrer

• `Content-Security-Policy` — обмеження завантаження ресурсів

Коли ви явно обираєте використання функцій на базі ШІ (AI Summary, AI Translate, AI Agent), лише витягнутий текстовий зміст надсилається нашому партнеру з обробки ШІ через наш захищений API — ніколи вихідний PDF-файл, зображення чи метадані.

Потік даних для функцій ШІ:

1. Текст витягується з PDF локально у вашому браузері

2. Витягнутий текст надсилається через зашифрований HTTPS на наш API endpoint

3. Наш API передає запит провайдеру AI-моделі

4. Відповідь ШІ передається назад і відображається у вашому браузері

5. Жоден текст або відповідь не зберігається на наших серверах після завершення запиту

Ми явно забороняємо нашим AI-провайдерам використовувати ваші дані для навчання моделей. Це забезпечується договірними зобов’язаннями.

Автентифікація користувачів забезпечується Clerk — enterprise-платформою керування ідентичністю. Clerk надає:

• Безпечне хешування паролів з bcrypt

• Підтримку багатофакторної автентифікації (MFA)

• Соціальний вхід OAuth 2.0 / OpenID Connect

• Керування сесіями із захищеними HttpOnly cookies

• Захист від brute-force атак і ботів

• Інфраструктуру з сертифікацією SOC 2 Type II

JoyPDF розроблено відповідно до:

• GDPR — Загальний регламент ЄС про захист даних

• CCPA — Закон штату Каліфорнія про конфіденційність споживачів

• Директива ePrivacy — конфіденційність електронних комунікацій у ЄС

• LGPD — Загальний закон Бразилії про захист даних

• PIPEDA — Закон Канади про захист персональної інформації та електронних документів

Наша zero-upload архітектура за своєю суттю спрощує дотримання вимог, оскільки дані документів ніколи не потрапляють у нашу інфраструктуру.

Ми серйозно ставимося до вразливостей безпеки. Якщо ви виявите проблему безпеки, повідомте про неї відповідальним чином на security@joypdf.app. Ми зобов’язуємося:

• Підтвердити ваше повідомлення протягом 48 годин

• Надавати регулярні оновлення про хід усунення

• Не вживати судових дій проти дослідників безпеки, що діють добросовісно

• Вказувати дослідників (за їхнього дозволу) за виявлені вразливості