Токены доступа Meta
- ADSflow подключается к Meta только через Facebook Login for Business. Мы никогда не запрашиваем, не получаем и не храним пароли, куки и сессии браузера Facebook.
- Токены доступа шифруются на уровне приложения алгоритмом AES-256-GCM до записи в базу данных. Ключ шифрования хранится в окружении сервера, отдельно от базы и её резервных копий.
- Токены используются только на наших серверах и никогда не отправляются в браузер. Каждый вызов Graph API несёт подпись
appsecret_proof, а секрет приложения не покидает сервер. - При отключении ADSflow отзывает свои права в Meta и удаляет токен.
Шифрование при передаче
Весь трафик к adsflow.tech и к API Meta идёт по HTTPS с TLS 1.2 или выше. Сессионные куки имеют флаги HttpOnly, Secure и SameSite=Lax.
Изоляция рабочих пространств
Каждая запись в ADSflow принадлежит рабочему пространству, и каждый запрос ограничен рабочим пространством вошедшего пользователя. Данные разных рекламодателей никогда не смешиваются и не передаются между пространствами. Внутри пространства роли owner, admin и member определяют, кто может подключать кабинеты, менять кампании и приглашать людей.
Журналы и аудит
- Каждый вызов API Meta записывается в журнал со временем, адресом, результатом и заголовками лимитов запросов - но никогда с токеном.
- Каждое действие от вашего имени - запуски, смена статусов и бюджетов, прогоны правил, модерация комментариев, подключения и удаления - записывается в журнал аудита рабочего пространства.
Доступ нашей команды
Доступ к рабочим системам есть только у тех, кто обслуживает ADSflow, выдаётся только по рабочей нужде и записывается в журнал. Мы смотрим данные рабочего пространства только для ответа на ваш запрос в поддержку или для расследования инцидента безопасности.
Резервные копии и удаление
Резервные копии зашифрованы и ротируются; копии старше 30 дней уничтожаются. Запрос на удаление убирает данные из рабочей базы и, по мере истечения копий, из резервных копий - в течение 30 дней. Подробнее - Удаление данных.
Реагирование на инциденты
Если мы обнаружим инцидент безопасности, затрагивающий ваши данные, мы сразу локализуем его и начнём устранение, без неоправданной задержки уведомим владельцев затронутых рабочих пространств и, если затронуты Platform Data, как можно скорее сообщим Meta через её канал для инцидентов. Органы по защите данных мы уведомляем там, где этого требует закон.
Сообщить об уязвимости
Если вы нашли уязвимость в ADSflow, напишите на security@adsflow.tech и опишите шаги воспроизведения. Мы подтверждаем получение в течение 3 рабочих дней и держим вас в курсе до исправления. Пожалуйста, не обращайтесь к чужим данным, не ухудшайте работу сервиса и не публикуйте детали до исправления. Мы не будем преследовать добросовестные исследования, выполненные по этим правилам.
Машиночитаемый контакт: /.well-known/security.txt.