Этот документ описывает общий подход ИП Барчука Игоря Вадимовича к безопасности Rox. Он не является сертификатом, гарантией абсолютной защиты или обещанием конкретного уровня доступности.

1. Модель продукта

Rox сочетает локальные и облачные функции. Настольное приложение может запускать рабочие процессы, команды и программных агентов на устройстве Пользователя. В то же время учётные записи, синхронизация, веб-функции, совместная работа, Drive, Notes, Inbox, календарь, публичные ссылки, голос, ИИ и интеграции могут обрабатывать данные в облачной инфраструктуре и внешних сервисах.

Поэтому нельзя считать, что весь исходный код, история терминала или пользовательский контент всегда остаются только на устройстве. Перед выполнением команды или подключением интеграции Пользователю следует проверить предоставляемый контекст и разрешения.

2. Применяемые меры

В исходном коде или пользовательском интерфейсе могут присутствовать отдельные механизмы аутентификации, проверки разрешений, ограничения частоты запросов, управления секретами, журналирования и отзыва сессий. Их наличие не подтверждает, что механизм включён, одинаково настроен во всех средах или покрывает каждый компонент.

До обработки данных Оператор обязан определить применимые угрозы и реализовать требуемые правовые, организационные и технические меры. Публично не заявляются как уже подтверждённые без отдельного evidence:

полнота разграничения данных между всеми пользователями и рабочими областями;
регион и режим хранения каждого набора данных;
утверждённые retention, backup и disaster-recovery процедуры;
регулярность проверок зависимостей, пентестов и реагирования;
договорные и организационные меры для каждого внешнего поставщика.

Конкретная реализация зависит от компонента и production-конфигурации и должна проверяться отдельно.

3. Данные и провайдеры

Облачные данные могут передаваться внешнему сервису только при фактическом включении функции и после проверки его юридического лица, роли, договора, региона, категорий данных, сроков и применимых требований. Технический перечень потенциальных сервисов не является подтверждением production-передачи.

Наличие настройки внешнего мониторинга или аналитики в исходном коде не подтверждает его фактическое включение либо состав отправляемого события. До включения должен быть проверен минимальный payload, исключены ненужные идентификаторы и пользовательский контент, ограничен доступ и установлен срок хранения.

4. Ответственность Пользователя

Пользователю рекомендуется:

защищать устройство и учётную запись, устанавливать обновления и блокировку экрана;
проверять область доступа участников, публичных ссылок, OAuth-интеграций и токенов;
не передавать пароли, закрытые ключи и иные секреты в чат или поддержку;
выдавать агентам минимально необходимые разрешения и проверять команды до выполнения;
вести независимые резервные копии критичных проектов и данных;
своевременно отзывать скомпрометированные ключи и сообщать об инциденте.

Git worktree помогает разделять изменения в репозитории, но сам по себе не является границей безопасности и не предотвращает доступ процесса к другим данным устройства.

5. Уязвимости и инциденты

Сообщение об уязвимости направляйте на ask@rox.one с темой «Security». Укажите затронутый компонент, шаги воспроизведения и безопасный способ связи. Не извлекайте чужие данные, не нарушайте доступность и не публикуйте детали до согласования разумного срока исправления.

Мы подтверждаем получение и сообщаем о ходе по возможности, но не публикуем неподтверждённый гарантированный срок ответа. При инциденте выполняются действия и уведомления, требуемые законодательством Российской Федерации, исходя из фактических обстоятельств.

6. Сертификация и доказательства

Rox не заявляет наличие собственной сертификации SOC 2, прохождение регулярного независимого пентеста, «нулевой доступ» сотрудников или абсолютную защищённость, пока такие факты не подтверждены актуальными документами. Сертификация отдельного поставщика не означает сертификацию всего Rox.

7. Контакты

Ответственный за публичный канал безопасности — ИП Барчук Игорь Вадимович.

ИНН 772415014590

ОГРНИП 326774600421177

E-mail: ask@rox.one