Jak twoje audio pozostaje prywatne

Nagrania nigdy nie są serwowane z API i nigdy nie są dostępne na podstawie samego ciasteczka. Każdy odczyt lub zapis to krótkotrwały podpisany URL, ograniczony do jednego obiektu i jednej operacji, weryfikowany względem przestrzeni roboczej, dla której został wystawiony.

Uszkodzony plik multimedialny to najbardziej bezpośrednia powierzchnia ataku platformy audio, dlatego dekodowanie działa z własnym użytkownikiem oraz własnymi przestrzeniami nazw sieci i procesów, bez żadnych uprawnień (capabilities), z limitem pamięci i limitem czasu rzeczywistego. Powstało, zanim istniała jakakolwiek publiczna ścieżka przesyłania, którą można by zaatakować.

Ani wsparcie, ani zespół operacyjny, ani administrator. W naszych wewnętrznych narzędziach nie ma żadnej kontrolki, która odtwarza nagrania klienta, ani żadnej ścieżki, która wystawia do nich link. Dziś nie ma też żadnej ścieżki wyjątku: jeśli kiedyś będziemy musieli usłyszeć plik, żeby znaleźć błąd, zapytamy cię, a każdy przyszły mechanizm udzielania dostępu będzie taki, który uruchomisz samodzielnie i który będzie dla ciebie widoczny.

Odczyty, nie tylko zapisy. Nasza konsola operacyjna nie może pokazać pracownikowi niczego o twoim koncie, nie zapisując najpierw rekordu audytowego, który wskazuje tę osobę, to, co oglądała, i powód: a jeśli tego rekordu nie da się zapisać, dane nie zostaną pokazane. Rejestr audytowy działa wyłącznie w trybie dopisywania i znajduje się w innej bazie danych niż ta, którą audytuje.

Wstrzymanie części platformy, wycofanie modelu i wszystko podobne jest przygotowywane z pisemnym uzasadnieniem i wykonywane z opóźnieniem: albo natychmiast, jeśli trwa incydent, a wtedy uzasadnienie jest spisywane najpierw, a analiza po incydencie jest obowiązkowa. Każda taka operacja trafia następnego ranka na listę do przeglądu.

Każda baza danych jest co noc zrzucana bezpośrednio do zaszyfrowanego pliku, na dysku nigdy nie ma kopii w postaci jawnej, a każdy zrzut jest przechowywany przez czternaście dni na naszym serwerze i przez mniej więcej dwa kolejne tygodnie w kopii przechowywanej w innej lokalizacji, w granicach 31 dni podanych w naszym regulaminie i polityce prywatności. W każdą niedzielę test odtwarza najnowszy zrzut do tymczasowej bazy danych i sprawdza, czy odpowiada ona na zapytania, bo kopia zapasowa, której nikt nie odtworzył, to nadzieja, a nie kopia zapasowa. Oba procesy działają zgodnie z harmonogramem od 18 września 2026 r.

Automatyczne aktualizacje bezpieczeństwa na serwerze źródłowym, utwardzona bazowa konfiguracja systemu i reguły zapory utrzymywane jako kod, a nie jako historia poleceń w powłoce. Zależności aplikacji są aktualizowane według harmonogramu i po każdym biuletynie bezpieczeństwa.