Securitate și încredere: ce facem și ce n-am făcut încă
1ads lucrează cu bugetele tale de ads, așa că l-am construit astfel încât niciun AI, nicio cheie API și nicio integrare să nu poată cheltui bani de capul ei. Iată cum, pe înțelesul tuturor, inclusiv ce nu avem încă.
Pe scurt
- Datele clienților sunt stocate în UE, pe clusterul Kubernetes on-premises propriu, într-un centru de date din România (nu e cloud public). Clusterul îl administrăm chiar noi, sub brandul nostru FirstIT.
- Procesarea AI se face în SUA (Anthropic; OpenAI pentru imagini), cu garanțiile de transfer cerute în UE. Nu există încă o variantă cu procesare AI doar în UE.
- AI-ul poate citi, pregăti și propune. Nu poate aplica modificări. Doar un om poate, după o autentificare multifactor (MFA) recentă.
- Tokenurile platformelor conectate direct sunt criptate cu chei separate pentru fiecare client, într-un seif digital, și nu ajung niciodată la un model AI.
- Datele fiecărui client sunt separate direct în baza de date, nu doar în interfață.
- Nu avem încă SOC 2 sau ISO 27001. Îți spunem ce avem în schimb.
Unde stau datele tale
- Platforma și bazele de date: datele clienților sunt stocate în UE, pe clusterul Kubernetes on-premises propriu, într-un centru de date din România (nu e cloud public). Clusterul îl administrăm chiar noi, sub brandul nostru FirstIT. Baza de date PostgreSQL, seiful pentru secrete și coada de procesare rulează în acest cluster și nu sunt expuse pe internet.
- Procesarea AI: ca să răspundă la o întrebare din chat sau să ruleze o analiză, fragmentele de date necesare sunt trimise către Anthropic (modelele Claude), care le procesează în SUA, cu garanțiile de transfer cerute în UE. Nu există încă o variantă cu procesare AI doar în UE. Pentru generarea de imagini folosim OpenAI, tot în SUA. Conform termenilor lor comerciali, niciun furnizor AI nu își antrenează modelele pe aceste date. Până se confirmă păstrarea zero a datelor, Anthropic șterge datele trimise prin API și răspunsurile în 30 de zile, cu excepția conținutului semnalat de sistemele sale de siguranță (păstrat până la 2 ani) și a cazurilor cerute de lege; OpenAI poate păstra jurnalele de monitorizare a abuzurilor până la 30 de zile.
- Email: emailurile tranzacționale (invitații, aprobări, rapoarte) pleacă prin Amazon SES (Amazon Web Services EMEA SARL), din regiunea UE (Irlanda).
- Parteneri de date și de publicare: canalele conectate prin parteneri de date (Amazon Ads, Pinterest, Snap, Reddit, X) sunt autorizate la acel partener, iar publicarea organică trece prin partenerul nostru de publicare. Pentru citirea paginilor web publice folosim Firecrawl (SUA); pentru observabilitatea AI, Langfuse, găzduit în clusterul nostru, cu datele personale eliminate.
- Procesare AI doar în UE: o evaluăm, dar nu e disponibilă încă. Până atunci nu promitem „doar UE”.
- Lista completă: lista sub-procesatorilor arată fiecare furnizor, ce face, unde și pe ce bază legală se transferă datele. Te anunțăm cu 30 de zile înainte să adăugăm unul nou și ai dreptul să te opui.
Cum ținem clienții separați
- Fiecare cerere către baza de date rulează în contextul unui client și al unui spațiu de lucru, iar baza de date refuză singură rândurile din alte spații de lucru (row-level security). Așa, o eroare în interfață nu poate arăta datele unui client altui client.
- Clienții aceleiași agenții sunt spații de lucru separate și sunt despărțiți la fel.
- Datele din conturile de ads ale unui client sunt folosite doar pentru el: fără benchmarkuri între clienți, fără modele comune, fără antrenare.
Cum protejăm accesul la conturile tale de ads
- Conectezi conturile prin OAuth; parolele tale nu ajung la noi.
- Tokenurile platformelor conectate direct (Google, Meta, TikTok, LinkedIn, Microsoft) sunt criptate cu chei derivate separat pentru fiecare client, conexiune și platformă, în HashiCorp Vault; un singur serviciu intern le poate decripta și doar în momentul în care apelează API-ul platformei.
- Aceste tokenuri nu intră niciodată în prompturile AI și sunt gândite să rămână în afara logurilor și a rapoartelor de erori.
- Canalele conectate prin parteneri de date și publicarea organică prin partenerul nostru de publicare sunt autorizate la acel partener, care păstrează tokenurile (vezi Sub-procesatori).
- Poți revoca oricând orice conexiune, din 1ads sau direct din platformă.
Cum ținem AI-ul în frâu
- Nu are unealtă de „aplică”. AI-ul are doar unelte de citire, draft și propunere. Execuția pornește din motorul de aprobări, după o decizie validă a unui om.
- Niciun scope API sau MCP nu poate aproba sau aplica. În aplicație, aprobarea cere autentificare multifactor (MFA) în ultimele 15 minute. Din email sau din Slack, aprobatorul confirmă cu un cod unic; linkurile de aprobare expiră și merg o singură dată.
- Separarea rolurilor. Cine a propus o modificare nu o poate aproba, cu excepția cazului în care activezi explicit politica „un singur aprobator” pentru un brand mic.
- Verificarea stării la zi. Înainte să ruleze o modificare aprobată, recitim campania live; dacă s-a schimbat, propunerea se întoarce la aprobare.
- Limite ferme pentru modificările de buget și pentru numărul de modificări pe oră; politicile tale le pot face mai stricte, dar niciodată mai relaxate.
- Conținutul nesigur rămâne nesigur. Paginile web, comentariile, feedurile de produse și documentele sunt tratate ca date, niciodată ca instrucțiuni. Rulările care citesc conținut nesigur nu pot declanșa acțiuni fără aprobare.
- Cât timp programul e cu acces închis, nu există aprobare automată. Deloc, fără excepții în vreun contract.
- Totul rămâne în jurnal. Fiecare propunere, aprobare și modificare executată intră într-un jurnal de audit în care se poate doar adăuga, cu lanț de hash-uri; ancorarea lui într-o stocare externă write-once e planificată.
Autentificare și permisiuni
- Single sign-on (SAML 2.0 sau OIDC) cu Okta, Microsoft Entra ID, Google Workspace, OneLogin sau orice furnizor de identitate standard, pe serverul nostru de identitate (Keycloak, la auth.1ads.net), cu conturile create la primul login. Un furnizor de identitate e inclus pe Pro, Agency 15, Agency și Enterprise; pe Starter, Growth și Agency Starter e add-on (prețuri). Îl configurăm împreună cu tine.
- Nu avem încă provizionare automată a utilizatorilor (SCIM): ca să scoți pe cineva, îl dezactivezi în furnizorul de identitate (sesiunile lui expiră) sau în 1ads.
- Schimbarea setărilor sensibile, cum e plafonul lunar de credite, cere o nouă verificare multifactor (MFA) sau o nouă autentificare la furnizorul de identitate, dacă folosești SSO.
- Autentificarea multifactor (MFA), cu aplicație de autentificare sau passkey, e obligatorie pentru toți cei care nu intră prin SSO. Loginul social și linkurile magice nu sunt considerate SSO.
- Rolurile stabilesc cine poate vedea, propune, aproba și publica; aprobatorii și utilizatorii cu drept de vizualizare din partea clientului văd doar spațiul lor de lucru.
- Cât timp programul e cu acces închis, conturile se creează doar după ce îți aprobăm cererea.
Cum operăm
- Modificările ajung în producție doar prin pipelineuri automate (Jenkins) și configurare versionată (Flux GitOps), nu de mână.
- Imaginile de containere sunt scanate pentru vulnerabilități cunoscute înainte de deploy.
- Secretele stau în Vault, niciodată în cod.
- Monitorizarea erorilor e găzduită în infrastructura care rulează 1ads.
- Copiile de siguranță zilnice ale bazei de date sunt criptate și se șterg în cel mult 14 zile.
Confidențialitate și conformitate
- Rolurile GDPR: suntem persoană împuternicită pentru datele pe care le aduci tu (clienții tăi, campaniile tale), conform Acordului privind prelucrarea datelor (DPA), și operator pentru datele de cont, facturare și site, conform Politicii de confidențialitate.
- Regulile platformelor pentru care am construit: regula Meta ca datele unui client să nu fie folosite pentru alții; datele membrilor LinkedIn păstrate cel mult 24 de ore; politicile API Google, inclusiv revizuirea de către utilizator a modificărilor de licitare înainte să se aplice.
- Regulamentul european privind AI: chatul îi spune utilizatorului că vorbește cu un AI; imaginile generate (și video-urile, când le vom oferi) au de la lansare date de proveniență C2PA și etichetele AI ale platformelor. Fiecare postare Trend Radar e verificată și aprobată de echipa ta, care păstrează responsabilitatea editorială.
- Păstrarea datelor: comentariile și mesajele din conturile social conectate se păstrează implicit 30 de zile; regulile complete sunt în Calendarul de păstrare a datelor.
- Când pleci: îți poți exporta datele 30 de zile după încheierea abonamentului. Apoi le ștergem din sisteme în cel mult 30 de zile, iar copiile de siguranță expiră în cel mult încă 14 zile.
Ce nu avem încă
- Nu avem SOC 2 sau ISO 27001. SOC 2 e în plan; nu am stabilit o dată și vom actualiza pagina când începe auditul.
- Nu am făcut încă un test de penetrare independent. Publicăm data și aria lui după ce îl facem.
- Nu avem încă obiective formale de timp și punct de recuperare (RTO/RPO). Angajamentele de serviciu sunt cele din formularul de comandă și din documentul Nivelul serviciilor și suportul.
- Copiile de siguranță sunt zilnice, în aceeași locație; până la replicarea bazei de date, o defecțiune poate pierde datele din ultimele 24 de ore. Nu am făcut încă un test de restaurare.
- Traficul din interiorul clusterului nu e încă criptat. Conexiunile publice folosesc TLS; traficul dintre componente, pe rețeaua privată a clusterului, e restricționat implicit prin politici de rețea „default-deny”, iar criptarea lui e planificată înainte de lansarea generală.
- Criptarea în repaus a discurilor serverelor nu e încă confirmată. Copiile de siguranță ale bazei de date sunt criptate.
- Nu avem încă o pagină publică de status.
- Nu avem încă procesare AI doar în UE.
Răspundem la chestionare de securitate rezonabile, sub acord de confidențialitate dacă e nevoie: ops@1ads.net.
Responsabilitate împărțită
Tu îți gestionezi utilizatorii, rolurile și aprobatorii, folosești SSO sau autentificare multifactor (MFA), dai doar accesul necesar când conectezi platformele, setezi cu grijă politicile de aprobare și verifici clienții MCP sau agenții AI pe care îi conectezi.
Raportarea vulnerabilităților
Ai găsit o vulnerabilitate? Scrie-ne la ops@1ads.net, cu URL-ul sau componenta afectată, pașii de reproducere și impactul. Încercăm să confirmăm primirea în 3 zile lucrătoare și te ținem la curent. Testează doar cu conturi proprii sau cu un tenant de test oferit de noi; nu accesa datele altor clienți, nu degrada serviciul și nu rula scanări automate intense. Dacă respecți aceste reguli cu bună-credință, considerăm cercetarea autorizată și nu vom acționa în justiție. Nu avem program de recompense. Regulile complete: Prezentarea de securitate §13.
Întrebări frecvente (securitate)
Echipa 1ads îmi poate vedea datele?
Doar când e nevoie ca să te ajutăm și la cererea ta.
Îmi vindeți sau dați datele altcuiva?
Nu îți vindem datele. Le transmitem doar sub-procesatorilor din listă și platformelor pe care le conectezi, ca să funcționeze serviciul, și nu le folosim ca să antrenăm modele AI.
Pot folosi 1ads doar cu procesare în UE?
Încă nu. Datele sunt stocate în UE, dar procesarea AI se face deocamdată în SUA. Dacă asta e o problemă pentru tine, spune-ne în cerere.
Unde îmi sunt stocate datele?
Datele contului și ale clienților tăi sunt stocate în UE, pe clusterul Kubernetes on-premises propriu, într-un centru de date din România (nu e cloud public). Clusterul îl administrăm chiar noi, sub brandul nostru FirstIT. Ca să răspundă la o întrebare din chat sau să ruleze o analiză, fragmentele de date necesare sunt trimise furnizorului nostru de AI, Anthropic, care le procesează în SUA, cu garanțiile de transfer aprobate în UE (mecanismul pentru fiecare furnizor e trecut în lista sub-procesatorilor). Imaginile sunt generate de OpenAI, tot în SUA, iar emailurile tranzacționale pleacă prin Amazon SES (Amazon Web Services EMEA SARL, regiune din UE). Conform termenilor lor comerciali, niciun furnizor de AI nu își antrenează modelele pe aceste date. Până se confirmă păstrarea zero a datelor, Anthropic șterge datele trimise prin API și răspunsurile în 30 de zile, cu excepția conținutului semnalat de sistemele sale de siguranță (păstrat până la 2 ani) și a cazurilor cerute de lege; OpenAI poate păstra jurnalele de monitorizare a abuzurilor până la 30 de zile. Tokenurile platformelor conectate direct sunt criptate în seiful nostru și nu ajung la un model AI; canalele conectate prin parteneri de date sunt autorizate la acel partener. Datele fiecărui client sunt ținute separat. Lista sub-procesatorilor, cu locațiile lor, e publică, iar înainte să adăugăm unul nou te anunțăm cu 30 de zile înainte. Evaluăm o variantă cu procesare AI doar în UE; deocamdată nu e disponibilă.
AI-ul îmi modifică singur campaniile?
Nu. AI-ul poate citi, analiza, pregăti și propune. Nu are dreptul să aplice nimic. O modificare rulează doar după ce o aprobă o persoană autorizată. În aplicație, aprobarea cere autentificare multifactor (MFA) în ultimele 15 minute. Din email sau din Slack, aprobatorul confirmă cu un cod unic; linkurile de aprobare expiră și merg o singură dată. Cât timp programul e cu acces închis nu există deloc aprobare automată, fără excepții în vreun contract. Înainte să ruleze o modificare aprobată, 1ads recitește campania live; dacă s-a schimbat ceva între timp, propunerea se întoarce la aprobare. Limitele ferme, de exemplu cât se poate schimba un buget într-o zi, se aplică și modificărilor aprobate. Compromisul e viteza: la 3 dimineața trebuie să aprobe un om, așa că uneltele cu reguli autonome reacționează mai repede.
Ai un chestionar de securitate?
Spune-ne în cererea de acces; răspundem la chestionare rezonabile, sub acord de confidențialitate dacă e nevoie.