Безопасность ваших данных и API-ключей
YouStat подключается к площадкам по API-ключу с правами только на чтение. Ключи хранятся в зашифрованном виде на серверах в России. Отозвать ключ можно в кабинете площадки в любой момент, а внутри YouStat — ограничить, кто из команды что видит.
Какие права запрашиваем и зачем
Только то, что нужно для расчёта. Запись — лишь для действий, которые вы включаете сами: автопилот цен, ответы покупателям, публикация карточек, отгрузка заказов.
| Модуль YouStat | Право в кабинете WB | Доступ | Зачем |
|---|---|---|---|
| Прибыль и водопад | Статистика, Финансы | Чтение | Отчёт о реализации, продажи, возвраты |
| Управление SKU | Аналитика, Контент | Чтение | Каталог, воронка, остатки, цены |
| Поставки | Поставки | Чтение | Склады, слоты, приёмка |
| Реклама | Продвижение | Чтение | Расходы и ДРР по кампаниям |
| Автопилот цен | Цены и скидки | Запись | Только если включите автопилот |
| Отзывы и вопросы | Вопросы и отзывы | Запись | Только для ответов покупателям |
| Студия карточек | Контент | Запись | Только если включите публикацию |
| Отгрузка FBS | Маркетплейс | Запись | Только если включите действия |
Где хранятся данные
Данные магазинов и ключи хранятся на серверах в России. За рубеж не передаются.
Россия
Серверы с данными магазинов и ключами расположены в России
Без трансграничной передачи
Аналитика сайта — только Яндекс Метрика
Шифрование и кто имеет доступ
Ключи хранятся в зашифрованном виде. Расшифровать их может только сервис синхронизации — сотрудники YouStat ключи не видят.
Технические детали шифрования
Токены и API-ключи магазинов шифруются в базе алгоритмом AES-256-GCM. Ключ шифрования хранится отдельно от данных и в базу не попадает. В интерфейсе показываются только последние четыре символа ключа; полное значение не отдаёт ни один запрос.
Кто из сотрудников YouStat видит данные магазина
Данные организации доступны её участникам по ролям: проверка прав выполняется на сервере, а не только в интерфейсе. Действия участников и изменения доступов записываются в журнал организации.
Как отозвать ключ
Ключ можно удалить в кабинете площадки в любой момент — YouStat сразу перестанет получать данные.
- 1Откройте «Настройки» → «Доступ к API»
- 2Найдите ключ YouStat в списке
- 3Нажмите «Удалить» — готово
Роли в команде
Владелец решает, кто что видит. Сотрудник видит только свой участок работы.
| Роль | Прибыль и налоги | Цены | API-ключи | Команда |
|---|---|---|---|---|
| Владелец | Да | Да | Да | Да |
| Финансист | Да | — | — | — |
| Менеджер магазина | С доступом к финансам | Да | — | — |
| Логист | — | — | — | — |
| Наблюдатель | С доступом к финансам | — | — | — |
Финансы владелец открывает каждому участнику отдельно. Полный набор ролей — в кабинете, в настройках организации.
Соответствие 152-ФЗ
- Согласие на обработку ПДн — отдельный неотмеченный чекбокс, рассылки — отдельно
- Персональные данные хранятся в России, за рубеж не передаются
- На сайте только Яндекс Метрика: без иностранных счётчиков, шрифтов и виджетов
- В push и сообщениях мессенджеров — без персональных данных
Что делаем, если случится инцидент
Порядок действий описан заранее — чтобы не придумывать его в моменте.
Обнаружение
Мониторинг и журналы доступа круглосуточно
Блокировка
Отключаем скомпрометированные ключи и сессии
Уведомление
Сообщаем владельцам аккаунтов
Отчёт
Публикуем разбор и что изменили
Контакты по вопросам безопасности
Готовы подключить магазин?
Ключ с правами только на чтение. Пробный период начнётся, когда придут данные.