Аутентификация и сессии
Локальные пароли солятся и хэшируются через scrypt. Сессионные куки — HttpOnly, SameSite=Lax, Secure в продакшене, с серверными идентификаторами сессий, производными от HMAC. Смена пароля может отозвать все активные сессии.
Центр доверия
Безопасность, приватность и человеческий контроль — без заёмных значков.
На этой странице описаны меры защиты, видимые в текущем исходном коде и конфигурации развёртывания, защищаемые ими потоки данных, места и сроки хранения. Последняя проверка: 18 октября 2026 г.
Действующие меры
Секреты и учётные данные клиентов
Ключи провайдеров и секреты коннекторов и вебхуков, которые вы вводите, шифруются AES-256-GCM ключом, хранящимся на наших серверах, со свежим случайным IV и тегом аутентификации для каждого значения. Они хранятся только в зашифрованном виде, а показываются лишь последние четыре символа.
Границы тенантов, команд и API
Каждый агент принадлежит рабочему пространству компании. Роли владельца, администратора, продаж, аналитика и наблюдателя определяют, кто может менять агентов, воронку продаж, отчёты о результатах, настройки хранения и состав команды. Приглашение действует только для адреса, на который оно отправлено, и только один раз. Публичные API-ключи получают только нужные права; каждый запрос проверяется на платный доступ, ограничивается по частоте, отслеживается по ID и безопасен при повторной отправке — он не выполнится дважды.
Подписанные исходящие интеграции
Webhook разработчиков подписываются HMAC-SHA256 по точному времени и телу, доставляются через устойчивую очередь повторов и не могут указывать на приватные или внутренние сетевые адреса — для снижения риска SSRF.
Защита от злоупотреблений и расходов
Публичные маршруты ограничивают размер JSON-тел и частоту запросов на маршрут. Для трафика агентов также доступны лимиты расходов за счёт владельца. Явные боты исключаются из аналитики посетителей.
Удаление и хранение
Владельцы могут экспортировать данные заявок и по требованию стирать персональные данные контактов. Стирание удаляет идентификаторы, сообщения и черновики ответов, сохраняя обезличенные агрегированные показатели. Настраиваемое окно хранения на агента может автоматически ставить в очередь то же стирание каждую ночь.
Поток данных
- 01
Владелец сайта предоставляет контент компании, настройки и, по желанию, учётные данные провайдеров.
- 02
Клиент открывает виджет на сайте, страницу «Ссылка на агента» или подключённый канал сообщений и отправляет текст, голос, заявку, запрос на запись или запрос на передачу сотруднику.
- 03
Выбранному провайдеру ИИ, речи, мессенджеров, почты, биллинга или инфраструктуры передаются только данные, необходимые для включённой функции.
- 04
Make Agent Fast хранит записи сайта, диалогов, заявок, атрибуции, сделок, синхронизации и аудита, необходимые для работы выбранного процесса.
- 05
Владелец может просматривать активность, экспортировать заявки, стирать персональные данные или подключать подписанные webhook к другой системе компании.
Где живут данные
Основные производственные данные размещены в сеульском регионе Google Cloud. Cloudflare обрабатывает запросы на глобальной границе сети, а включённые провайдеры получают только данные, необходимые их функции.
Основное приложение работает в Google Cloud Run, а основная база PostgreSQL — в Cloud SQL; оба сервиса находятся в asia-northeast3 (Сеул). Закрытые загрузки базы знаний хранятся в региональном Cloud Storage.
Вторичная база не обслуживает работающий сервис. Копии, сделанные до переезда в Google Cloud в сентябре 2026 года, хранятся только как резервные и удаляются, когда перестают быть нужны.
Cloud SQL настроен на хранение 14 автоматических резервных копий и семи дней журналов восстановления на момент времени. При удалении базы конфигурация развёртывания требует финальную копию на 30 дней. Cloud SQL шифрует базу данных и эти резервные копии при хранении ключами под управлением Google.
Субобработчики получают только данные, нужные для их цели, в перечисленных ниже регионах. Единственная полная копия вне Google Cloud — старая резервная копия, сделанная до переезда в сентябре 2026 года: копия базы данных в Neon и файлы резервных копий в Cloudflare R2. Ни одна из них не обслуживает работающий сервис.
Сколько мы храним данные
Эти сроки автоматически соблюдают плановые задачи, а не только написаны в политике. Там, где фиксированного срока нет, запись хранится, пока её не удалит владелец, — мы предпочитаем сказать об этом прямо, а не округлять до числа.
- Данные контактов и заявок, собранные агентом
- Задаёт владелец: по умолчанию до удаления владельцем либо 30, 90, 180 или 365 дней. По истечении срока имя, email и сообщение заявки стираются, остаются только обезличенные счётчики. Уведомление владельцу о заявке и запись о письме-подтверждении посетителю — отдельные копии, которые этот срок не стирает.
- Журналы сообщений каналов
- Исходные журналы сообщений: 30 дней, затем ежедневно удаляются безвозвратно — одинаково для Telegram, WhatsApp, Messenger, Instagram, Discord и KakaoTalk. Сам диалог также сохраняется в истории диалогов агента (следующая строка), а оставленная посетителем заявка следует правилу для заявок.
- Диалоги виджета, источники знаний, настройки агентов, записи аккаунта
- Без фиксированного срока — хранятся до удаления владельцем, если владелец не задал срок хранения для агента; тогда более старые диалоги тоже удаляются. Удаление агента или источника знаний сразу убирает его строки и эмбеддинги.
- Сессии входа
- 1 день или 30 дней, если вы выбрали оставаться в системе. Просроченные сессии удаляются каждую ночь.
- Записи о доставке писем
- Без фиксированного срока для записей о письмах посетителям (подтверждения заявок и ссылки доступа); записи о письмах владельцам аккаунтов удаляются вместе с аккаунтом. Эти записи также служат журналом, который не даёт отправить одно письмо дважды.
- Удалённая компания
- 30 дней, затем организация, её агенты и все дочерние записи стираются безвозвратно. Сохраняется только защищённый от подделки журнал аудита.
- Бэкапы базы данных
- Cloud SQL хранит 14 автоматических копий и семь дней журналов восстановления на момент времени; при удалении базы финальная копия настроена на 30 дней. Удалённые данные могут оставаться в защищённых копиях до окончания применимого срока.
- Кука идентификатора посетителя
- 365 дней в браузере посетителя. Она связывает диалоги одного посетителя и не содержит ни имени, ни почты.
Владельцам не нужно ждать срока: экспорт и стирание данных заявок, удаление агента и удаление компании — по одному действию в панели.
Субобработчики
Компании, которые могут обрабатывать данные клиентов от нашего имени, — и только для цели, указанной рядом с названием.
| Субобработчик | Назначение | Регион |
|---|---|---|
| OpenRouter | Направляет ответ в модель, выбранную для агента | США; провайдер модели, к которому идёт маршрут (OpenAI, Anthropic, Google, xAI, DeepSeek, Qwen, Moonshot и др.), может обрабатывать данные в других странах |
| OpenAI | Генерация ответов и живые голосовые звонки | США |
| Хостинг Cloud Run, Cloud SQL, закрытое файловое хранилище, секреты, функции Gemini, вход через Google и доставка почты Workspace | Южная Корея и США в зависимости от сервиса | |
| ElevenLabs | Синтез речи для голосов агентов | США |
| Speko | Маршрутизация голоса | США |
| Deepgram | Распознавание речи на голосовых маршрутах, которые его используют | США |
| Polar | Биллинг и торговый агент для тарифов и кредитов | США |
| SaaS Pro | Собственный продукт: анонимная продуктовая аналитика, тепловые карты и скорость страниц, маскированные записи сессий после согласия посетителя, отслеживание ошибок и мониторинг плановых задач | Южная Корея (Google Cloud, Сеул) |
| PostHog | Псевдонимная аналитика продукта и выручки, маскированные записи по согласию, тепловые карты, производительность и ошибки; метаданные токенов, стоимости и задержки ИИ без запросов и ответов | США (PostHog US Cloud) |
| Cloudflare | Глобальные DNS, TLS, веб-экран, граничная маршрутизация и кэширование перед Google Cloud Run, а также хранение в R2 старых резервных файлов | Глобальная сеть |
| Upstash | Счётчики ограничения запросов по IP-адресу, хранятся только в пределах короткого окна | Япония (Google Cloud, Токио) |
| Mailjet | Резервный почтовый провайдер; письма обычно отправляются через Google Workspace | Европейский союз |
| Neon | Хранит только старую резервную копию базы данных; не обслуживает работающий сервис | США (AWS us-east-1) |
Этот список меняется с уведомлением за 30 дней: каждое добавление или замена объявляются в журнале изменений минимум за 30 дней до того, как субобработчик начнёт обрабатывать данные клиентов, — чтобы было время возразить. Изменения
Провайдеры вне этого списка
Платформы сообщений, которые подключает владелец, — Telegram, WhatsApp, Messenger, Instagram, Discord, KakaoTalk — передают диалог по собственным условиям платформы. Большинство подключается через собственный аккаунт владельца; подключение Discord в один клик использует Discord-приложение Make Agent Fast. Когда владелец сохраняет собственный ключ провайдера, этот провайдер обрабатывает вызов по договору с владельцем. Интеграции, которые подключает владелец, — Cal.com, Calendly, Google Calendar, Notion, Google Drive — так же работают через собственный аккаунт владельца в этом сервисе. Собственные домены не предлагаются.
Доступность и инциденты
Тарифы самообслуживания не несут договорного соглашения об уровне сервиса, и мы не будем печатать то, что вам не должны. Ниже — операционные обязательства, которые мы реально выполняем.
- Производственные релизы Cloud Build собирает из точного Git-коммита. Cloud Run не обслуживает ревизию, не прошедшую запуск, а публичная проверка здоровья показывает SHA развёрнутого релиза.
- Автоматические копии Cloud SQL и восстановление на момент времени настроены. Готовность восстановления отслеживается отдельно; одна конфигурация копий не считается доказательством успешного восстановления.
- После восстановления сервиса каждый инцидент получает письменную заметку в журнале изменений — о том, что сломалось и что из-за этого изменилось.
Договорный SLA, именованный контакт и проверка безопасности могут согласовываться в рамках пилота или корпоративного договора.
Чего агент не утверждает
Агент отвечает только по информации, которую одобрил владелец. Если вопрос выходит за эти рамки, он прямо говорит об этом и подключает человека, а не гадает.
- Никаких выдуманных ответов. На вопрос вне одобренной информации агент отвечает «у меня нет этих данных», а не угадывает цену, правило или обещание.
- Передача с контекстом. Если посетитель просит человека или вопрос выходит за рамки, агент записывает его контакты и уведомляет владельца, который видит весь разговор в разделе «Диалоги».
- Человек может вмешаться. В разделе «Диалоги» владелец может приостановить агента в разговоре и ответить сам.
Нужно подписанное соглашение об обработке данных?
Наш DPA «контролёр–обработчик» опубликован полностью, охватывает субобработчиков и сроки хранения с этой страницы и может быть подписан как есть.
Нужна проверка безопасности под конкретное развёртывание?
Напишите на security@makeagent.fast или включите проверку в запрос на пилот.