Данные и конфиденциальность

Что именно собирает платформа

• Метрики утилизации ресурсов (CPU, memory, network, disk).
• Инвентарь — список ресурсов и их параметры (тип, регион, tags).
• Биллинг — стоимость ресурсов из API провайдеров.
• События (изменения ресурсов для audit log).

Что не собирается

• Содержимое логов приложений.
• Данные внутри баз данных, S3, файловых систем.
• Персональные данные пользователей ваших приложений.
• Секреты, ключи, токены ваших систем.

Где хранится

• SaaS — в контуре платформы (инстанс console.opsman.ai). Резервное копирование ведётся ежесуточно.
• On-premise — в PostgreSQL, которую администрирует ваша команда. OpsMan AI не имеет доступа к данным on-premise инсталляций.

Как долго хранятся данные

• Метрики почасовые — до 90 дней в полном разрешении.
• Дневные агрегаты — без ограничений.
• Биллинг — без ограничений.
• Audit log — за всё время жизни компании.

Для SaaS при off-boarding’е данные экспортируются и затем удаляются.

Кто имеет доступ

• Ваши пользователи — те, что зарегистрированы в вашей компании.
• Служба поддержки OpsMan AI (для SaaS) — имеет администраторский доступ для поддержки, без просмотра содержимого пользовательских данных без явного согласия.
• Никто за пределами этого списка.

Данные в транзите

Все подключения — HTTPS (TLS 1.2+). Агент metrics-collector использует ту же TLS-схему.

Данные в покое

• В PostgreSQL — в зависимости от настроек БД (рекомендуется TLS-подключение, encryption-at-rest для managed-сервисов).
• Credentials интеграций — зашифрованы на уровне приложения отдельным ключом.
• JWT-ключ для подписей токенов — хранится в Kubernetes Secret (on-prem) или в защищённом хранилище (SaaS).

Соответствие требованиям

• Конкретные сертификации (SOC 2, ISO 27001) — уточняйте у менеджера.
• Для on-premise соответствие полностью в вашей зоне ответственности, платформа предоставляет необходимые механизмы: TLS, шифрование credentials, RBAC.
• Резидентность данных в on-premise — полностью в вашем периметре.

Какие права запрашиваются у облаков

Только read. Минимальный набор — viewer, billing.accounts.viewer, monitoring.viewer для service account. Подробности — в инструкции по Yandex Cloud.

Что если хочу отозвать доступ?

• Удалите источник в Cluster list — платформа перестанет опрашивать.
• В облаке отзовите credentials (access key, service principal, service account).
• Для окончательного off-boarding’а напишите в [email protected].