Usaldus ja turvalisus

Seda paigaldust käitab Upthink Solutions OÜ, registrikood 16683946, aadressil Aiandi tn 8/2-28, Mustamäe linnaosa, 12915 Tallinn, Harju maakond, Estonia. Ta on siin iga õppija andmete vastutav töötleja ja osapool, kellega leping sõlmitaks.

Üks aadress jõuab päris inimeseni, olgu küsimus andmete, turvateate või hanke kohta: privacy@upthink.ee. Eraldi turvapostkasti veel ei ole.

Kõik, mida õppija teeb, on selle paigalduse enda Postgresi andmebaasis. Ükski allpool nimetatud teenus ei saa kaardipakki, kordamiste ajalugu ega eksamitööd. Loend loetakse selle juurutuse seadistusest, nii et see on täpselt nende teenuste hulk, millega see koopia suhtleb.

• Groq: see, mida Anule kirjutate, ja iga pildistatud lehekülg. Asub väljaspool Euroopa Majanduspiirkonda.
• Google Gemini: see, mida Anule kirjutate, ja iga pildistatud lehekülg. Asub väljaspool Euroopa Majanduspiirkonda.
• Anthropic: see, mida Anule kirjutate, ja iga pildistatud lehekülg. Asub väljaspool Euroopa Majanduspiirkonda.
• Ekilex, Eesti Keele Instituudis: üks sõna, mida otsisite, ilma kontota. Asub Euroopa Majanduspiirkonnas.
• Wikimedia, mis haldab Vikisõnaraamatut: sama üks sõna ingliskeelse tähenduse päringuna või ingliskeelne sõna, mida otsisite, eestikeelse vaste päringuna, ilma kontota. Asub väljaspool Euroopa Majanduspiirkonda.
• Resend, mis saadab meie kirju: teie e-posti aadress ja kõik, mida teile saadetud kiri teie enda kursuse kohta ütleb. Asub väljaspool Euroopa Majanduspiirkonda.
• Google'i, Mozilla, Apple'i ja Microsofti teavitusteenused: meeldetuletus, mille soovisite arvutisse saada, krüpteeritud nii, et ainult see brauser saab seda lugeda. Asub väljaspool Euroopa Majanduspiirkonda.
• Google, kui logite sisse Google'iga: see, et avasite sisselogimislehe, ja millise aadressi pealt, ning kui logite sisse Google'iga, siis millal, koos teie Google'i konto nime ja e-posti aadressiga. Asub väljaspool Euroopa Majanduspiirkonda.
• TartuNLP, Tartu Ülikoolis: fraas, mida soovisite valjusti ette loetuna kuulda, ilma kontota. Asub Euroopa Majanduspiirkonnas.
• Supabase: teie e-posti aadress ja kõik andmebaasis olev, sest ta majutab mõlemat. Kus see teenus asub, sõltub sellest, kuidas paigaldus seadistati, nii et küsige ülal nimetatud käitajalt.
• Vercel, mis käitab servereid, millel see rakendus töötab: iga teie päring vastamise ajal ja selle logi koos teie IP-aadressiga. Asub väljaspool Euroopa Majanduspiirkonda.

Osa sellest lahkub Euroopa Majanduspiirkonnast, mis on oluline edastamise hindamisel. See põhineb lepingutüüptingimustel, mille iga teenusepakkuja avaldab. Seda teevad kaks funktsiooni, virtuaalõpetaja ja lehekülje skanner, ja kui juurutusel ei ole ühtki tehisintellekti teenusepakkujat seadistatud, ei ole kumbagi, nii et organisatsioon, kes edastamisega nõustuda ei saa, saab ülejäänud rakendust kasutada ilma selleta.

Analüütikateenuse pakkujat, reklaamitunnust ega kolmanda osapoole jälgijat ei ole: rakenduses pole kuskil ühtki kolmanda osapoole skripti ja ainus asi, mida see loeb, see, kas inimesed tulevad tagasi, arvutatakse tema enda kordamislogist. Leht „Privaatsus“ on selle kõige pikem versioon, mis on kirjutatud õppijale, mitte ostjale.

Eksport. Seadetes on nupp, mis annab kõik konto kohta hoitava ühe JSON-failina: iga kaardi, kordamise, ülesande, seade, skannitud sõnaloendi, tasemetesti, proovieksami töö koos kirjutatud tekstiga, sõnumi virtuaalõpetajale, vestluse, ettepaneku, tärniga märgitud sõna ja klassi liikmesuse. Sama fail taastub uues paigalduses.

Kõige kustutamine. Samal ekraanil saab konto koos kõige selles olevaga kustutada, sealhulgas sisselogimise kirje, ühe toiminguga ja ilma kirjaliku taotluseta. Kui paigaldus ei ole seadistatud sisselogimise kirjet ise eemaldama, ütleb nupp seda otse, mitte ei teata õnnestumisest, mida ei olnud. Mõlemad on seadete lehel „Settings“.

Klassis või töörühmas olev õppija saab sealt lahkuda, mis lõpetab selle, et toetaja midagi näeb, ega võta tema enda kaardipakist midagi ära.

Mida õpetaja klassist näeb, on lehel „Õpetajatele“ näidatud väljamõeldud klassi peal.

Organisatsioon, kes otsustab, kas proovida rakendust mõne rühmaga, saab lugeda lehelt „mis on katseprojekt“, sealhulgas seda, milleks rakendus veel valmis ei ole.

Iga väide, mida see projekt enda kohta esitab, on lehel „kuidas me teame“ koos arvu, mõõtmise kuupäeva ja käsuga, mis selle uuesti mõõdab.

See, millise riigieksami osa jaoks iga kursuse teema valmistab ette ja kus kursusel midagi ei ole, on lehel „mida kursus hõlmab“.

Turvatöö on kirja pandud täielikult, mitte teie jaoks kokku võetud. Dokumente on viis ja igaüks nimetab faile, mida saate avada:

• Turvaülevaade ja ohumudel: mis süsteem on, viis usalduspiiri, viisteist ohtu ükshaaval läbi töötatud, kontrollimeetmete loend ja osa sellest, mida ei ole tehtud.
• Intsidentidele reageerimine: raskusaste, kes mida teeb, artikli 33 tähtaeg järelevalveasutusele teatamiseks, artikli 34 tähtaeg mõjutatud inimestele teatamiseks ning tegevusjuhised lekkinud juurdepääsuandmete, kontrolli alt väljunud tehisintellekti arve, andmebaasi taastamise ja rikutud sõnaraamatu jaoks.
• Kontrollimeetmete kaart: kontrollimeetmed, mille kohta hindaja tavaliselt küsib, ja see, kus igaüks neist asub.
• Riskiregister: üks rida riski kohta koos selle omaniku, tõenäosuse, mõju, käsitluse ja järgmise ülevaatuse kuupäevaga. Risk, mis vajab raha või inimest, on jäetud käitaja otsustada.
• Varade register: mida tasub kaitsta, kus see asub, kes haldab selle ümber olevat kontrollimeedet ja millal see järgmisena üle vaadatakse.

Need viis dokumenti on inglise keeles.

Mida sellel projektil ei ole, otse öelduna. SOC 2 aruannet ei ole. ISO/IEC 27001 sertifikaati ei ole. Kontrollimeetmete kaart on enesehindamine, mille on kirjutanud koodi autorid, ja keegi väljastpoolt projekti ei ole seda üle vaadanud. Välist läbistustesti ei ole tellitud, nii et keegi ei ole seda rakendust lepingu alusel rünnanud ja ükski sõltumatu hindaja ei ole lähtekoodi turvavigade leidmiseks läbi lugenud. See, et kood on avalik, ei tähenda, et see oleks auditeeritud.

Veel neli piirangut. Ridade omandiõigust jõustatakse rakenduse koodis ja kinnitatakse ehituse käigus, mitte Postgresi reataseme turvalisusega. Sisuturbepoliitika skriptiallikate seas on ‘unsafe-inline’, põhjusel, mis on koodis kirja pandud, ja see on selle kõige nõrgem rida. Logisid ei jälgita pidevalt: sissetungi tuvastamist ega häireid peale valikulise veateate veebikonksu ei ole. Ja mitmefaktoriline autentimine tuleb sellest, mis on õppija Google'i kontol, mitte ei jõustata seda siin.

Selle asemel on ehitus, mis kukub läbi, kui mõnda reeglit rikutakse: juurdepääsuandmete kontroll otsib valmis kliendikoodist iga ainult serveris olevat väärtust, reeglite testikomplekt kinnitab reegleid, mille projekt endale seadis, ja brauseritestid juhivad päris rakendust. Kõik see töötab iga muudatuse juures.

Üks neist testikomplektidest esitab need küsimused töötavale serverile, mitte lähtekoodile. See saadab võltsitud päringuid, loeb tagasi iga turvapäise, kontrollib, et loa taga olev püsib loa taga, ja loeb, mida tervisekontrolli otspunkt on nõus ütlema. Esimesel käivitamisel leidis see, et päringut, mille aadressi rakendus ei suutnud parsida, koheldi nagu päringut, millel aadressi polnudki. Selle on kirjutanud koodi autorid, nii et see ei saa öelda, kas ülesehitus on õige, ja see ei ole väline ülevaatus, mille puudumisest see osa räägib.

Lepingulist teenustaset praegu ei ole. Kuskil selles rakenduses ega selle tingimustes ei lubata mingit tööajaprotsenti. Järgnev kirjeldab, mida rakendus teeb, kui midagi läheb katki.

Kordamine elab võrgu kadumise üle. Ühenduseta antud hinne läheb brauseris järjekorda ja saadetakse hiljem koos ajaga, mil sellele tegelikult vastati, mitte kunagi kaotsi minnes ega uut aega saades, nii et kordamine rongis ei maksa midagi. Teenustöötaja hoiab lehti, millel õppija viimati oli, ja nende taga ühenduseta ekraani, nii et rakendus avaneb, mitte ei näita brauseri viga. Sõnaraamat, virtuaalõpetaja ja kõne vajavad ühendust ja ütlevad seda, mitte ei paku midagi aegunut.

Kui andmebaas ei ole kättesaadav, lähevad seda vajavad lehed veaekraanile, mis ütleb, et midagi pole kaotsi läinud, ja see on tõsi: kordamislogi täiendatakse alati ainult juurde. Teade ise jääb serverisse, sest andmebaasi viga võib sisaldada ühendusstringi, ja ekraan näitab viidet, mida saate meile tagasi saata.

Kui tehisintellekti teenusepakkujal on halb hetk, liigub rakendus edasi järgmise seadistatud pakkuja juurde, mitte ei lähe katki, ja kui keegi ei vasta, ütleb funktsioon seda. Miski, mis eesti keelt õpetab, ei sõltu mudelist: sõnaraamat, kaardipakk, ajastaja, eksam ja iga harjutusvoor töötavad ka ilma ühegi tehisintellekti teenusepakkujata.

Tervisekontroll. /api/health vastab ilma seansita ja ütleb, kas rakendus töötab, kas andmebaas vastab ja millisest sissekandest see ehitus pärineb. Seal pole arve ega midagi kellegi kohta. Jälgimistööriist saab seda regulaarselt küsida.

Saatke see aadressile privacy@upthink.ee, teemareale „security“. Täielik kord on dokumendis SECURITY.md, koos vastamisaegadega, mida suudame päriselt pidada: kolm tööpäeva kättesaamise kinnitamiseks, kümme selleks, et öelda, kas peame seda probleemiks, ja eesmärgina kolmkümmend päeva kõige kriitilise või kõrge raskusastmega parandamiseks. Kui teade on nii tundlik, et tavaline e-kiri teeb teid murelikuks, kirjutage seda ühe reaga ja ilma üksikasjadeta ning me seame üles teise kanali.

Sama aadress on skannerite ja uurijate jaoks avaldatud failis /.well-known/security.txt standardses vormis ning seda uuendatakse iga juurutusega.

Kui rikkumine peaks kunagi puudutama isikuandmeid, järgime ülal nimetatud intsidendidokumendi korda, ja Eesti järelevalveasutus on Andmekaitse Inspektsioon.

Kontrasti mõõdetakse brauseris mõlemas teemas, iga klõpsuala mõõdetakse jämeda osutiga 44 piksli vastu, axe kontrollib iga muudatuse juures iga marsruuti, ja abitehnoloogiat kasutava puudega inimese auditit ei ole veel tellitud. Ligipääsetavusteatis ütleb, mida väidetakse, mida testitakse ja millised puudujäägid on teada.