Отчет о прозрачности: сеть устройств Massive с добровольным согласием пользователей

Каждое устройство в сети Massive находится там потому, что его владелец дал на это согласие, а не потому, что устройство было взломано, включено в пакет без уведомления или захвачено скриптом. Именно этот факт и призван подтвердить данный отчет конкретными данными, а не просто провозгласить в качестве лозунга.

Основные выводы

• Сеть Massive начинала свою деятельность как SDK для монетизации приложений: пользователи обменивали вычислительные ресурсы своих устройств, находящихся в режиме ожидания, на премиум-функции в приложениях, которыми они уже пользовались, причем условия такого обмена оговаривались заранее.
• В настоящее время сеть функционирует на реальных потребительских устройствах в более чем 195 странах; при этом показатель измеряется в количестве ежедневных активных устройств (~1,3 млн DAU), а не по количеству статических IP-адресов, поскольку IP-адреса частных пользователей постоянно меняются.
• Сеть прошла аудит SOC 2, подтвердила соответствие требованиям GDPR и получила сертификат AppEsteem, при этом обеспечивается полный аудиторский след от исходного устройства до каждого отдельного запроса.
• Истинным отличительным фактором является целостность процесса сбора данных, а не конфиденциальность: именно ведение аудиторских журналов в рамках программы SOC 2 компании Massive позволяет фактически отслеживать и проверять факт согласия пользователя на использование устройства, а не утверждение о том, что записей вообще не существует.

О том, откуда на самом деле взялась эта сеть

Компания Massive изначально не была посреднической организацией, которая только после совершения сделки занималась поиском источников интеллектуальной собственности. Она начинала как SDK для монетизации: приложение могло предложить пользователям нечто (премиум-функции, тариф без рекламы, дополнительную внутриигровую валюту) в обмен на то, что устройство пользователя будет предоставлять сети неиспользуемую пропускную способность. Пользователь ознакомился с предложением, согласился на него и продолжил пользоваться приложением. Именно с этого и началось участие каждого устройства, которое в настоящее время находится в сеть прокси-серверов для частных пользователей.

Именно эта история создания компании придает особую значимость её послужному списку в области соблюдения нормативных требований. Происхождение каждого устройства прослеживается через открытый обмен данными SDK, а не через анонимный пул IP-адресов, сформированный задним числом. Журналы аудита, обеспечивающие такую прослеживаемость, являются частью программы безопасности Massive, прошедшей аудит SOC 2 и указанной на её Общедоступный Центр доверия. Важно то, что эти средства контроля связывают реальное устройство с реальным случаем получения согласия, а не основываются на общем утверждении об отсутствии каких-либо записей.

Что на самом деле означает термин «подписался на рассылку» с технической точки зрения

Согласие в данном случае — это не просто флажок, спрятанный в документе с условиями предоставления услуг, который никто не читает. Оно является неотъемлемой частью самого процесса подключения устройства к сети: приложение, в которое интегрирован SDK, раскрывает условия обмена, пользователь принимает их, чтобы получить доступ к тому, что предлагает приложение, и устройство участвует в сети только до тех пор, пока данное приложение остаётся установленным и пользователь не отключает соответствующую настройку. Удалите приложение — и устройство покинет сеть. Здесь нет отдельного этапа, на котором пользователю необходимо было бы осознавать, что он является частью прокси-сети для частных пользователей под этим названием; он понимал, что обменивает ресурсы своего устройства на то, что предлагает приложение, и именно эта сделка подлежит проверке.

Именно по этой причине Massive не приводит данные по количеству устройств. Показатель, который Massive фактически отслеживает и о котором предоставляет отчеты, — это количество ежедневно активных устройств, которое в настоящее время составляет около 1,3 миллиона, поскольку эта цифра отражает реальных, уникальных участников, а не количество IP-адресов, которое может увеличиваться или уменьшаться в зависимости от поведения сети, не имеющего никакого отношения к предложению.

История соблюдения нормативных требований, лежащая в основе заявления о происхождении продукции

Достоверность истории происхождения, основанной на согласии, зависит от наличия аудиторного следа, который может это подтвердить, поэтому вот что служит её подтверждением:

• Аудит SOC 2. Инфраструктура компании Massive и её практики обработки данных проходят независимый аудит в соответствии с требованиями стандарта SOC 2 — это стандартная независимая оценка того, как поставщик услуг обеспечивает управление данными клиентов и безопасность систем. Информация о данной сертификации и механизмах ведения журналов аудита, лежащих в её основе, представлена на сайте компании Massive Общедоступный центр доверия.
• Соблюдение требований GDPR. Обработка данных в сети соответствует требованиям GDPR, что имеет непосредственное значение для любого клиента, обслуживающего пользователей из ЕС или непосредственно осуществляющего деятельность на рынке ЕС.
• Сертификация AppEsteem. AppEsteem — это независимый орган сертификации, специализирующийся исключительно на проверке того, соответствует ли поведение программного обеспечения информации, предоставляемой конечным пользователям. Сертификация в данном случае представляет собой прямую проверку заявлений о получении согласия, проводимую третьей стороной, а не основанную на самоотчётах.
• Полный журнал аудита от источника до запроса. Каждый запрос, проходящий по сети, можно отследить до конкретного устройства, давшего на это согласие, а не до анонимного и неподконтрольного пула IP-адресов.

Ни один из них не является маркетинговым значком, присваиваемым задним числом. Это конкретные механизмы, которые позволяют компании Massive утверждать, что устройство дало согласие, и которые дают возможность проверить достоверность этого утверждения. Мы подробно описываем всю механику этой цепочки согласия в обеспечение функционирования Интернета на основе согласия, а также подробная информация о сертификации приведена в О чем подразделениям по обеспечению соблюдения нормативных требований следует спросить у поставщика услуг по управлению голосованием.

Почему это повторяющееся сообщение, а не разовое заявление

Заявление об источниках, сделанное однажды и больше не пересматриваемое, со временем теряет свою ценность, а не наоборот. Сети расширяются, интеграция SDK меняется, а сертификаты соответствия обновляются в соответствии с собственными графиками. Данный формат отчёта о прозрачности существует для того, чтобы заявление об источниках постоянно обновлялось с учётом актуальных данных, а не оставалось устаревшим в виде статичной строки на странице «О нас», которую никто больше не проверяет.

Что это означает для вас, если вы выбираете поставщика услуг веб-доступа

Если вы являетесь покупателем, уделяющим особое внимание вопросам соблюдения нормативных требований, представителем корпоративной команды или специалистом в области финансов либо анализа угроз, занимающимся оценкой поставщика прокси-сервисов или решений для веб-доступа, то понятие «этическое происхождение» должно быть вопросом, на который вы действительно сможете получить ответ, а не фразой, которую вы принимаете на веру. Механизм получения данных, сертификация и отслеживаемость — вот три аспекта, о которых стоит напрямую спросить любого поставщика: что на самом деле представляет собой механизм получения данных (опция «opt-in» на основе SDK — это иная модель, отличающаяся от нераскрываемого соглашения о комплектации), какие сторонние аудиты и сертификаты подтверждают его, и может ли поставщик отследить конкретный запрос до конкретного устройства, давшего согласие. Поставщик, способный ответить на все три вопроса, может обоснованно заявлять о «этичном происхождении» данных, которое вы действительно сможете проверить. В нашей сопутствующей статье, что на самом деле означает термин «полученный с соблюдением этических норм» в контексте сети доступа в Интернет, в котором эта оценка рассматривается более подробно.

Итог

В компании Massive «этичный подбор пользователей» — это не просто фраза на главной странице. Это механизм добровольного участия на основе SDK, сеть с ежедневной активностью около 1,3 млн устройств, а также набор средств обеспечения соответствия нормативным требованиям (SOC 2, GDPR, AppEsteem), созданный специально для того, чтобы утверждение о таком подборе пользователей можно было проверить, а не просто принимать на веру. Настоящий отчёт предназначен для того, чтобы регулярно подтверждать это с помощью актуальных данных, а не ограничиваться однократным заявлением.