# SOC 2 и GDPR: о чём следует спросить поставщика прокси-серверов с домашними IP-адресами


Вопросы, которые стоит задать поставщику резидентных прокси, начинаются с одной темы: откуда берется сеть. Сертификаты свидетельствуют о том, что поставщик эффективно осуществляет контроль, и они имеют значение, но наиболее полезно понять, как были получены IP-адреса, поскольку именно на этом основано всё остальное. Это вполне уместные вопросы, которые следует задавать любому партнеру по веб-данным, включая Massive. В данном руководстве приведены эти вопросы в том порядке, в котором их следует задавать, а также указано, как распознать убедительный ответ и, где это уместно, как на них отвечает компания Massive. Это позволит вам отличить прокси-серверы для частного использования, действительно соответствующие требованиям GDPR, от тех, кто лишь на словах заявляет о своей соответственности. Уважаемая сеть предоставит конкретные ответы на каждый из них.

Если вы отвечаете за выбор поставщика веб-данных или объясняете этот выбор команде по безопасности, данное руководство предназначено именно для вас. В нём предполагается, что вы знаете, зачем ваша организация собирает общедоступные веб-данные, и основное внимание уделяется мерам должной осмотрительности, которые обеспечивают надёжность сбора данных и позволяют легко обосновать его правомерность.

## Ключевые выводы

- **Источник данных — это первый вопрос, а не последний.** Сертификаты подтверждают, что поставщик применяет меры контроля; ответ о происхождении данных рассказывает, каким образом IP-адреса были включены в базу. Прежде чем обращать внимание на какие-либо сертификаты, спросите, каким образом устройства попадают в сеть.
- **У SOC 2 есть сфера применения и тип, и оба эти аспекта имеют значение.** Отчёт SOC 2 типа II проверяет меры контроля в течение определённого периода времени; отчёт типа I представляет собой однодневный «снимок». Уточните, какой именно тип отчёта, за какой период и какие из пяти критериев доверия он охватывает.
- **Соответствие GDPR подразумевает наличие законного основания и соглашения о обработке данных (DPA), которое вы можете подписать.** Для прокси-сети ключевым моментом является то, что участие устройств соответствует стандарту получения согласия и что вы можете заключить соглашение об обработке данных с указанием конкретного списка субподрядчиков.
- **Аудиторский след является доказательством прозрачности.** Поставщик, способный отследить запрос до источника, давшего согласие, может продемонстрировать результаты своей работы. Это та же самая [цепочка ответственности](https://www.joinmassive.com/blog/rendering-web-through-consent), которую призвана обеспечить сеть с добровольным участием.
- **Надежный партнёр приветствует такие вопросы.** Качественная проверка предполагает сотрудничество, а не противостояние. Цель заключается в подтверждении прочной основы, и сеть, построенная на такой основе, даст чёткие ответы.

## Почему вопрос об источниках заслуживает честного ответа

Поставщик прокси-серверов для частных пользователей занимает важное место в вашей инфраструктуре: ваш трафик проходит через устройства, которые он предоставляет, поэтому то, как эти устройства вошли в сеть, является частью вашей собственной основы. Именно поэтому понимание источников является важным и полезным моментом, а не простой формальностью.

Не каждая сеть домашних прокси построена на основе согласия, и именно поэтому вопрос об источниках заслуживает реального ответа, а не простого описания. Хорошая новость заключается в том, что сеть, основанная на согласии, упрощает этот процесс: она может указать механизм, через который IP-адреса дали согласие, сослаться на сертификаты, охватывающие каждую часть цепочки, и описать аудиторский след, связывающий запрос с устройством, давшем согласие. Задавая приведенные ниже вопросы, вы просто убеждаетесь в наличии этой основы, и именно такую тщательность ожидает и ценит надежный партнёр.

## Вопросы, которые следует задать, в порядке приоритета

Работайте с этими четырьмя группами вопросов последовательно. Группа вопросов о происхождении данных специально расположена первой, поскольку она является основой, на которой строится всё остальное.

### Группа 1: Поиск поставщиков и согласие

Эта группа имеет наибольшее значение, и именно с неё стоит начать.

- **Как IP-адреса попадают в вашу сеть?** Вам необходим конкретный механизм, открытый SDK, а также пользователи, дающие согласие в обмен на определенную выгоду.
- **Что получил владелец устройства в обмен, и было ли ему разъяснено, на что он соглашается?** Действительное согласие в соответствии со [статьёй 4(11) GDPR](https://gdpr-info.eu/art-4-gdpr/) должно быть добровольным, конкретным, осознанным и недвусмысленным. Именно реальный обмен ценностями делает его подлинным.
- **Может ли пользователь отозвать своё согласие, и что происходит в этом случае?** Статья 7(3) GDPR предусматривает, что отзыв согласия должен быть столь же простым, как и его предоставление. Чёткий ответ свидетельствует о надёжной модели.
- **Можно ли отследить конкретный запрос до устройства, с которого было дано согласие?** Это вопрос, касающийся аудиторского следа, и утвердительный ответ с пояснением является самым весомым сигналом, который может дать поставщик.

### Группа 2: Сертификаты и их сфера действия

Теперь перейдём к сертификатам, с указанием сферы их действия, которая придаёт им значимость.

- **Имеете ли вы сертификат SOC 2, и является ли он типом I или типом II?** Тип II проверяет, эффективно ли действовали меры контроля в течение определенного периода времени в соответствии с [Критериями доверительных услуг AICPA](https://www.aicpa-cima.com/resources/download/2017-trust-services-criteria-with-revised-points-of-focus-2022) (безопасность, доступность, целостность обработки, конфиденциальность, неприкосновенность частной жизни). Запросите отчёт на условиях соглашения о неразглашении (NDA) и проверьте период действия и критерии, входящие в сферу действия сертификата.
- **Имеете ли вы сертификат, охватывающий сам процесс регистрации приложения?** [AppEsteem](https://customer.appesteem.com/Home/AppCertReqs) сертифицирует приложения на соответствие требованиям в отношении отдельного информированного согласия, раскрытия информации о входящих в комплект компонентах и полного удаления. Для сети, основанной на SDK, это является прямым доказательством момента получения согласия.
- **Имеете ли вы сертификат ISO/IEC 27001?** Соответствующим является пункт A.5.19, касающийся отношений с поставщиками, а наличие сертификата свидетельствует о наличии управляемой программы безопасности.

### Группа 3: Обработка данных и правовые аспекты

Документация, облегчающая налаживание отношений.

- **Подпишете ли вы соглашение об обработке данных, и каково ваше правовое основание в соответствии со статьёй 6 GDPR?** Вам необходимо соглашение об обработке данных (DPA), и поставщик должен быть в состоянии указать своё правовое основание для привлечения подрядчиков.
- **Кто является вашими субподрядчиками по обработке данных и как нас будут уведомлять об изменениях?** Статья 28 GDPR регулирует гарантии обработчика и раскрытие информации о субподрядчиках. Наличие конкретного перечня — это правильный ответ.
- **Каковы ваши обязательства в отношении сроков хранения данных и уведомления о нарушениях?** Вам необходимы четко определенные сроки хранения данных и график уведомлений, на основе которых вы сможете планировать свои действия.

### Группа 4: Операционные вопросы и поддержка

Вопросы, которые будут актуальны для службы безопасности после подписания соглашения.

- **Каков ваш процесс реагирования на инциденты и как нам связаться с реальным специалистом в случае их возникновения?** Для корпоративного заказчика прямой канал поддержки предпочтительнее очереди на обработку заявок.
- **Как вы обеспечиваете работоспособность и мониторинг своей сети?** Поставщик, активно поддерживающий свой ресурсный пул, заботится об основании, от которого зависит ваша деятельность.

## Как выглядит убедительный ответ: пример ответов компании Massive

Цель этих вопросов — получить конкретные сведения. Чтобы наглядно продемонстрировать это, приведём пример того, как на них отвечает сильная сетевая компания, используя нашу собственную сеть в качестве примера. Рассматривайте это как образец хорошего ответа, а не как сценарий, который нужно повторять слово в слово.

| Ваш вопрос | Убедительный, конкретный ответ | Как отвечает Massive |
|----------------|---------------------------|---------------------|
| Как IP-адреса присоединяются к программе? | Указывает на открытый SDK и реальный обмен ценностями | Каждый IP-адрес присоединился через SDK Massive, где пользователи обменивали неиспользуемую пропускную способность на премиальные преимущества приложения |
| Возможно ли отследить запрос до источника, давшего согласие? | Да, описывается аудиторский след | Полный аудиторский след от источника до запроса |
| SOC 2? | Тип II, указаны период и критерии, информация предоставляется в соответствии с соглашением о неразглашении (NDA) | Прошёл аудит SOC 2 Тип I (безопасность), декабрь 2025 г.; отчёт доступен в соответствии с соглашением о неразглашении (NDA) через Центр доверия |
| Отзыв согласия? | Четко проработанный процесс, столь же простой, как и предоставление согласия | Возможность отзыва участия в соответствии со ст. 7(3) GDPR |
| Субподрядчики и соглашение об обработке данных (DPA)? | Имеется перечень с указанием имен, соглашение DPA готово к подписанию | Соответствует требованиям GDPR, соглашение DPA доступно |
| Сертификация регистрации? | AppEsteem или эквивалент | Сертифицировано AppEsteem; образцы экранов согласия доступны в соответствии с соглашением о неразглашении (NDA) |
| Охват и присутствие? | Реальные устройства, конкретные регионы | Реальные потребительские устройства в более чем 195 странах |

Обратите внимание на конкретность ответов: надежный поставщик предоставляет механизмы и документы в качестве подтверждения. Именно это позволяет ускорить процесс проверки, поскольку ответы уже готовы.

## Анкета для поставщиков, которую можно использовать повторно

Используйте эти десять вопросов непосредственно при следующей проверке партнера по веб-данным. Их можно справедливо задать любому, включая нас:

1. Опишите точно, как IP-адрес становится частью вашей сети.
2. Что получает владелец устройства за участие и как ему раскрывается информация об участии?
3. Как пользователь может отказаться от участия и каковы последствия такого отказа?
4. Можете ли вы отследить конкретный исходящий запрос до устройства-источника, давшего согласие? Опишите аудиторский след.
5. Предоставьте ваш отчет SOC 2. Укажите тип отчета, отчетный период и критерии, входящие в сферу его действия.
6. Какая сертификация охватывает вопросы получения согласия и раскрытия информации при регистрации приложения?
7. Укажите правовое основание в соответствии с GDPR для сбора данных и подтвердите, что вы подпишете соглашение о обработке данных (DPA).
8. Перечислите ваших субподрядчиков по обработке данных и опишите процесс уведомления об изменениях.
9. Укажите сроки хранения данных и сроки уведомления о нарушениях.
10. Опишите ваш процесс реагирования на инциденты и каналы поддержки, доступные во время инцидента.

Партнёр, который даёт конкретные ответы на все десять вопросов, — это тот, с которым вы можете смело сотрудничать. Принципы, определяющие, что делает [сеть прокси-серверов для частных пользователей](https://www.joinmassive.com/blog/ethically-sourced-web-access-network) этически обоснованной, служат основой для каждого из этих вопросов.

## Часто задаваемые вопросы

### Является ли сеть прокси-серверов для частных пользователей соответствующей требованиям GDPR только потому, что так заявляет поставщик?

Это утверждение легко проверить, и именно в этом заключается смысл данного вопроса. Соответствие прокси-сети требованиям GDPR подразумевает наличие законного основания в соответствии со статьёй 6, согласие на участие устройства, отвечающее стандарту статьи 4(11), соглашение об обработке данных, готовое к подписанию, а также раскрытие информации о субподрядчиках. Поставщик, способный предоставить соглашение об обработке данных (DPA) и указать своё правовое основание, соответствует требованиям, что вы можете проверить; при этом надёжный поставщик будет иметь эти документы в готовом виде.

### В чём заключается разница между SOC 2 Тип I и Тип II для поставщика прокси-услуг?

Тип I описывает меры контроля поставщика на определённый момент времени; Тип II проверяет, эффективно ли эти меры контроля функционировали в течение определённого периода, обычно от 3 до 12 месяцев. Отчет SOC 2 Тип II имеет наибольший вес при проверке, поскольку отражает стабильную работу. Уточните, какой тип отчета предоставляется, какой период охватывает отчет и какие из пяти критериев доверия (Trust Services Criteria) входят в его сферу применения.

### Какими сертификатами должен обладать провайдер прокси-сервисов для частных пользователей, соответствующий нормативным требованиям?

Обратите внимание на сертификат SOC 2 Типа II, подтверждающий наличие операционных мер контроля; соответствие требованиям GDPR с возможностью подписания соглашения о обработке данных (DPA) для обеспечения законных оснований и получения согласия; а также сертификат, охватывающий процесс регистрации приложений, например AppEsteem, для подтверждения момента получения согласия. Сертификат ISO/IEC 27001 является весомым дополнительным подтверждением. Набор этих сертификатов важен, поскольку каждый из них охватывает отдельный аспект: регистрацию, правовые основания и операционную деятельность. В совокупности они свидетельствуют о надежном функционировании системы.

### Как аудиторский след помогает мне как покупателю?

Он обеспечивает вам подтверждаемую прозрачность. Поставщик, способный отследить запрос до исходного устройства, давшего согласие, может не просто утверждать, а доказать, что его ресурс был подключен с согласия пользователя. Это и есть практическое подтверждение заявлений о происхождении ресурсов, и именно такой ответ упрощает проведение проверки безопасности. Когда поставщик может продемонстрировать вам всю эту цепочку, вы можете с уверенностью внедрить данную сеть.

## Вывод

Качественная проверка поставщика прокси-услуг на самом деле заключается в подтверждении прочной основы, и она начинается с одного вопроса: каким образом ваши IP-адреса были включены в сеть. Сертификаты, соглашения о защите данных (DPA) и анкеты существуют для того, чтобы подкрепить ответ доказательствами, и у авторитетной сети эти доказательства всегда готовы. Поинтересуйтесь механизмом, сертификатами с определённой сферой действия и аудиторским следом, а также обратите внимание на конкретные детали.

Поставщики, с которыми стоит сотрудничать, будут рады таким вопросам, поскольку сеть, построенная на основе открытого процесса «opt-in», прошедшая аудит SOC 2 Типа I, соответствующая требованиям GDPR, имеющая сертификат AppEsteem и полный аудиторский след от источника до запроса, создана именно для того, чтобы отвечать на них. Чтобы узнать о механизме, лежащем в основе этой модели, ознакомьтесь со статьёй [«Как на самом деле работает прокси-сеть с добровольным согласием»](https://www.joinmassive.com/blog/rendering-web-through-consent), а также посмотрите, как одна из сетей документирует своё соответствие нормативным требованиям, на сайте [Massive](https://joinmassive.com).