Информационная безопасность

Защита передаваемых данных

• Весь трафик между браузером пользователя и сервером шифруется по протоколу HTTPS (TLS 1.3).
• Сертификаты SSL выпущены доверенным центром Let's Encrypt и автоматически обновляются.
• Соединения с почтовыми серверами Заказчика (SMTP, IMAP) устанавливаются по TLS.

Хранение учётных данных

• Пароли почтовых ящиков и токены OAuth шифруются алгоритмом AES-256-GCM с уникальным ключом, хранящимся вне базы данных.
• Пароли хранятся только в виде стойких хешей; сессии обслуживаются собственной инфраструктурой Opnly на базе Better Auth.
• Резервные копии базы данных создаются регулярно, хранятся в защищённой инфраструктуре Opnly, а восстановление периодически проверяется.
• Вложения входящих писем хранятся в приватном каталоге, не доступном как статический URL; перед выдачей файла Сервис проверяет сессию и права организации.

Обработка персональных данных

Opnly обрабатывает персональные данные в соответствии с Федеральным законом № 152-ФЗ «О персональных данных». Подробнее — в Политике конфиденциальности.

Передача персональных данных третьим лицам не осуществляется, за исключением случаев, прямо предусмотренных законодательством или указанных в Политике конфиденциальности.

Платёжные данные

Платежи обрабатываются партнёром АО «ТБанк» по стандарту PCI DSS. Opnly не хранит и не получает доступ к полным данным банковских карт пользователей. На стороне сервиса хранится только токен для повторных списаний (RebillId), который не позволяет получить номер карты.

Контроль доступа сотрудников

Внешний каталог организаций доступен администраторам. При добавлении адресов в списки контактов проверяются права текущей организации; существующие отметки об отписке и ошибках доставки сохраняются.

• Доступ к производственной базе данных имеют только администраторы с уникальными учётными записями и MFA.
• Ключевые действия в админ-панели логируются в журнал аудита, а продуктовые действия аккаунта сохраняются отдельно для поддержки клиентов и расследования инцидентов.
• Сотрудники проходят инструктаж по информационной безопасности.

Реагирование на инциденты

В случае выявления инцидента безопасности, затрагивающего персональные данные пользователей, Opnly уведомляет затронутых пользователей по email в течение 72 часов с момента обнаружения и принимает меры по устранению последствий.

Сообщить об уязвимости

Если вы обнаружили уязвимость в сервисе, пожалуйста, сообщите нам на support@opnly.ru с темой «Security». Мы благодарим исследователей за ответственное раскрытие.