Безопасность

Как защищаются данные

Технический статус текущей версии

Уже реализовано

  • пароли хранятся как bcrypt-хеши;
  • сессии используют httpOnly cookie;
  • секреты маркетплейсов шифруются AES-256-GCM до записи в базу;
  • изменяющие API-запросы проверяют пользователя, роль, организацию и origin;
  • TOTP-секрет 2FA шифруется перед хранением, recovery codes и API-ключи хранятся только в виде хеша;
  • после пяти неуспешных попыток вход временно блокируется по hashed fingerprint;
  • смена статуса автопилота и подключений фиксируется в аудите.

Обязательно для production

  • Secret Manager облака вместо хранения секретов в файлах;
  • PostgreSQL, шифрованные резервные копии и регулярная проверка восстановления;
  • распределённый rate limiting, мониторинг подозрительных входов и независимый security review;
  • мониторинг, централизованные логи, alerting и план реагирования на инциденты.

Размещение и платёжные данные

Инфраструктура сервиса размещается в дата-центрах на территории Российской Федерации.

Приёма платежей осуществляется платёжным провайдером ООО НКО «ЮМани» (ЮKassa). Банковские реквизиты карты вводятся на стороне провайдера и не передаются и не сохраняются в сервисе: Исполнитель получает только идентификатор платежа, его статус и сумму.

Транзакционные письма (подтверждение адреса, приглашения, уведомления) доставляются российским сервисом Unisender Go, SMS-алерты — российским сервисом SMS Aero, уведомления в мессенджер — российским мессенджером MAX (платформа VK). Адрес электронной почты, номер телефона и идентификатор пользователя в MAX обрабатываются на территории Российской Федерации; трансграничная передача персональных данных не осуществляется.

Оператор и сообщение об инциденте

Оператор сервиса и персональных данных — Индивидуальный предприниматель Логачев Дмитрий Николаевич, ИНН 504407437532, ОГРНИП 326508100520193, адрес: 141506, Российская Федерация, Московская область, г. Солнечногорск, ул. имени Баранова, д. 21/24, кв. 65.

О подозрительной активности, уязвимости или инциденте безопасности сообщайте на адрес bidder@bidderpro.ru. Обращение рассматривается без неоправданной задержки; при подтверждении инцидента, затронувшего персональные данные, оператор действует в порядке, предусмотренном ст. 21.1 Федерального закона № 152-ФЗ.

Сервис не должен запрашивать пароль от личного кабинета маркетплейса: для интеграций используются только специально выпущенные API-ключи и OAuth-токены.