Безопасность платформы

Последнее обновление : 18/10/2026 — Безопасность ваших школьных данных — наш приоритет. На этой странице подробно описаны технические и организационные меры, которые мы применяем.

1. Шифрование данных

Все соединения между вашим браузером и нашими серверами защищены протоколом TLS 1.3 — текущим стандартом шифрования в интернете.

• TLS 1.3 на всех HTTP-соединениях (включён HSTS, принудительное перенаправление на HTTPS)
• SSL-сертификаты обновляются автоматически (Let's Encrypt)
• Данные в состоянии покоя шифруются на уровне файловой системы и резервных копий
• Сессионные cookie помечены как HttpOnly и Secure

2. Аутентификация и пароли

Ни один пароль никогда не хранится в открытом виде. Мы применяем передовые практики OWASP в области аутентификации.

• Хеширование BCrypt с адаптивной стоимостью (12 раундов) для всех паролей
• Подписанные JWT для аутентифицированных сессий (короткий срок действия + токены обновления)
• Минимальная политика сложности, применяемая при регистрации
• Временная блокировка учётной записи после нескольких неудачных попыток
• Сброс пароля по одноразовой ссылке, действительной 1 час

3. Хостинг и соответствие требованиям

Наши серверы управляются сертифицированным европейским хостинг-провайдером, что обеспечивает соответствие Общему регламенту по защите данных (GDPR).

• Расположение: центры обработки данных, расположенные во Франции
• Сертификаты провайдера: ISO 27001, SOC 2 Type II, ISO 27017 (облако), ISO 27018 (PII)
• Соответствие GDPR: реестр операций обработки, определённые субобработчики, доступный DPO
• Сетевая изоляция: частные VLAN, межсетевой экран веб-приложений (WAF), защита от DDoS

4. Изоляция нескольких учреждений

Каждое учреждение располагает строго изолированным пространством. Ваши данные невидимы для других клиентов платформы.

• Фильтр etablissementId применяется автоматически к 100 % запросов
• Проверка авторизаций на стороне сервера при каждом вызове API (модель нулевого доверия)
• Автоматизированные тесты на отсутствие регрессий по боковым утечкам
• Отсутствие совместного использования конфигурации, расписаний или списков между учреждениями

5. Прослеживаемость и журнал аудита

Все важные действия регистрируются и доступны для просмотра администраторам. Это позволяет вам отвечать на вопросы «кто что сделал и когда?».

• Входы, выходы, сбои аутентификации
• Создание, изменение, удаление пользователей
• Генерация, редактирование, публикация, удаление расписаний
• Экспорт данных, изменения конфигурации
• Хранение журналов: минимум 13 месяцев

6. Резервное копирование и непрерывность

Ваши данные резервируются несколько раз в день. В случае технического инцидента мы гарантируем быстрое восстановление.

• Инкрементальные резервные копии каждые 6 часов
• Ежедневные полные резервные копии, хранятся 30 дней
• Географическая репликация в 2 отдельных центрах обработки данных
• Ежеквартальные документированные тесты восстановления
• RPO (максимально допустимая потеря): 6 часов · RTO (время восстановления): 4 часа

7. Уведомление об инциденте

В случае инцидента безопасности, затрагивающего ваши данные, мы обязуемся:

• Уведомить в течение 24 часов администраторов соответствующих учреждений
• Подробно описать характер инцидента, затронутые данные, корректирующие меры
• Уведомить компетентные органы (GDPR: в течение 72 ч)
• Опубликовать публичный разбор в течение 30 дней для крупных инцидентов

8. Рекомендации для учреждения

Безопасность — общая ответственность. Ниже приведены рекомендации, которые мы просим вас соблюдать:

• Надёжные и уникальные пароли для каждого пользователя (рекомендуется менеджер паролей)
• Немедленно деактивируйте учётные записи пользователей, покидающих учреждение
• Ограничьте роль Администратора ограниченным числом доверенных лиц
• Никогда не передавайте учётные данные — создавайте отдельную учётную запись для каждого пользователя
• Немедленно сообщайте о любой подозрительной активности на security@yaplanning.com