Возможности
Платформы
Сценарии использования
Тарифы
Сравнить
ПартнёрыСвязаться
ВойтиНачните
Technical Documentation

Security & Encryption
Whitepaper

Техническая документация по архитектуре безопасности OnRaven, шифрованию, аудиту и согласованию с основными рамками безопасности и конфиденциальности. Обновлено: март 2026 г.

Table of Contents

1. Overview2. Encryption Architecture3. Data Protection4. Audit Logging5. Access Control6. Соответствие и готовность

1. Security Overview

OnRaven is built with security at its core. Our platform implements enterprise-grade security measures to protect your customer conversations and business data at every layer of our infrastructure.

Core Security Principles

  • Defense in Depth: Multiple layers of security controls throughout the stack
  • Encryption at Rest & in Transit: All data encrypted using industry-standard algorithms
  • Comprehensive Audit Logging: Every data access is logged for security monitoring
  • Zero Trust Architecture: Strict access controls and verification at every layer
  • Согласование с рамками: техническая и операционная готовность отслеживается по темам сопоставленных контролей (GDPR, CCPA, PIPEDA, SOC 2 и др.)—это не замена вашим оценкам и не заявление о формальной сертификации.

2. Encryption Architecture

2.1 Message Encryption at Rest

All conversation messages are encrypted at the database level using AES-256-GCM (Advanced Encryption Standard with Galois/Counter Mode), providing both confidentiality and authenticity.

Encryption Specifications

  • Algorithm: AES-256-GCM
  • Key Length: 256 bits (32 bytes)
  • IV Length: 128 bits (16 bytes, randomly generated per encryption)
  • Authentication Tag: 128 bits (16 bytes)
  • Key Derivation: PBKDF2 with SHA-256 (100,000 iterations)

2.2 Encryption Process Flow

Step 1: Key Derivation

Master encryption key is derived from a secure secret using PBKDF2 with 100,000 iterations and a fixed salt.

Step 2: Message Encryption

Each message array is serialized to JSON and encrypted using AES-256-GCM with a randomly generated IV.

Step 3: Storage Format

Encrypted data is stored as Base64-encoded string containing: [IV + AuthTag + Ciphertext]

Step 4: Retrieval & Decryption

Upon retrieval, the service automatically decrypts messages before returning them to the application layer.

2.3 Transport Layer Security

All data in transit is protected using TLS 1.3 with strong cipher suites:

  • TLS_AES_256_GCM_SHA384
  • TLS_CHACHA20_POLY1305_SHA256
  • Perfect Forward Secrecy (PFS) enabled
  • HSTS (HTTP Strict Transport Security) enforced

2.4 Key Management

Encryption keys are managed securely:

  • Master keys stored in environment variables (not in code or database)
  • Keys are never logged or exposed in API responses
  • Future roadmap includes AWS KMS integration for enhanced key rotation
  • Per-tenant encryption keys available for enterprise customers

3. Data Protection

3.1 Database Security

  • Encrypted Connections: All database connections use SSL/TLS encryption
  • Network Isolation: Database servers run in private VPC subnets with no public access
  • Automated Backups: Daily encrypted backups with 30-day retention
  • Point-in-Time Recovery: PITR enabled for disaster recovery

3.2 Data Classification

🔴 Highly Sensitive

Customer messages, PII, payment data

Protection: Encrypted at rest + transit, strict access controls, comprehensive audit logs

🟠 Sensitive

API keys, authentication tokens, campaign data

Protection: Encrypted at rest, hashed when possible, limited access

🟡 Internal

User preferences, settings, non-PII metadata

Protection: Role-based access, tenant isolation

🟢 Public

Documentation, marketing materials

Protection: Standard web security practices

3.3 Data Retention & Deletion

We implement strict data retention policies to comply with privacy regulations:

  • Active Data: Retained while account is active and customer has valid subscription
  • Closed Conversations: Retained per customer settings (default: 2 years)
  • Account Deletion: All data permanently deleted within 30 days of account closure
  • Backup Retention: Encrypted backups retained for 30 days, then permanently deleted
  • Right to Deletion: GDPR Article 17 "Right to be Forgotten" fully supported

4. Comprehensive Audit Logging

Every access to sensitive data is logged for security monitoring, compliance, and incident investigation.

4.1 What We Log

Authentication Events

Sign-in attempts (success & failure), Password changes, MFA events, Session creation/termination

Data Access

Message viewing/retrieval, Conversation access, Customer data exports, Admin panel access

Administrative Actions

User role changes, Settings modifications, Integration changes, API key generation/revocation

Data Modifications

Conversation deletions, Account closures, Data exports, GDPR deletion requests

4.2 Audit Log Structure

Each audit log entry contains:

{
  "timestamp": "2026-02-05T10:30:00Z",
  "userId": "uuid",
  "domainId": "tenant-uuid",
  "activityType": "message.access",
  "ipAddress": "192.168.1.1",
  "userAgent": "Mozilla/5.0...",
  "customFields": {
    "conversationId": "conv-uuid",
    "messageCount": 25,
    "action": "view"
  }
}

4.3 Audit Log Retention & Access

  • Audit logs retained for minimum 2 years (configurable per customer requirements)
  • Logs stored in immutable format to prevent tampering
  • Available for customer review via admin dashboard
  • Exportable for external SIEM integration (enterprise customers)
  • Real-time alerting for suspicious activity patterns

5. Access Control & Authentication

5.1 Role-Based Access Control (RBAC)

OnRaven implements granular RBAC with hierarchical permission levels ensuring team members only access what they need. Our system includes platform-level and tenant-level permissions with fine-grained control over features like user management, campaigns, integrations, and customer data access.

5.2 Authentication Mechanisms

  • JWT-based Authentication: Stateless tokens with 24-hour expiration
  • Magic Link Login: Passwordless authentication with single-use tokens (15-minute expiry)
  • Password Security: Bcrypt hashing with proper salt rounds
  • MFA Support: Multi-factor authentication available for enterprise customers
  • API Key Authentication: Encrypted API keys with usage tracking and revocation

5.3 Multi-Tenancy & Data Isolation

Every query includes domain/tenant filtering to ensure complete data isolation:

  • Database queries automatically filtered by domain_id
  • Row-level security prevents cross-tenant data access
  • Separate encryption keys available per tenant (enterprise)
  • Network-level isolation via VPC peering for large customers

6. Соответствие, готовность и рамки

Мы непрерывно мониторим код, облако и конвейеры поставки по ключевым рамкам безопасности и конфиденциальности (включая Aikido Security).

6.1 Отслеживаемые рамки

PCI DSS, уровень 1

Через Stripe

Данные держателей карт обрабатывает Stripe; мы также мониторим элементы управления платформой и инфраструктурой для безопасной платёжной среды.

GDPR

Готово

Шифрование, управление доступом, журналы и меры защиты обработки мониторятся в темах, согласованных с GDPR. Готовность — техническая и операционная, а не регуляторное одобрение.

CCPA

Готово

Доступ к данным, удаление и безопасность обработки закреплены в политике продукта и мониторятся в инфраструктуре и приложениях.

PIPEDA

Готово

Как канадская компания, мы сопоставляем ожидания справедливой работы с информацией и защиты с отслеживаемыми техническими элементами управления.

SOC 2

Готово

Критерии Trust Services (безопасность, доступность, конфиденциальность) отслеживаются в облаке, управлении изменениями, доступе и SLA по уязвимостям. Отчёт SOC 2 Type II — отдельная формальная аттестация.

HIPAA

Готово

Технические меры — шифрование, контроль доступа, аудит, резервное копирование — мониторятся по чек-листам в духе HIPAA. Корпоративным клиентам, которым нужен BAA, напишите нам.

ISO 27001:2022

Готово

Области в духе приложения A — доступ, криптография, журналы, резервы, управление уязвимостями и безопасная разработка — входят в непрерывный мониторинг. Сертификация ISO 27001 требует аккредитованного аудита.

OWASP Top 10

Готово

Проверки приложений и облака покрывают нарушенный контроль доступа, инъекции, криптографические сбои, SSRF, журналирование и смежные риски OWASP Top 10.

NIST SP 800-53

Готово

Семейства элементов управления безопасностью и конфиденциальностью, применимые к нашему SaaS, мониторятся там, где уместно — это не пакет FedRAMP и не государственный ATO.

CIS Controls и AWS Benchmark

Готово

Ожидания CIS Controls v8.1 и CIS AWS Foundations Benchmark лежат в основе постоянного мониторинга конфигурации и гигиены.

NIS2 (ЕС)

Готово

Управление ИКТ-рисками, реагирование на инциденты, цепочка поставок и устойчивость мониторятся в соответствии с темами NIS2.

DORA (ЕС)

Готово

Операционная устойчивость — обнаружение, реагирование, резервы, управление — мониторится в темах ИКТ-рисков в духе DORA.

UK Cyber Essentials

Готово

Базовые меры для периметра, безопасной конфигурации, доступа, защиты от вредоносного ПО и патчей мониторятся по критериям в духе Cyber Essentials.

HITRUST CSF

Готово

Темы управления, ориентированные на медицинские данные, мониторятся с высоким охватом в нашей программе безопасности. Это не сертификация HITRUST.

Aikido Security Audit Report

6.2 Формальные аттестации и операционная готовность

Ниже перечислено то, что обычно требует отдельных программ, договоров или независимой проверки помимо мониторинга сопоставленных контролей:

  • SOC 2 Type II: отчёт независимого аудитора за определённый период—отдельно от непрерывного мониторинга контролей.
  • ISO 27001: формальная сертификация требует аудита аккредитованного органа.
  • HIPAA для подпадающих сценариев: корпоративным клиентам, нуждающимся в BAA, следует связаться с нами для уточнения объёма.
  • Клиентские пентесты и формальные отчёты могут предоставляться под NDA при необходимости.

6.3 Права субъектов данных по GDPR

We fully support all GDPR data subject rights:

  • Right to Access (Article 15): Export all personal data via settings panel
  • Right to Rectification (Article 16): Update profile and data through dashboard
  • Right to Erasure (Article 17): Delete account and all associated data
  • Right to Data Portability (Article 20): Export data in machine-readable format
  • Right to Object (Article 21): Opt out of data processing activities

Questions About Our Security?

Our security team is available to answer technical questions, provide additional documentation, or discuss custom security requirements for enterprise deployments.

Contact Security TeamBack to Security Overview