Paperweight: кто хранит ваши данные, список сервисов по почте

Что за проект и что я проверил

Проект называется Paperweight, владелец репозитория wslyvh. Я сверил всё по самому репозиторию. Лицензия по файлу LICENSE: MIT, правообладатель wslyvh, 2026 год. Репозиторий создан 31 января 2026, на 14 октября в нём 481 звезда и три открытых обращения, архивным он не помечен. Последний коммит 12 октября 2026. В сентябре вышли версии 0.6.1, 0.7.0, 0.7.1 и 0.8.0, в конце месяца 1.0.0. Заброшенным проект не выглядит, но ему девять месяцев.

Это приложение на Electron и TypeScript, в релизах сборки .exe, .dmg, .AppImage и .deb. В коде анализатора я нашёл детекторы номеров карт, IBAN, телефонов, адресов и дат рождения в письмах. В ящике директора такого добра хватает.

Где лежат данные компании, о которых вы забыли

У любой компании есть аккаунты, о которых помнит один человек или никто. Пробный период CRM, который завёл стажёр. Сервис рассылок, куда когда-то загрузили базу клиентов. Конструктор лендинга, облако с выгрузкой заказов. Каждое такое место хранит чьи-то имена и телефоны, а отвечаете за них вы как оператор.

Любой сервис при регистрации присылает письмо. Список «кто писал мне приветствие, чек или уведомление о входе» и есть черновая инвентаризация. Реестр доступов из статьи про доступы уволенного сотрудника, она не заменит, зато найдёт сервисы, про которые не вспомнил никто.

Условный пример. Допустим, сканер вернул 140 отправителей: 90 рассылки и магазины, 40 сервисы с входом в аккаунт, 10 похожи на рабочие инструменты. Если три из этих десяти оказались забытыми пробниками, это три места, где данные клиентов лежат без владельца. Цифры придуманы для расчёта.

Как подключается к почте и что остаётся на компьютере

Gmail и Microsoft подключаются через OAuth: для Gmail запрашивается право gmail.modify (чтение и изменение писем), для Microsoft права на чтение, изменение и отправку. Остальные ящики идут по IMAP с логином и паролем. Пресеты: iCloud, Proton через Bridge, Yahoo, Fastmail, Yandex, Zoho, Mailbox.org, Posteo, GMX. Для Яндекса в пресете есть ссылка на создание пароля приложения. Mail.ru в списке нет. README заявляет «Custom IMAP», свой сервер вводится вручную, но Mail.ru и корпоративную почту на своём домене я не проверял.

Токены хранятся в защищённом хранилище системы. В коде есть комментарий: если шифрование недоступно, запись идёт открытым текстом. Политика на сайте проекта: приложение ничего не собирает, письма с компьютера не уходят.

Что уходит наружу, по прочитанному. Адрес в Have I Been Pwned приложение не отправляет: при сборке релиза скрипт скачивает публичный список утечек и кладёт его в файл breaches.db внутри программы, сопоставление идёт локально. Поэтому база не свежее даты релиза. Платная лицензия проверяется на сервере проекта, платежи идут через Polar. Запросы на удаление уходят с вашего ящика, перед каждым приложение просит подтверждение. Есть платный режим MCP для ИИ-ассистента: подключите облачную модель, и фрагменты данных поедут к ней. Весь сетевой код я не разбирал, аудита не нашёл.

Запрос на удаление: GDPR-шаблон и 152-ФЗ

Шаблон просит удалить персональные данные и историю аккаунта, отписать от маркетинга, прекратить обработку, уведомить третьих лиц и подтвердить выполнение за 30 дней. Есть запрос доступа, напоминание и письмо-претензия, если срок прошёл. Языков семь: английский, нидерландский, немецкий, французский, испанский, итальянский, португальский, выбор идёт по домену компании. В репозитории около трёх тысяч карточек компаний с контактами, судя по названию папки это европейский каталог Datenanfragen. Если контакта нет, получателя вводят руками.

GDPR для российской компании и её клиентов не действует, у нас 152-ФЗ. Нормы я сверил на КонсультантПлюс 14 октября 2026, там есть пометка о редакции с ещё не вступившими поправками, так что перед отправкой перечитайте текст. Статья 14, часть 1: субъект вправе требовать уточнения, блокирования или уничтожения неполных, устаревших, неточных, незаконно полученных или ненужных для цели данных. Часть 3: ответ в течение десяти рабочих дней, продление не больше чем на пять, в запросе реквизиты документа, удостоверяющего личность, и сведения об отношениях с оператором. Статья 9, часть 2: согласие можно отозвать. Статья 21, часть 5: после отзыва оператор прекращает обработку и, если хранить данные не нужно, уничтожает их не позднее тридцати дней, с оговорками из закона.

Шаблон придётся переписать: убрать GDPR, сослаться на 152-ФЗ, добавить данные для идентификации. Паспортные реквизиты по почте отправляйте после консультации с юристом. Иностранный сервис российским законом не обязан отвечать. Запрос по GDPR к европейской компании может сработать, а может повиснуть без ответа. Гарантий нет.

Что важно учесть

Бесплатная версия показывает, но не делает. По README Free даёт один ящик, историю, список аккаунтов и рассылок, обзор утечек и персональных данных. Отписки, чистку, запросы, несколько ящиков и MCP открывают тарифы Cleanup Pass и Pro. В коде сайта проекта я видел 25 долларов за 30 дней и 60 долларов в год, актуальную цену смотрите на странице тарифов. Как оплатить из России, уточняйте.

Русский язык не подготовлен. Словари разбора писем курированы для английского и нидерландского, немецкий, французский, испанский, итальянский и португальский помечены как черновые, русского нет. Русские письма я не тестировал, ожидайте слабого распознавания. Сервис, который не присылал писем, или аккаунт на другой адрес программа тоже не найдёт.

Что можно сделать уже сейчас: список сервисов за вечер

Заведите тестовый ящик. Перешлите туда 50-100 писем с регистрациями и подключите программу к нему. Так вы увидите, как она читает русские письма, до доступа к клиентской переписке.

Соберите таблицу. Сервис, чей аккаунт (компании или личный сотрудника), какие данные клиентов там лежат, платный ли, кто владелец.

Закройте лишнее. Тестовые и забытые аккаунты удалите, нужные данные сначала выгрузите. Оставшимся включите двухфакторную аутентификацию и переведите пароли в менеджер, например Bitwarden или Passbolt.

Проверьте утечки. Как это делать с адресами компании, написано в материале про проверку утечек. Ревизию под ключ я делаю в рамках услуги по кибербезопасности.

Частые вопросы

Можно ли пользоваться бесплатно?

Смотреть сервисы и рассылки на одном ящике можно. Для отписки, чистки и запросов нужен платный тариф.

Работает ли это с Mail.ru и корпоративной почтой?

Готового пресета для Mail.ru нет. Свой IMAP-сервер указать можно, но такие ящики я не проверял.

Удалит ли сервис данные после запроса?

Гарантий нет. Российский оператор обязан отвечать по 152-ФЗ в сроки закона. Иностранный может промолчать, тогда остаётся закрыть аккаунт самому.

Коротко о главном

Paperweight под лицензией MIT собирает по почте список сервисов с вашими данными и по заявлению авторов держит письма у вас. Бесплатно он показывает, платно действует.

Если хотите провести инвентаризацию сервисов компании и привести запросы к 152-ФЗ, напишите мне в Telegram кодовое слово «ЯЩИК», пришлю чек-лист на вечер.