Безопасность

• Все персональные данные клиентов хранятся ТОЛЬКО на серверах в РФ (Yandex Cloud bare-metal).
• Адрес обработки ПД: Российская Федерация, Яндекс Облако.
• Уведомление об обработке ПД готовится для подачи в реестр РКН.
• Право на удаление аккаунта и персональных данных по запросу (152-ФЗ ст. 14).

• TLS 1.3 на всех путях: лендинг, API, share-ссылки, загрузка файлов.
• HSTS preload — браузер всегда использует HTTPS, даже при первом заходе.
• Сертификат Let's Encrypt с автоматическим продлением.
• Нет mixed-content — все ресурсы загружаются по защищённому протоколу.

• Ежедневные бэкапы базы данных и файлов хранилища.
• Шифрование GPG (AES-256) выполняется ДО загрузки на Яндекс.Диск.
• Приватный ключ хранится отдельно от зашифрованных архивов (disaster recovery).
• Если хранилище бэкапов скомпрометируют — данные клиентов остаются в безопасности.

• Каждая компания изолирована на уровне БД: фильтрация по company_id в каждом запросе.
• Проверка прав доступа (permission check) на каждом API-эндпоинте.
• Автоматические тесты cross-tenant утечек — одна компания не видит данные другой.
• API-ключи привязаны к одной компании и не дают доступа к данным других.

• 3 системные роли: Владелец / Менеджер / Просмотр — для быстрого старта.
• Кастомные роли с индивидуальным набором из 30+ permissions.
• Разделение по отделам со scope доступа: all / own_dept / own_user.
• Назначение прав на уровне ресурсов: документы, лиды, сделки, клиенты и т.д.

• Audit log: кто, когда и что сделал — каждое действие сохраняется.
• Логируется: вход в систему, изменения, удаления, экспорт данных, создание и просмотр share-ссылок.
• Хранение записей 1 год (настраивается для enterprise-тарифов).
• Экспорт audit log в CSV для compliance и внутренних проверок.

• ЮKassa — PCI DSS Level 1, самый высокий уровень сертификации безопасности платежей.
• Мы НЕ храним данные банковских карт — только токены ЮKassa.
• Все транзакции проходят через защищённый канал ЮKassa.
• Автоматический кассовый чек через ОФД в соответствии с ФНС 54-ФЗ.

• YandexGPT — классификация документов, создание резюме, ответы на вопросы.
• Yandex SpeechKit — транскрипция аудио и видео файлов.
• Yandex Vision — OCR русского текста, распознавание таблиц, multimodal описание.
• Yandex Embeddings — семантический поиск по документам.
• Никаких запросов к OpenAI, Anthropic или другим иностранным AI-сервисам.
• Вся AI-обработка выполняется на серверах Яндекс Облака на территории РФ.

• JWT токены с TTL 7 дней — короткоживущие для снижения риска кражи токена.
• Bcrypt хеширование паролей с cost factor 12+ (отраслевой стандарт).
• Rate limit на эндпоинтах входа — защита от brute-force атак.
• Passwordless вход через email magic link — без необходимости помнить пароль.

• Whitelist форматов по magic bytes: PDF, DOC/DOCX, XLS/XLSX, изображения, аудио, видео, архивы, CSV.
• Исполняемые форматы (.exe, .sh, .bat, .js, .html) отклоняются до сохранения.
• Проверка magic bytes, а не только расширения — нельзя переименовать .exe в .pdf.
• Лимит размера файла настраивается в зависимости от тарифного плана.

• SSRF защита в Webhooks: запрещены запросы к localhost, 127.0.0.1 и private IP-диапазонам.
• XSS escape для AI-резюме и других пользовательских данных перед вставкой в HTML.
• SQL injection защита через параметризованные запросы asyncpg ($1, $2, ...).
• CSRF защита через JWT в Authorization header (не через cookies по умолчанию).
• API rate limit: 1000 запросов / час для публичных ключей (настраивается).