Безопасность данных
Финансовые данные требуют строгих правил. Ниже — как Centa AI обращается с данными сегодня, без обещаний, которых мы не можем подтвердить.
Изоляция компаний и права
- Каждый запрос к данным проверяется по компании, которой эти данные принадлежат, — не по идентификатору из адреса или тела запроса.
- Роли: владелец, администратор, бухгалтер, наблюдатель, сотрудник. Тариф, пользователей и платежи меняют только владелец и администратор.
- Набор проверок безопасности (59 сценариев) проверяет, что одна компания не может прочитать данные другой; мы прогоняем его перед выпуском.
Ключи и вход
- Ключи доступа к банкам, Didox и 1С шифруются (AES-256-GCM) и после сохранения не показываются — только маска.
- Сессия хранится в подписанном cookie с флагом HttpOnly; вход через Telegram проверяется по подписи Telegram.
- Ключи подписи остаются на устройстве пользователя: Centa хранит только открытый ключ.
Файлы, аудит и аналитика
- Документы хранятся в закрытом хранилище; просмотр — по ссылке, которая действует 10 минут.
- Каждое решение по учёту записывается в журнал: старое и новое состояние, кто и когда.
- Продуктовая аналитика хранит только коды событий — без сумм, имён контрагентов и текста вопросов.
Где размещены данные
Приложение работает на платформе Railway (регион в Нидерландах), база данных и файлы — в Supabase (Франкфурт, Германия).