Данные и доступ
Ваши бухгалтерские данные в Европейском союзе: где они и кто их касается.
База данных, файлы и вычисления находятся во Франкфурте, и это мы проверяем, а не просто утверждаем. Байты каждого документа уходят в Anthropic, чтобы его прочитать, а байты из бота проходят через Telegram: это тоже написано здесь.
01Данные и доступ
Где мои бухгалтерские данные?
В Европейском союзе: база данных и документы во Франкфурте, и функции сайта тоже.
База данных и хранилище документов находятся в eu-central-1, Франкфурт, а функции, которые отдают сайт, выполняются в том же регионе. Это утверждение взято не из подписи в панели управления: имя сервера разрешается, и его адрес сравнивается с диапазонами, которые публикует поставщик инфраструктуры. Две прежние попытки оказались в Лондоне и в Париже — именно так это и увидели.
Чего мы не говорим — так это того, что ваши данные никогда не покидают Европейский союз, потому что это было бы неправдой. Размещены в Европейском союзе — да: база данных, файлы и вычисления. Но чтобы прочитать документ, его байты едут в Anthropic, а счёт, который приходит через бота, сначала проходит через серверы Telegram. Ни то, ни другое не ограничено Европейским союзом.
- База данных и документы
- Франкфурт, eu-central-1. Проверено против диапазонов адресов, которые публикует поставщик, а не против подписи в панели.
- Вычисления
- Функции, которые отдают сайт, закреплены за Франкфуртом.
- Что покидает Европейский союз
- Байты документа — к модели, которая его читает. Файл из бота — через Telegram. Мы говорим это здесь, потому что анкета поставщика спрашивает об этом первым.
02Данные и доступ
Может ли другая фирма увидеть мои счета?
Нет, и это не зависит от того, вспомнит ли приложение про фильтр: граница находится внутри базы данных.
В каждой таблице с бухгалтерским содержимым указана компания, которой оно принадлежит, и каждый запрос проходит через политику самой базы данных, сводящуюся к одной функции: тот, кто спрашивает, должен быть активным участником этой фирмы. Граница — фирма, а не человек: владелец и администраторы достают все компании фирмы, бухгалтер — только назначенные ему. У запроса без фильтра база данных отбрасывает строки других фирм.
Есть четыре пути, которые через это не проходят, и они названы: два публичных вебхука — бот и платежи, которые аутентифицируются криптографической подписью, а не сессией, — удаление аккаунта и назначение файла, который ждёт во Входящих. Это четыре файла, их можно проверить. А у изоляции есть собственный автоматический тест, который выполняется вместе с остальными и падает, если одна фирма достаёт данные другой.
- Граница — фирма
- Владелец и администраторы видят все компании фирмы, бухгалтер — только назначенные ему.
- Роль «только чтение»
- Она есть в базе данных и сегодня запрещена. Мы предпочитаем запретить лишнее — это видно сразу, — чем разрешить лишнее, чего не видно никогда.
- Вебхуки
- Бот и платежи входят по криптографической подписи, а не с сессией пользователя.
- Проверяется, а не предполагается
- Автоматический тест пытается перейти границу между двумя фирмами и падает, если у него получается.
03Данные и доступ
Кто ещё обрабатывает мои документы?
Шесть поставщиков — с именами и с тем, что получает каждый.
Supabase хранит базу данных, документы и аккаунты — во Франкфурте. Vercel выполняет сайт в том же регионе. Anthropic получает сырые байты каждого счёта, каждого расчётного листка и каждой выписки в PDF: там и находится ИИ продукта — модель, которая читает документ и предлагает поля, а то, что она не решает, остаётся на проверке, пока это не утвердит человек. Telegram перевозит то, что вы отправляете через бота.
Stripe ведёт подписки, а Resend только отправляет письмо из формы обратной связи: ни тот, ни другой не видит ваших документов. О том, используются ли эти документы для обучения моделей, вы не прочитаете здесь ни «да», ни «нет»: субобработчик — Anthropic, и в анкете поставщика весят его собственные условия, а не наша фраза.
- Supabase
- База данных, хранилище документов и аккаунты. Франкфурт.
- Vercel
- Выполнение сайта, закреплено за Франкфуртом.
- Anthropic
- Получает документ целиком, чтобы его прочитать, и сводку утверждённых счетов, по которой отвечает ассистент. Любой текст из счёта передаётся ему помеченным как данные, никогда как инструкция.
- Telegram
- Только если вы пользуетесь ботом: файл проходит через его серверы, прежде чем мы его скачаем.
- Stripe и Resend
- Подписки и письмо из формы. Если почта настроена неверно, ваше обращение всё равно сохраняется, а форма говорит, что ничего не отправлено.
04Данные и доступ
Как войти в аккаунт?
По почте с паролем или через Google. А новый аккаунт ждёт, пока человек его впустит.
При регистрации спрашивают название фирмы и её NIF — одна фирма на один NIF. Кнопка Google появляется только тогда, когда провайдер входа действительно включён: об этом спрашивают, прежде чем её показать, потому что однажды она была объявлена, будучи выключенной. Подтверждение почты доказывает, что у кого-то есть почтовый ящик, и ничего не говорит о том, хотим ли мы этого человека внутри продукта, в котором лежит бухгалтерия других фирм.
Поэтому каждый новый аккаунт мы проверяем вручную. Пока он не одобрен, он не может ничего: ни через сайт, ни через бота, и сама база данных отказывается создать ему компанию. Обычно это занимает от пяти до десяти минут в рабочее время. А аккаунт, который не подходит, остаётся заблокированным, а не удалённым, потому что блокировку можно отменить, а удаление — нет.
- Как входят
- Почта с паролем или Google, когда провайдер включён. Восстановление пароля и подтверждение почты — стандартные потоки.
- Одобрение вручную
- Новый аккаунт ничего не делает, пока мы его не проверим. От пяти до десяти минут в рабочее время.
- Подписанные ссылки
- Документы живут в приватном хранилище и никогда по публичному адресу: час действия в приложении, пять минут во Входящих.
05Данные и доступ
Могу ли я забрать данные и удалить аккаунт?
Да на то и на другое, и стоит точно знать, что означает каждое.
Экспортируется то, что строит продукт: книга полученных счетов и листы 303 и 347 в Excel, один лист и список счетов в CSV, Главная книга в своём Excel. Оригиналы — PDF и фотографии — скачиваются по одному по подписанной ссылке. Чего нет, так это кнопки, которая выгрузит вам весь аккаунт одним файлом.
Удаление аккаунта удаляет по-настоящему: пользователя, профиль, компании, счета, выписки и план счетов, а файлы каждой компании вычищаются, включая файлы поданных деклараций. Перед удалением записывается, какие папки нужно вычистить, чтобы неполная очистка оставила след. А в удалении отказывают, когда этот аккаунт — владелец фирмы, к которой всё ещё относятся другие активные люди.
06Данные и доступ
Чего мы не обещаем?
То, что изоляция внутри базы данных дать не может, — сказано прежде, чем вы спросите.
Нет отдельных ключей шифрования для каждой фирмы. Нет восстановления на точку во времени для одной фирмы. И нет невосприимчивости к нагрузке другой фирмы, потому что база данных общая. Эти три вещи — ровно то, до чего изоляция политиками не достаёт, а четвёртая — пути, которые её обходят, — названа выше, а не спрятана.
Журнал аудита тоже не пишется: таблицы есть, но пока их ничто не заполняет. Входа документов по электронной почте нет. И вы не прочитаете здесь фразы о соответствии нормам: есть только то, что делает код, и каждое утверждение на этой странице можно проверить по нему.
- Ключи шифрования по фирме
- Их нет. Что есть: приватное хранилище, подписанные ссылки, которые истекают, и политика по фирме в каждом запросе.
- Восстановление на точку во времени
- Одну фирму нельзя вернуть в прежний момент, не задев остальные.
- Нагрузка других
- База данных общая. Шумного соседа заметно, и сказать это честнее, чем обещать обратное.
- Журнал аудита
- Пока не пишется. Если он нужен вам для клиента, скажите нам до того, как решите.
07Вопросы
О чём спрашивают хестории и фирмы, прежде чем попробовать?
Мои данные в Европейском союзе?
Может ли другая асесория увидеть моих клиентов?
Лежат ли мои документы по какому-нибудь публичному адресу?
Кто обрабатывает мои данные кроме вас?
Что удаляется, когда я удаляю аккаунт?
Можно ли дать доступ коллеге по фирме?
Пришлите нам анкету поставщика.
Если клиент письменно спрашивает вас, где его данные и кто их обрабатывает, передайте нам эти вопросы, и мы ответим на каждый по отдельности. А если вы предпочитаете сначала посмотреть изнутри, бесплатный план не истекает и не просит карту.