Хто бачить дані вашої школи? Бекапи, ізоляція і чесні відповіді

Коли школа переносить у CRM усе — учнів, гроші, борги, нотатки про батьків, — вона фактично довіряє постачальнику своє найцінніше. І майже ніхто не ставить постачальнику незручних питань. Даремно: відповіді на них розрізняють системи сильніше, ніж будь-який список функцій.

Ось питання, які ми радимо ставити будь-якій CRM — і наші чесні відповіді за Mimiao.

«Хто з вашої команди може подивитися нашу базу?»

Найнезручніше питання — і найважливіше. Типова відповідь індустрії: «доступ мають лише уповноважені співробітники за внутрішньою політикою». У перекладі: технічно бачать усе, просто пообіцяли не дивитися.

Ми зробили інакше — обмеження вбудоване в код, а не в політику. Службова консоль Mimiao технічно не може повернути вміст записів школи: ні імен і контактів учнів, ні текстів нотаток, ні сум ваших оплат. Оператор платформи бачить назву школи, тариф, статус оплати й чотири знеособлені лічильники (наприклад, кількість активних учнів проти ліміту тарифу) — і все. Ця межа закріплена автоматичними тестами: код, який спробує повернути більше, просто не пройде перевірку.

Єдиний шлях усередину школи — режим підтримки, і він влаштований демонстративно незручно для зловживань: вмикається лише після вашого попереднього схвалення, діє щонайбільше 24 години, показує всім у школі помітний банер «у школі працює підтримка» і записує кожну дію в журнал, який неможливо відредагувати.

Чого ми чесно не обіцяємо: «нульового доступу» не існує ніде — у будь-якого постачальника є інженери з доступом до серверів. Різниця в тому, чи захищений щоденний робочий шлях технічно, чи лише «політикою».

«Що станеться з нашими даними, якщо у вас згорить сервер?»

Правильна відповідь на це питання складається з цифр, а не запевнень. Наші:

• Кожні 6 годин — резервна копія бази. Тобто в найгіршому сценарії втрачається максимум кілька годин роботи, а не тижні.
• Кожна копія перевіряється відновленням. Бекап, який ніколи не пробували відновити, — це лотерейний квиток. Наша система розгортає кожну копію в тестовому середовищі й звіряє ключові таблиці, перш ніж їй довіряти.
• Друга копія — в окремому сховищі, в іншому регіоні, із захистом від перезапису й видалення. Аварія одного дата-центру не знищить обидві.
• Раз на місяць — автоматична «репетиція відновлення» саме з віддаленої копії: ми не віримо, що відновлення спрацює, — ми його регулярно проводимо.
• Перед кожним оновленням продакшену створюється додаткова свіжа копія — без неї оновлення не стартує.

І окремий пункт, який стосується грошей: фінансовий журнал у Mimiao незмінний на рівні самої бази даних. Жоден запис про оплату не можна відредагувати чи видалити заднім числом — ні нам, ні вам, ні комусь із вашої команди. Помилки виправляються лише новими компенсуючими записами, і вся історія залишається видимою.

«А якщо ми перестанемо платити — ви заблокуєте наші дані?»

Питання, яке варто ставити до підписання, а не після. Наша відповідь: ні. Якщо підписка не оплачена, школа переходить у режим читання — власник зберігає доступ до всіх даних і може повернутися будь-коли. А повний архів школи — учні, уроки, рахунки, оплати, відвідуваність, домашки — власник може отримати в будь-який момент у звичайних CSV-файлах: архів формується автоматично, посилання діє обмежений час. Ми принципово не тримаємо дані заручниками: якщо ви залишаєтеся з нами, це має бути через продукт, а не через неможливість піти.

«Хто в самій школі бачить гроші?»

Загроза даним — не завжди зовнішня. Всередині школи теж діють межі: викладач бачить лише своїх учнів і ніколи — чужі ставки, зарплати чи касу школи; батьки бачать лише свою дитину. Кожне право перевіряється на сервері при кожному запиті, а коли ви забираєте в когось доступ — він зникає з наступним запитом, навіть у вже відкритих вкладках.

Для найчутливіших дій є окремий рівень захисту — режим «чотирьох очей»: повернення коштів, коригування балансу чи списання боргу може виконуватися лише після підтвердження власника. Той, хто створив запит, не може сам його схвалити.

Підсумок

Безпека — це не сторінка з красивими іконками замків, а набір рішень, які можна перевірити. Повний список того, що ми гарантуємо (і чого чесно не обіцяємо), — на сторінці безпеки даних.