Безпека та дані

Ця сторінка — довідник: де фізично лежать дані вашого бізнесу, хто може їх побачити, чим цей доступ відкликається і що робити, якщо щось пішло не так. Інструкції щодо входу та паролів — у Обліковий запис і вхід.

Де живуть дані#

Хмару та регіон визначає бренд, через який ви зареєструвалися, — це не налаштування облікового запису і на ходу не змінюється.

Бренд	Хмара	Регіон	Що це означає
cenaly.com, cenaly.com	AWS	us-east-1	Дані облікового запису, медіафайли та роздача вітрини — в контурі AWS; роздача статики йде через CDN по всьому світу
cenaly.ru	Yandex Cloud	Росія	Свій контур цілком, включно з власною авторизацією: облікові записи .ru-контуру не заводяться в американському провайдері входу
Турецькі бренди	AWS	eu-central-1	Регіональна копія контуру ближче до ринку. ⚠️ Чесно: eu-central-1 — це Німеччина, а не розміщення всередині Туреччини

Що з цього випливає на практиці:

Облікові записи двох контурів не пов'язані. Обліковий запис на cenaly.ru — це окремий обліковий запис зі своїми даними; «перевести» обліковий запис з однієї хмари в іншу не можна, переїзд означає новий обліковий запис та імпорт даних.
Частина можливостей живе лише в одній хмарі. Наприклад, сканер cookies працює на AWS-брендах, а на cenaly.ru запуск скану штатно відповідає «не підтримується» — це не збій.
Рідко читане важке медіа (наприклад, записи телефонних розмов) зберігається в окремому холодному архіві бренду — дешевше і в тому самому контурі; доступ до файлу залишається миттєвим.
Файли вітрини (меню, фото, публічні документи) навмисно публічні: їх читає браузер гостя без авторизації.

Хто має доступ#

Хто	Що бачить	Як обмежити або відкликати
Власник облікового запису	Усе	Лише передачею облікового запису (`/settings/access`)
Співробітник з логіном	Розділи, видані його ролі, та точки в її охопленні	Конструктор ролей у `/staff`, деактивація або видалення співробітника
Співробітник з PIN-кодом	Касу в межах повноважень своєї ролі	Зміна або зняття PIN у картці співробітника
Пристрій за кодом	Одну цільову сторінку (монітор, кухонний екран) без повного доступу	Видалити код у «QR-кодах» → «Пристрої»
Співробітник підтримки	Лише при увімкненій згоді та у вибраному обсязі; кожна сесія — у журналі	Перемикач у `/settings/support-access`; відкликання гасить і поточну сесію
Партнер-впроваджувач	Лише за схваленим запитом, обмежений час	Режим фірми в тому самому розділі: «не пускати» / «питати щоразу» / «пропускати перегляд»
Зовнішній ІІ-агент за API-ключем	Те, що дозволяє ключ облікового запису	Відкликання ключа в `/settings/access`

Як улаштований доступ партнера#

Партнер ніколи не входить сам. Він надсилає запит із причиною, режимом і тривалістю, а вирішує його лише власник облікового запису — не співробітник і не наша підтримка. Правила, які працюють завжди:

режим за замовчуванням — лише перегляд; «перегляд і зміна» дається окремою галкою під час відповіді;
час обмежений (за замовчуванням година, максимум дві), одночасно відкрита одна сесія;
увесь час візиту в інтерфейсі висить фіолетова плашка з назвою фірми, іменем людини, режимом і зворотним відліком;
у будь-якому режимі закриті: підписка та платежі, дані власника, права співробітників, вивантаження даних, інтеграції, пошта, дзвінки та телефонія, контрагенти й документи, партнерська програма — причому відмову дає сервер, а не лише приховані пункти меню;
запит без відповіді спливає через добу, і ви отримуєте лист про кожен вхід;
відкликання згоди припиняє поточну сесію;
на cenaly.ru партнерського входу немає взагалі.

Докладніше про саму програму — Партнерська програма.

Паролі, коди та сесії#

Ключ доступу	Вимоги	Де відкликається
Пароль власника або співробітника	8+ символів, велика й мала літери, цифра, символ	`/settings/access` — зміна; `/staff` — скидання пароля співробітнику
PIN касира	4–6 цифр, унікальний в обліковому записі, на сервері зберігається лише у вигляді необоротного хешу	Картка співробітника в `/staff`
Код входу пристрою	Посилання `/login?code=…`, за потреби захищене PIN-кодом або паролем	Видалення коду в `/client-codes?tab=devices`
QR-код входу в панель	Вкладка «Вхід в адмінку» — видна власнику та ролі з правом на «Налаштування»	Видалення коду там само
API-ключ для ІІ-агентів	Показується один раз під час створення	`/settings/access`
Особисті SIP-облікові записи	Приватний список кожної людини: свій бачить лише він	`/settings/sip-accounts`

Корисні факти:

Вихід закриває сесію в усіх вкладках браузера; окремої галки «запам'ятати мене» немає.
Звільнення відкликає телефонний додатковий номер співробітника одразу за всіма точками — звільнений не піде з працюючим софтфоном.
Рівні доступу до розділу («перегляд», «зміна», «налаштування») задаються в ролі. Чесна межа на сьогодні: рівень «зміна» справді забороняє запис даних розділу на сервері, а режим «тільки дивитися» самі екрани панелі поки не вмикають — не видавайте розділ тому, кому не можна бачити його вміст.

Дані гостей і згоди#

Механізм	Що робить	Стаття
Cookie-банер	Чотири категорії, блокування сторонніх скриптів до згоди, журнал згод із вивантаженням CSV як доказ, готова сторінка політики cookies	Cookies і згода
Правові документи	Конструктор політики конфіденційності, умов, повернення, доставки та ще п'яти документів за країновими наборами; публікація сторінками сайту	Юридичні документи
Екран «Мої дані» на вітрині	Гість бачить, що про нього зберігається на його пристрої, вивантажує це JSON-файлом і стирає однією кнопкою	—
Віковий гейт 18+	Вмикається власником і стоїть перед вмістом вітрини цілком	Cookies і згода

Дві чесні застереження про «Мої дані»: екран працює з даними пристрою гостя (те, що лежить у його браузері), а не з історією на сервері, і видалення там очищає саме пристрій. Якщо гість просить видалити його замовлення й контакти з вашої бази, це робите ви — у розділі Клієнти.

Важливе розмежування: банер і документи, які бачить гість, — ваші, а не наші. Ви відповідаєте за їхній зміст як власник бізнесу; платформа дає конструктор, хостинг сторінок і журнал згод.

Експорт і видалення#

Забрати все — Експорт даних: один ZIP із налаштуваннями, каталогом, замовленнями, клієнтами та відгуками. До архіву навмисно не потрапляють PIN-коди співробітників, ключі й токени інтеграцій, паролі — архів часто пересилають бухгалтеру або підряднику. Фотографії не упаковуються, залишаються посилання; готовий архів живе 7 днів.
Видалити обліковий запис — через звернення до підтримки після експорту: самостійної кнопки в панелі немає. Строк виконання запиту — 30 днів з моменту його підтвердження; після видалення забрати дані буде нічим, тому експорт робиться до, а не після.
Видалити дані одного гостя — у розділі Клієнти.

Резервні копії#

Кнопки «відновити обліковий запис на дату» в панелі немає, і строків зберігання внутрішніх копій ми не публікуємо — тому свою копію робіть самі: перед масовим імпортом, чищенням каталогу або зміною структури меню зберіть експорт. Це найнадійніший відкат із доступних.

Якщо підозрюєте витік#

За порядком, згори донизу:

Змініть пароль власника — /settings/access.
Вимкніть «Доступ підтримки», якщо його було ввімкнено, і подивіться журнал сесій: хто і коли входив.
Видаліть коди пристроїв і QR-коди входу в панель, які не потрібні прямо зараз (/client-codes).
Відкличте API-ключі на вкладці «Доступ» і випустіть нові там, де вони справді використовуються.
Змініть PIN-коди касирів і скиньте паролі співробітникам, яких підозрюєте; звільнених — деактивуйте в /staff.
Напишіть у підтримку — Як отримати допомогу. Додайте час інциденту, бренд і адресу облікового запису, точку та те, що ви бачили. Це звернення щодо ВАШОГО облікового запису; уразливості платформи йдуть іншим каналом — див. нижче.

Про знайдену уразливість у самій платформі повідомляйте не в загальну підтримку, а на окрему адресу — security@cenaly.com (адреса приймає листи з будь-якого бренду; такі самі ящики security@ на доменах брендів — security@cenaly.com, security@cenaly.ru, security@masamenu.tr — підключаються). У листі: адреса сторінки, кроки відтворення і що вдалося отримати. Будь ласка, не публікуйте деталі до відповіді й не вивантажуйте чужі дані, щоб «перевірити масштаб». Докладніше про канал — Як отримати допомогу.

Чого ми не зберігаємо#

Дані платіжних карток. Ні номера, ні CVV: картку обробляє платіжний провайдер (наприклад, Stripe із сертифікацією PCI Level 1), до нас надходить лише результат платежу — див. Оплата і Stripe.
Секрети в експорті. PIN-коди, ключі, токени й паролі до архіву не потрапляють.
Біометрію. Такий клас даних у контурі заборонений і не збирається.

Що в роботі#

Окремий контур зберігання персональних даних — шифрування за класами даних, журнал кожного звернення до них, ретеншн за подією — у роботі. Строків і обіцянок щодо нього ми тут не даємо: коли він закриє черговий клас даних, це з'явиться в описі відповідного розділу. Так само в роботі кабінет запитів суб'єкта даних (DSAR) — зараз такі запити обробляються вручну, через експорт і розділи «Клієнти» та «Співробітники». Двофакторний вхід на cenaly.ru і в мобільних додатках теж готується — строків не обіцяємо.

Обмеження#

Двофакторний вхід — лише у вебкабінеті AWS-брендів (cenaly.com, cenaly.com та ін.): вмикається в «Налаштування → Доступ», під час входу паролем запитує код із додатка-автентифікатора. Мобільні додатки та вхід через Google або за QR-кодом код поки не запитують, резервних кодів немає, на cenaly.ru фактора немає. Скрізь захищайте вхід довгим паролем і окремими логінами співробітників (спільний пароль на всіх — найгірше, що можна зробити), а планшети й екрани тримайте на кодах пристроїв із PIN.
Розділення хмар жорстке: обліковий запис cenaly.ru і обліковий запис cenaly.com — різні облікові записи, спільного облікового запису в них не буває.
На cenaly.ru немає партнерського входу, журналу сесій підтримки, передавання облікового запису на інший e-mail і сканера cookies.
«Мої дані» гостя чистить пристрій, а не серверну історію замовлень.
Рівні доступу «перегляд» і «налаштування» поки не перетворюють екран на режим читання (див. вище).
Журналу «хто з моїх співробітників що відкривав» у панелі немає; журнали ведуться за входами підтримки й партнерів.
Сертифікованих засобів криптозахисту й формальних меж ИСПДн ми не декларуємо: якщо вашому бізнесу це потрібно за законом, обговоріть задачу до підключення.

Усунення неполадок#

Симптом	Причина	Що робити
Підтримка просить доступ, а я не знаходжу, де його надати	Перемикач лежить на своїй вкладці	Налаштування → Доступ підтримки (`/settings/support-access`): увімкніть згоду та виберіть обсяг
Партнер пише, що не може увійти	Запит не схвалено, минув (доба) або режим фірми стоїть на «не пускати»; на cenaly.ru входу немає взагалі	Перевірте режим та історію на тій самій вкладці, попросіть партнера надіслати запит знову
Співробітник бачить розділ, який йому не потрібен	Розділ надано його ролі цілком	Зніміть розділ у конструкторі ролей `/staff`; рівень «тільки дивитися» екрани поки не включають
Сканер cookies не запускається на cenaly.ru	Функція працює лише на AWS-брендах	Це штатна поведінка; декларацію cookies заповніть вручну — Cookies і згода
Гість вимагає видалити свої дані	Екран «Мої дані» чистить лише його пристрій	Видаліть його картку в розділі Клієнти
Потрібно відкотити масову зміну каталогу	Відновлення «на дату» в панелі немає	Завантажте каталог зі свого експорту, зробленого до зміни

Часті запитання#

У якій країні лежать мої дані? Залежить від бренду: cenaly.com і cenaly.com — AWS (us-east-1), cenaly.ru — Yandex Cloud у Росії, турецькі бренди — копія контуру в eu-central-1 (Німеччина).

Чи може підтримка зайти в мій обліковий запис без дозволу? Ні. Потрібен увімкнений перемикач «Доступ підтримки»; обсяг вибираєте ви, кожна сесія потрапляє в журнал, а відкликання згоди припиняє навіть поточну сесію.

Чи бачить партнер мої гроші та дані співробітників? Ні. Підписка й платежі, дані власника, права співробітників, вивантаження даних, інтеграції, зв'язок, контрагенти й документи закриті в будь-якому режимі — відмовляє сервер.

Співробітник пішов — що відкликати? Деактивуйте або видаліть його в /staff (це ж знімає вхід у панель і відкликає телефонний додатковий номер), змініть PIN-коди, які він знав, і видаліть непотрібні коди пристроїв.

Ви зберігаєте номери карток наших гостей? Ні. Картку обробляє платіжний провайдер; у нас залишається лише результат операції.

Як відповісти гостю, який вимагає видалити свої дані? Знайдіть його в розділі «Клієнти» та видаліть картку; локальні дані свого пристрою він може стерти сам на вітрині через екран «Мої дані».

Чи є у вас DPA та інші документи для перевірки? Умови обробки даних описані в статті Угода про обробку даних (DPA); підписаний примірник та решту документів запитуйте в підтримці.

Пов'язані розділи#

Обліковий запис і вхід — паролі, коди пристроїв, доступ підтримки
Налаштування облікового запису та точки — де що налаштовується
Співробітники та зміни — ролі, охоплення точок, PIN-коди
Експорт даних — забрати все та зробити резервну копію
Cookies і згода — банер, журнал згод, політика cookies
Юридичні документи — політика конфіденційності та умови
Клієнти — видалення даних конкретного гостя
Угода про обробку даних (DPA) — що ми обробляємо, на якій підставі та хто субпроцесори
Як отримати допомогу — куди писати про інцидент; уразливості — на security@ вашого бренду