安全与数据

本页是参考手册：您的业务数据实际存放在哪里、谁可以查看、如何撤销这些访问权限，以及出现问题时的处理方法。登录和密码相关说明请见账户与登录。

数据存放在哪里#

云端和区域由您注册时使用的品牌决定——这不是账户设置，也无法在使用过程中更改。

实际影响如下：

• 两个环境的账户互不关联。 cenaly.ru 上的账户是拥有独立数据的单独账户；无法将账户从一个云端“迁移”到另一个，迁移意味着新建账户并导入数据。
• 部分功能仅在单一云端可用。 例如，cookies 扫描仪在 AWS 品牌上可用，而在 cenaly.ru 上发起扫描会正常返回“不支持”——这不是故障。
• 极少读取的大型媒体（例如通话录音）存放在品牌独立的冷归档中——成本更低且位于同一环境；文件访问仍然即时。
• 店面文件（菜单、照片、公开文档）有意设为公开：访客浏览器无需授权即可读取。

谁拥有访问权限#

合作伙伴访问的运作方式#

合作伙伴从不自行登录。其发送包含原因、模式和时长的请求，而只有账户所有者可以批准——员工和我们支持人员均无权。始终生效的规则：

• 默认模式为仅查看；“查看和修改”需在回复时单独勾选；
• 时间有限（默认一小时，最长两小时），同时仅开放一个会话；
• 访问期间界面始终显示紫色横幅，包含公司名称、人员姓名、模式和倒计时；
• 任何模式下均关闭：订阅和支付、所有者数据、员工权限、数据导出、集成、邮件、通话和电话通信、往来单位和文档、合作伙伴计划——且拒绝由服务器执行，而不仅仅是隐藏菜单项；
• 未回复的请求在一天后过期，且每次登录您都会收到邮件；
• 撤销同意会终止进行中的会话；
• cenaly.ru 上完全没有合作伙伴登录。

有关该计划本身的更多信息——合作伙伴计划。

密码、代码和会话#

实用信息：

• 退出会关闭浏览器所有标签页中的会话；没有单独的“记住我”勾选项。
• 解雇会立即撤销员工在所有门店的电话分机——被解雇者无法继续使用可用的软电话。
• 板块访问级别（“查看”、“修改”、“设置”）在角色中设定。目前诚实的边界是：“修改”级别确实会在服务器上禁止写入该板块数据，而“仅查看”模式目前面板界面尚未实现——请勿将板块授予不应看到其内容的人。

访客数据与同意#

关于“我的数据”的两点诚实说明：该屏幕处理的是访客设备上的数据（即其浏览器中的内容），而非服务器上的历史记录，且其中的删除仅清除设备。如果访客要求从其数据库中删除其订单和联系方式，这由您来完成——在客户部分。

重要区分：访客看到的横幅和文件是您的，而非我们的。 作为企业所有者，您对其内容负责；平台提供构建器、页面托管和同意日志。

导出与删除#

• 取走全部 — 数据导出：一个 ZIP，包含设置、目录、订单、客户和评价。归档中刻意不包含员工 PIN 码、集成密钥和令牌、密码——归档常被转发给会计或承包商。照片不打包，保留链接；生成的归档保存 7 天。
• 删除账户 — 通过联系支持并在导出后进行：面板中没有自助按钮。请求执行期限为确认之日起 30 天；删除后将无法取回数据，因此导出应在删除之前而非之后进行。
• 删除单个访客的数据 — 在客户部分。

备份#

面板中没有“将账户恢复到某日期”的按钮，我们也不公布内部副本的保存期限——因此请自行备份：在大规模导入、清理目录或变动菜单结构之前，先进行导出。这是可用手段中最可靠的还原方式。

如果怀疑泄露#

按顺序，从上到下：

1. 更改密码——所有者密码，/settings/access。
2. 关闭“支持访问”（如果曾启用），并查看会话日志：谁在何时登录过。
3. 删除当前不需要的设备代码和面板登录 QR 码（/client-codes）。
4. 撤销 API 密钥——在“访问”选项卡中，并在确实使用它们的地方重新签发。
5. 更改 PIN 码——收银员的，并重置您怀疑的员工的密码；已离职员工——在 /staff 中停用。
6. 联系支持 — 如何获得帮助。附上事件时间、品牌和账户地址、门店以及您所看到的情况。这是针对您账户的请求；平台漏洞走另一渠道——见下文。

关于平台本身发现的漏洞，请勿报告给一般支持，而应发送至单独地址——security@cenaly.com（该地址接收来自任何品牌的邮件；各品牌域名上的同类 security@ 邮箱——security@cenaly.com、security@cenaly.ru、security@masamenu.tr——正在接入）。邮件中请写明：页面地址、复现步骤以及所获取的内容。请在收到回复前不要公开细节，也不要为“检查规模”而导出他人数据。关于该渠道的更多信息——如何获得帮助。

我们不存储的内容#

• 支付卡数据。 既无卡号也无 CVV：卡片由支付提供商处理（例如具有 PCI Level 1 认证的 Stripe），我们只收到支付结果——见支付和 Stripe。
• 导出中的机密。 PIN 码、密钥、令牌和密码不会进入归档。
• 生物识别数据。 此类数据在系统中被禁止，且不予收集。

进行中的工作#

个人数据独立存储域——按数据类别加密、每次访问的日志、按事件保留——正在进行中。我们在此不给出其期限和承诺：当它覆盖下一个数据类别时，会出现在相应部分的说明中。同样在进行中的是数据主体请求（DSAR）门户——目前此类请求通过导出以及“客户”和“员工”部分手动处理。cenaly.ru 和移动应用中的双重验证也在筹备中——不承诺期限。

限制#

• 双重验证——仅在 AWS 品牌的网页账户中（cenaly.com、cenaly.com 等）：在“设置 → 访问”中启用，用密码登录时要求输入来自验证器应用的代码。移动应用以及通过 Google 或 QR 码登录目前不要求代码，没有备用代码，cenaly.ru 上没有该因素。在所有地方请用长密码和员工独立登录名保护登录（所有人共用一个密码是最糟糕的做法），并将平板电脑和屏幕保持在带 PIN 的设备代码上。
• 云端分离是硬性的： cenaly.ru 账户和 cenaly.com 账户是不同的账户，不存在共用账户。
• cenaly.ru 上没有合作伙伴登录、支持会话日志、将账户转移到另一 e-mail 以及 cookies 扫描仪。
• 访客的“我的数据” 清除的是设备，而非服务器上的订单历史。
• “查看”和“设置”访问级别 目前不会将屏幕变为只读模式（见上文）。
• “我的哪位员工打开了什么”的日志 在面板中没有；日志按支持访问和合作伙伴访问记录。
• 经认证的加密工具和正式的 ISPDn 边界 我们不予声明：如果您的业务依法需要，请在接入前讨论该任务。

故障排除#

常见问题#

我的数据存储在哪个国家？ 取决于品牌：cenaly.com 和 cenaly.com — AWS（us-east-1），cenaly.ru — 俄罗斯的 Yandex Cloud，土耳其品牌 — eu-central-1（德国）的副本环境。

支持人员能否未经许可进入我的账户？ 不能。需要开启“支持访问”开关；范围由您选择，每次会话都会记入日志，撤销同意会终止正在进行的会话。

合作伙伴能看到我的资金和员工数据吗？ 不能。订阅和支付、所有者数据、员工权限、数据导出、集成、通讯、合作方和文档在任何模式下均关闭 — 由服务器拒绝。

员工离职后需要撤销什么？ 在 /staff 中停用或删除该员工（这同时会取消面板登录权限并撤销电话分机号），更改其知道的 PIN 码，并删除不需要的设备代码。

你们存储客人的卡号吗？ 不存储。卡片由支付服务商处理；我们只保留操作结果。

如何回复要求删除其数据的客人？ 在“客户”板块中找到该客人并删除卡片；其设备上的本地数据可由客人自己在店面通过“我的数据”屏幕清除。

你们有 DPA 和其他可供审查的文件吗？ 数据处理条款在数据处理协议（DPA）一文中说明；已签署的副本及其他文件请在支持中索取。

相关板块#

• 账户与登录 — 密码、设备代码、支持访问
• 账户与门店设置 — 各项设置的位置
• 员工与班次 — 角色、门店覆盖范围、PIN 码
• 数据导出 — 取回全部数据并制作备份
• Cookies 与同意 — 横幅、同意日志、cookies 政策
• 法律文件 — 隐私政策与条款
• 客户 — 删除特定客人的数据
• 数据处理协议（DPA） — 我们处理什么、基于何种依据以及谁是子处理者
• 如何获取帮助 — 向何处报告事件；漏洞请发送至您品牌的 security@