Техническая архитектура, безопасность и эксплуатация

Настоящий документ является частью единого публичного комплекта документации программного продукта «Основа Бизнеса».

Статус документа и правила толкования

Настоящий документ раскрывает публичную часть архитектурной и эксплуатационной модели программного продукта «Основа Бизнеса». Его задача — дать пользователю, партнёру, эксперту или иной заинтересованной стороне достаточное понимание того, как организованы работа программного продукта, изоляция организаций, доступ пользователей, хранение данных, обновления и техническая поддержка.

Документ намеренно не содержит паролей, ключей, токенов, закрытых адресов, внутренних сетевых параметров, значений переменных окружения, конфигураций средств защиты, исходного текста программы и иных сведений, раскрытие которых может создать риск для программного продукта или его пользователей.

Технические названия приводятся только там, где они необходимы для идентификации технологической основы. При расхождении между настоящим публичным документом и закрытой эксплуатационной документацией приоритет для технических работ имеет актуальная закрытая документация соответствующей редакции.

1. Назначение и архитектурный принцип

«Основа Бизнеса» построена как единое многопользовательское веб-приложение. Пользователь работает через браузер, а основные вычисления, правила обработки данных, проверка полномочий и взаимодействие с базой данных выполняются на серверной стороне.

Архитектура организована вокруг общего ядра безопасности, пользователей, организаций и данных. Функциональные области — финансы, налоги, персонал, склад, контрагенты, документы, тендеры, задачи, аналитика и AI-функции — используют общие правила идентификации пользователя и принадлежности данных организации.

Такое устройство позволяет развивать продукт без создания отдельных независимых программ для каждого раздела и сохранять единые требования к доступу, журналированию и целостности информации.

2. Модель предоставления SaaS

Программное обеспечение предоставляется как интернет-сервис SaaS. Стандартному пользователю не требуется самостоятельно устанавливать серверную часть, базу данных или специализированный настольный клиент. Для работы используется поддерживаемый современный веб-браузер и индивидуальная учётная запись.

Обновление серверной редакции выполняется централизованно оператором эксплуатации. Это позволяет одновременно применять исправления и изменения к обслуживаемой программной среде и уменьшает риск работы отдельных пользователей на несовместимых редакциях.

3. Организации и изоляция данных

Платформа является многопользовательской: одна программная система может обслуживать несколько организаций. Бизнес-данные каждой организации логически отделяются от данных других организаций.

Для доступа к прикладным данным используется контекст активной организации. Финансовые операции, складские записи, документы, контрагенты, задачи и иные рабочие сведения относятся к конкретной организации и должны обрабатываться только в рамках разрешённого организационного контекста.

Один пользователь может иметь полномочия в нескольких организациях. Наличие доступа к одной организации не предоставляет автоматического права видеть данные другой. В каждой организации полномочия пользователя определяются отдельно.

4. Аутентификация, роли и полномочия

Доступ к закрытой части платформы предоставляется после идентификации пользователя. Для каждого сотрудника должна использоваться собственная учётная запись. Передача пароля между сотрудниками противоречит требованиям безопасной эксплуатации и затрудняет установление автора действия.

В платформе применяется ролевая модель доступа. Подтверждённая базовая модель включает директора, администратора, финансиста, сотрудника реализации, кладовщика, руководителя отдела, сотрудника и наблюдателя. Роль определяет исходный набор функциональных возможностей; дополнительные ограничения и разрешения могут применяться на уровне организации.

5. Обработка и целостность бизнес-данных

Для ключевых бизнес-данных используется событийный подход: итоговое состояние формируется через предусмотренные операции и их статусы. Например, складской остаток изменяется вследствие проведённого движения, а финансовые показатели формируются на основании зарегистрированных и проведённых операций.

Платформа предусматривает проверки обязательных реквизитов, статусов и допустимости переходов между состояниями. Для критичных операций применяются ограничения, препятствующие произвольному изменению уже подтверждённого факта без предусмотренной процедуры отмены, сторнирования или корректирующей операции.

Такая модель направлена на сохранение объяснимости данных: пользователь должен иметь возможность установить, какими операциями сформирован конкретный управленческий результат.

6. Работа с файлами и документами

Пользовательские файлы и документы хранятся в составе инфраструктуры сервиса и предоставляются через прикладную логику после проверки пользователя, организации и прав доступа. Прямой открытый доступ к внутреннему хранилищу не является стандартным способом работы пользователя.

Оператор принимает меры к разграничению доступа и защите хранимых материалов. Одновременно клиент отвечает за правомерность загрузки документа, наличие необходимых оснований для обработки содержащихся в нём персональных данных и отсутствие в файле запрещённого или вредоносного содержимого.

7. Журналирование и контроль изменений

В программной и эксплуатационной модели предусмотрено журналирование значимых событий. Оно используется для технического контроля, расследования ошибок, анализа изменений и подтверждения последовательности действий в пределах доступных механизмов.

Журналирование не означает публичного раскрытия журналов всем пользователям. Объём отображаемой информации определяется ролью, назначением журнала, требованиями безопасности и применимыми пользовательскими документами.

Развитие версии 2.0 предусматривает дополнительное усиление уведомлений, журналирования изменений и контроля целостности обмена данными. Эти направления являются развитием продукта и не должны толковаться как заявление о наличии каждой будущей функции в текущей коммерческой редакции.

8. Production-инфраструктура в Российской Федерации

Production-размещение «Основа Бизнеса» организовано в Yandex Cloud на территории Российской Федерации. Целевая схема включает вычислительные ресурсы для приложения, управляемую базу данных PostgreSQL, объектное хранилище файлов, средства хранения секретов, журналирования и мониторинга.

База данных не предназначена для прямого публичного подключения пользователей из сети Интернет. Пользователь получает доступ к информации через веб-приложение, где выполняются проверки полномочий и прикладных правил.

9. Персональные данные и локализация

При сборе персональных данных граждан Российской Федерации через сайт и платформу оператор организует запись, систематизацию, накопление, хранение, уточнение и извлечение соответствующих данных с использованием баз данных, находящихся на территории Российской Федерации, в соответствии с применимыми требованиями законодательства.

ООО «ОСНОВА БИЗНЕСА» внесено в реестр операторов, осуществляющих обработку персональных данных Роскомнадзора, регистрационный номер записи 23-26-184908. Сам факт включения в реестр не заменяет наличие конкретного правового основания обработки: для каждой цели применяется предусмотренное законом, договором или отдельным согласием основание.

В отношении данных, которые клиент самостоятельно размещает в своей рабочей области о сотрудниках, представителях, контрагентах и иных лицах, распределение обязанностей определяется характером отношений и, при необходимости, поручением на обработку персональных данных. Клиент обязан иметь собственное законное основание для передачи таких данных в сервис.

10. Организационные и технические меры безопасности

Защита информации строится как совокупность организационных и технических мер. Конкретный состав закрытых мер определяется внутренней документацией, оценкой рисков, характеристиками информационных систем и фактической конфигурацией production-среды.

• персональная аутентификация и разграничение полномочий пользователей;
• изоляция данных организаций и проверка организационного контекста;
• ограничение административного доступа и применение принципа минимально необходимых прав;
• отделение секретов, ключей и конфигурационных значений от публичной документации и пользовательского интерфейса;
• журналирование, мониторинг и эксплуатационный контроль событий;
• резервное копирование и предусмотренные процедуры восстановления;
• управление изменениями программного обеспечения и проверка перед выпуском обновлений;
• организационные правила обращения с персональными и конфиденциальными данными.

Публичное описание не раскрывает детальные параметры средств защиты, поскольку такие сведения могут использоваться для обхода мер безопасности. Заинтересованным уполномоченным лицам закрытая информация может предоставляться в установленном порядке и объёме.

11. Внешние сервисы и интеграции

Платформа может взаимодействовать с внешними сервисами для получения справочной информации, импорта данных, проверки реквизитов, обмена файлами или реализации отдельных дополнительных функций. Наличие конкретной интеграции зависит от редакции продукта, её подключения и доступности соответствующего внешнего сервиса.

Внешняя система не рассматривается как часть исключительного права на «Основа Бизнеса». При недоступности стороннего сервиса затрагиваемая дополнительная функция может быть временно ограничена, при этом базовая работа остальных независимых разделов должна оцениваться отдельно.

При подключении внешнего сервиса оператор учитывает условия его использования, правовые основания передачи данных и требования к защите информации. Публичная документация не утверждает наличие интеграции, если она не подтверждена фактической конфигурацией продукта.

12. AI-функциональность и внешняя обработка

AI-функции используются как вспомогательный аналитический и текстовый инструмент. Их задача — помогать объяснять доступные показатели, структурировать сведения и формировать предварительные сигналы, а не заменять первичный источник данных.

Если конкретная AI-функция требует обращения к внешнему технологическому провайдеру, оператор обязан учитывать состав передаваемых данных, правовое основание такой передачи и настройки соответствующей функции. В публичной документации не предполагается, что вся информация клиента автоматически направляется внешней AI-системе.

13. Резервное копирование и восстановление

Эксплуатационная модель предусматривает резервное копирование данных и средства восстановления в российской инфраструктуре. Конкретные графики, точки восстановления, сроки хранения резервных копий и внутренние процедуры относятся к эксплуатационным параметрам и могут изменяться по мере развития инфраструктуры.

Резервное копирование является мерой обеспечения устойчивости сервиса и не освобождает клиента от необходимости самостоятельно сохранять выгружаемые копии критичных документов и данных, когда такая обязанность вытекает из его внутренних правил, договора или закона.

14. Жизненный цикл программного обеспечения

Жизненный цикл «Основа Бизнеса» организован как непрерывный управляемый процесс развития и эксплуатации. Изменение начинается с постановки задачи и оценки затрагиваемых данных и процессов, после чего проходит проектирование, реализацию, проверку, подготовку выпуска, развёртывание и эксплуатационный контроль.

Исправление дефектов, изменение бизнес-правил, развитие функциональности, требования безопасности, повышение производительности и обратная связь пользователей рассматриваются как основания для развития. Изменение не должно произвольно разрушать установленные связи данных и модель доступа.

15. Выпуск обновлений и управление изменениями

Поскольку продукт предоставляется по модели SaaS, оператор может централизованно выпускать исправления, изменения интерфейса и новые функции. Существенные изменения правовых условий оформляются через актуализацию соответствующих пользовательских документов в установленном порядке.

При выпуске изменений учитываются совместимость данных, работоспособность основных пользовательских сценариев и возможность дальнейшей эксплуатации. Конкретная дата появления функции у пользователя может зависеть от редакции, тарифа и последовательности выпуска.

16. Эксплуатационный контроль и поддержка

ООО «ОСНОВА БИЗНЕСА» обеспечивает организацию эксплуатации программного продукта, приём пользовательских обращений, первичную диагностику, передачу технических задач ответственным специалистам, сопровождение исправлений и актуализацию публичной документации.

Технические специалисты могут привлекаться оператором в соответствии с правовой моделью продукта. Доступ привлечённого специалиста к инфраструктуре и данным должен предоставляться только в объёме, необходимом для выполнения его задачи, с соблюдением конфиденциальности и требований безопасности.

17. Работа с инцидентами

При выявлении события, которое может повлиять на доступность, целостность или конфиденциальность информации, оператор организует регистрацию, первичную оценку, локализацию причины, восстановительные действия и последующий анализ в пределах характера события.

Если инцидент связан с персональными данными, применяются обязанности и процедуры, установленные законодательством Российской Федерации и внутренними документами оператора, включая взаимодействие с уполномоченными органами в случаях, когда такое взаимодействие требуется.

Пользователь обязан своевременно сообщать оператору о подозрительной активности, компрометации своей учётной записи или обнаруженном техническом дефекте и не предпринимать действий, способных увеличить последствия инцидента.

18. Переносимость и прекращение доступа

Поддерживаемые функции экспорта позволяют пользователю получать часть данных в доступных форматах для дальнейшего анализа или хранения. Состав экспортируемой информации определяется функциональностью соответствующего раздела.

При прекращении доступа действия с данными определяются пользовательским соглашением, договором, политикой обработки персональных данных и применимым законодательством. Если сведения должны храниться после прекращения договора по законному основанию, прекращение доступа пользователя само по себе не означает немедленного уничтожения таких сведений.

19. Открытая и закрытая документация

Публичный комплект предназначен для подтверждения назначения, функциональности, правовой модели и общих эксплуатационных принципов продукта. Закрытая документация используется для администрирования, разработки, обеспечения безопасности и экспертной проверки в части, где открытая публикация нецелесообразна.

20. Краткая технологическая основа

Для идентификации технологической основы публично фиксируется, что программное обеспечение построено на современном веб-стеке с использованием Next.js и React для веб-приложения, Node.js для серверной среды, TypeScript как основного языка разработки и PostgreSQL как основной реляционной базы данных. Взаимодействие с базой данных организовано через прикладной слой программного обеспечения.

Указание технологических компонентов не является инструкцией по самостоятельному администрированию production-среды. Подробные версии, конфигурации, схемы сборки и внутренние зависимости фиксируются в технической документации соответствующей редакции.

21. Правовая и организационная ответственность

Правообладателем программного обеспечения является Чуб Сергей Владимирович. ООО «ОСНОВА БИЗНЕСА» использует программное обеспечение на основании простой неисключительной лицензии и вправе предоставлять пользователям SaaS-доступ в пределах лицензионной модели. Исключительные права пользователям и оператору эксплуатации не отчуждаются.

Оператор отвечает за организацию эксплуатации и применение мер, относящихся к его зоне ответственности. Клиент отвечает за законность и качество передаваемых им данных, управление собственными пользователями, соблюдение предоставленных полномочий и правомерность размещения сведений о третьих лицах.

Настоящий документ применяется совместно с Паспортом программного продукта, Пользовательским соглашением и публичной SaaS-офертой, Политикой обработки персональных данных, отдельным Согласием на обработку персональных данных, Политикой использования файлов cookie и Руководством пользователя и администратора.

Официальные сведения об операторе эксплуатации