Где хранятся переписки и кто их видит

Почему об этом спрашивают

Когда переписки переезжают из телефонов менеджеров в общий сервис, первым звучит вопрос: где всё это лежит и кто ещё это прочитает. Вопрос правильный. В переписках — адреса, номера заказов, жалобы, документы.

Ниже — как это устроено в Risti, без громких слов и только о том, что уже работает. Одна оговорка сразу: этот текст не заменяет юриста. Подходит ли такое хранение под требования вашей страны или отрасли, решает он. Мы даём факты, чтобы ему было с чем работать.

Где физически лежат данные

Данные организации хранятся в одном регионе. Регион закрепляется при создании организации и потом не меняется. Его видно в Настройки › Общие › Данные и хранение: данные, резервные копии и поисковые индексы остаются в этом регионе.

Это касается не только сообщений. Резервные копии и поисковый индекс лежат там же, а не где-то ещё «на всякий случай». Если вы работаете с клиентами в Узбекистане или Казахстане, а юрист спрашивает, где лежат данные, ответ один и тот же: в одном регионе, который виден в настройках организации.

В том же разделе задаётся срок хранения сообщений. Всё, что старше, удаляется вместе с вложениями, поисковым индексом и ключами шифрования.

Свой ключ у каждой организации

Тексты сообщений хранятся зашифрованными. У каждой организации свой ключ шифрования данных, AES-256-GCM. Сами эти ключи защищены ещё одним ключом в отдельном сервисе и не лежат рядом с перепиской.

Токены ботов, пароли почтовых ящиков и другие ключи доступа к каналам тоже хранятся зашифрованными.

Честно о границах: ключами управляет Risti. Принести свои ключи шифрования клиент не может.

У каждой организации свой ключ шифрования, и он не лежит рядом с перепиской.

Кто в команде что видит

В Risti три роли. Владелец может всё, включая оплату, API-ключи и удаление организации. Администратор видит все диалоги и управляет участниками, командами и приложениями. Агент видит назначенные ему диалоги и диалоги своих команд. Владельцев может быть несколько. При приглашении роль владельца выбрать нельзя: её позже даёт другой владелец, сменой роли.

В организацию попадают только те, кого вы позвали. Приглашение работает один раз и действует 7 дней. Если владелец включит вступление по домену почты, люди с адресом вашей компании смогут присоединиться сами или после одобрения — как он решит. Публичные почтовые домены для этого не подходят.

Чего человеку нельзя, того он просто не видит: ни кнопки, ни пункта меню. Заметку для команды не видит клиент. Данные не утекают и через соседние функции:

• Вебхуки для разработчиков не передают текст сообщений.
• Календарь Halley в Google, Outlook или Apple показывает время, номер и название тикета, но не переписку.
• Виртуальный офис Ristiville показывает людей и их статусы, но не клиентов.
• Перед записью звонка звонящий слышит предупреждение.

Вход с двухфакторной проверкой

Пароль можно подсмотреть или подобрать. Поэтому в разделе Настройки › Вы › Профиль можно включить двухфакторный вход: после пароля Risti спросит 6-значный код из приложения-аутентификатора. Без этого кода один пароль ничего не даёт.

При включении вы получите десять кодов восстановления. Они показываются один раз — сохраните их в надёжном месте. Браузер можно запомнить на 30 дней. Если телефон потерян, войти поможет один из кодов восстановления; каждый работает один раз.

Владелец может включить Требовать двухфакторную для всех в разделе Безопасность и вход. Сначала её нужно включить у себя. Остальные настроят вход, когда войдут в следующий раз.

Журнал, выгрузка и удаление

Журнал действий записывает, кто что сделал: люди, приложения и сам Risti. Его видят владельцы и администраторы. Записи нельзя исправить или удалить, хранятся они бессрочно. Журнал фильтруется по человеку, типу действия и времени и выгружается в CSV. Например, видно, кто подключил или отключил канал, кто поменял роль участника и кто включил обязательный двухфакторный вход. Спорные вопросы решаются по записи, а не по памяти.

Владелец может выгрузить все данные организации: Запросить экспорт, по желанию вместе с записями звонков. Когда архив будет готов, придёт письмо, а скачать его можно в течение 24 часов. Выгрузка есть на любом тарифе. Она пригодится и без переезда: например, чтобы передать архив юристу или держать копию у себя.

Если вы уходите, организацию можно удалить: введите её название и подтвердите. Данные удалятся через 14 дней. До этого всё работает, и любой владелец может отменить удаление. Подробнее — на странице о безопасности.

Частые вопросы