Зашифровано (то есть в базе на месте этих полей лежит нечитаемый набор символов):

Пароли и PIN-коды сотрудников в базе не хранятся вообще — только их отпечаток, по которому восстановить пароль нельзя.

У каждой организации свой отдельный ключ. Даже если бы кто-то добрался до данных одного сервиса, к соседнему это не дало бы ничего.

Что НЕ зашифровано — и почему

Честнее сказать сразу, чем оставить впечатление, что закрыто вообще всё:

• Суммы, даты, статусы нарядов, остатки на складе. По ним считаются отчёты, аналитика, зарплаты и налоги — их нужно уметь складывать прямо в базе. «Какие-то суммы за какие-то дни, без единого имени» — это не клиентская база.
• Фотографии и приложенные документы (снимки осмотра, PDF, отчёты сканера). Они лежат в отдельном хранилище, отделённом от базы, и открываются только по временной ссылке для того, у кого есть доступ. Имя клиента и номер машины в самой базе при этом остаются зашифрованными.
• Данные, которые вы сами отправили наружу: номер, отданный клиенту по ссылке-паспорту авто; реквизиты в э-счёте, ушедшем оператору; e-mail, переданный платёжному сервису. Это не утечка, а суть услуги — но знать об этом стоит.

Защищает (и это уже очень много):

• Украли резервную копию или дамп базы — открыть его нельзя. Файл есть, а имён и телефонов в нём нет.
• Унесли сам сервер или диск — то же самое: без ключа это мусор.
• Кто-то получил доступ к базе напрямую (не через кабинет, а «изнутри») — увидит ряды нечитаемых строк, а не список ваших клиентов.
• Проверяющий или недобросовестный подрядчик не сможет «просто открыть и посмотреть» базу запросом — расшифровать умеет только само приложение.

Не защищает (и никакое шифрование в онлайн-сервисе не защитит):

• От работающего сервиса. Пока кабинет обслуживает вас, он данные расшифровывает — иначе он не смог бы показать вам ваших же клиентов, отправить им напоминание или принять запись через сайт. Это не лазейка, это устройство любого онлайн-сервиса.
• От того, кто знает пароль сотрудника. Если сотрудник отдал свой пароль или у него угнали телефон с открытой сессией — шифрование тут ни при чём. Помогают роли, права и отзыв доступа.

Честная формула, которую можно повторить клиенту или проверяющему: «в покое данные закрыты; в момент обработки сервис их видит — и это ограничено кодом, правами доступа и договором».

Если вам нужно, чтобы данные были закрыты и от CarsEXP тоже, есть отдельная функция — Замок данных; о ней ниже, в разделе «Если нужна максимальная закрытость».

Каждую ночь автоматически снимается полная копия базы.

• Копия сразу шифруется и лежит уже закрытой — не «сначала открытый файл, а потом что-то с ним делаем».
• Ключ от резервных копий не хранится на сервере: он офлайн, у владельца CarsEXP. Даже взломав сервер целиком, копии не откроешь.
• Хранится две недели назад по дням — то есть можно вернуться не только на вчера.
• Копия каждый день уезжает с сервера на второй носитель — на случай, если с самим сервером случится совсем беда (сгорел диск, отказал хостинг).

Что это значит для вас: сгоревший сервер, случайно удалённые данные или сбой диска — не конец света. Данные восстанавливаются, и восстанавливаем их мы, вам ничего делать не нужно.

Резервная копия — это защита от потери данных. Ваша собственная копия «на память» — это Экспорт данных в Настройках. Одно другое не заменяет: экспорт вы делаете сами и уносите с собой, бэкап делаем мы и храним у себя.

Клиент имеет право потребовать удалить его данные, и по закону (GDPR, ст. 17) вы обязаны это сделать. В CarsEXP это одна кнопка.

Как: карточка клиента → иконка щита (GDPR) → «Стереть данные (Art. 17)». Пошагово — в статье Клиенты.

Что происходит:

• Имя, телефон, e-mail, дата рождения клиента стираются навсегда. Не прячутся, не «помечаются удалёнными» — их больше нет.
• Вместе с ними стираются служебные отпечатки, по которым клиента можно было найти поиском. После стирания он не находится ни по телефону, ни по почте.
• Прежние выгрузки его данных, если вы их делали из кабинета, тоже затираются — иначе «удаление» было бы фикцией.
• Финансовая история остаётся, но уже обезличенной: счета, платежи, наряды. Это требование бухгалтерии и налоговой, и оно сильнее просьбы клиента — суммы обязаны сходиться.

Если вы уходите из CarsEXP целиком — по вашему запросу уничтожается ключ шифрования вашей организации. После этого данные нечитаемы навсегда и везде, включая старые резервные копии: файлы ещё какое-то время лежат по сроку хранения, но открыть их уже нечем. Это и есть «доказуемое» удаление — не «мы обещаем, что стёрли», а «математически нечем открыть». Перед этим обязательно заберите свою выгрузку: после уничтожения ключа восстановить нечего.

Шифрование закрывает данные снаружи. Внутри вашего сервиса разграничение делают роли и права: механик не видит финансы, приёмщик не видит зарплаты, и так далее.

• Настройка ролей и полная таблица прав — Роли и права.
• Приём и увольнение сотрудников, отзыв доступа — Сотрудники.

Все значимые действия — правка клиента, стирание данных, выдача прав — записываются в служебный журнал, который нельзя подчистить задним числом. В кабинете этот журнал не показывается; если он понадобится для разбирательства, запросите выписку через поддержку CarsEXP.

Практическое правило: увольняете человека — сразу отключайте его в разделе «Сотрудники». Никакое шифрование не поможет, если у бывшего работника остался рабочий вход.

Всё описанное выше — защита от кражи базы и бэкапа. Ключ при этом хранится у CarsEXP: он нужен, чтобы кабинет показывал вам данные, отправлял напоминания клиентам и принимал онлайн-записи.

Если вы хотите, чтобы и у нас ключа не было, есть отдельная функция — Замок данных (тариф PRO, только владельцу). Вы задаёте свой пароль, ключ перешивается на него, а наша копия удаляется. С этого момента базу не откроет никто, кроме вас.

Плата за это честная и её надо понимать заранее: потеряли пароль и ключ восстановления — данные потеряны навсегда, и восстановить их не сможем даже мы. Подробности, включая то, как при включённом замке ведут себя уведомления клиентам, — в статье Замок данных.