Если вы отдаёте платформе свои брони, участников и выручку, вы вправе знать, как это отделено от чужих данных. Здесь описано, что Kourtiva делает сегодня, а не что запланировано.
Каждый запрос ограничен арендатором, определяемым на сервере. Клиенты API не передают идентификатор объекта — он выводится из токена, поэтому нельзя прочитать или изменить чужие брони, участников и счета перебором ID.
Bearer-токены хранятся как SHA-256-хеши, никогда в открытом виде. Владелец создаёт их, ограничивает права и отзывает в любой момент. Токен только для чтения таким и остаётся.
У каждого сотрудника свой аккаунт с ролью, определяющей его возможности; он видит только закреплённые объекты и задаёт пароль по приглашению из почты. Доступ отзывается мгновенно и везде. Общих входов нет.
Журнал фиксирует, кто, что и когда изменил, включая каждый вызов API с методом, статусом и длительностью. У вопроса «кто перенёс эту бронь?» есть ответ.
Сайт и API отдаются по HTTPS с HSTS, включая поддомены. Сертификаты обновляются автоматически.
Публичные формы и эндпоинты API throttled, поэтому один клиент не исчерпает платформу для остальных.
Kourtiva работает на AWS eu-central-1 (Frankfurt). Там хранятся данные объектов, брони и записи участников.
Для операторов в Европе это значит, что платформа с данными ваших участников находится в ЕС. Нужно письменное подтверждение для арендодателя, франчайзингового договора или комплаенс-файла — попросите, и мы его выдадим.
На этом этапе у нас нет стороннего сертификата безопасности, и мы предпочитаем сказать это прямо. Внешний пентест мы тоже не проходили. Если что-то из этого обязательно для вашей организации, скажите на демо — лучше узнать раньше.
Спросите нас напрямуюВаши брони, участники и счета доступны через тот же REST API, которым пользуются ваши системы: 23 версионированных эндпоинта и токены, которые вы создаёте и отзываете сами. Никаких заявок на экспорт и ожидания нас. Всё, что видно в панели, можно забрать программно.
