Удалить безвозвратно: ответ на «сотрите мои данные» — и на «мы закрываемся»

Письмо приходит обычным текстом: «прошу удалить мои персональные данные». По 152-ФЗ у вас есть срок и обязанность — не «скрыть из списка», а уничтожить, и уметь подтвердить, что уничтожили.

До этой возможности у продукта был только один честный ответ на такое письмо — и он был плохой. Обычное удаление обратимо by design: запись уходит в корзину на 30 дней и возвращается оттуда целиком. Это ровно то, что нужно, когда снесли не тот заказ, — и ровно то, что не годится, когда данные надо именно УНИЧТОЖИТЬ. Единственным настоящим стиранием было стирание всего пространства, то есть закрытие клиники ради одного бывшего пациента.

Что меняется

Как это выглядит

Администратор открывает карточку человека и нажимает «Удалить безвозвратно». Диалог не ограничивается вопросом «точно?»: он просит написать основание — «требование субъекта ПДн от 21.08.2026», «ошибочно заведён дубль». Без основания кнопка не срабатывает, и это не бюрократия: уничтожение, у которого не записано основание, невозможно подтвердить, а неподтверждаемое уничтожение по 152-ФЗ ничем не лучше его отсутствия.

После подтверждения система отвечает отчётом, а не галочкой: прямо на экране — сколько строк данных уничтожено и сколько файлов удалено из хранилища. Этими числами оператор персональных данных и отвечает на обращение. Разбивка по контурам (какая таблица сколько отдала) уходит в журнал уничтожений — на экране она была бы списком служебных имён, а не ответом человеку.

Факт операции остаётся в журнале уничтожений. В нём нет ни одного значения полей уничтоженной записи — только её номер, раздел, кто нажал, когда и на каком основании. Улика, которая не может стать новой копией персональных данных.

Сколько стоит

Бесплатно, на любом тарифе и без ограничений по числу уничтожений: исполнение закона — не дополнительная опция, за которую можно взять деньги. Тариф здесь не решает вообще ничего — ни права нажать кнопку, ни тридцати дней на выгрузку перед закрытием пространства, ни письма-предупреждения.

Границы честным списком

• Соседние записи не переписываются. Если на уничтоженного клиента ссылался заказ, ссылка перестаёт разыменовываться и показывает пусто — ровно так же, как у удалённой в корзину записи. Переписывать чужие карточки задним числом мы не будем: это подделало бы их историю и разбудило бы их правила.
• Журнал действий сотрудников остаётся. Он неизменяем by design и по проверяемому тестом правилу не хранит значений полей — после уничтожения там остаётся указатель на несуществующую запись, то есть факт без персональных данных.
• Уничтожение не пакетное. Одна запись — одно решение с одним основанием. Пакетная кнопка здесь была бы удобством ценой необратимой ошибки на сорока карточках сразу.
• Байты уходят после строк. Сначала фиксируется база, потом удаляются файлы из хранилища. Порядок именно такой, потому что обратный удалял бы файлы живого клиента всякий раз, когда транзакция откатилась. Если файл убрать не удалось, отчёт покажет расхождение числом, а не промолчит.
• Платформа останавливается, если чего-то не знает. Уничтожение сверяет свой реестр с реальной структурой базы. Нашлась таблица с данными, не заявленная в реестре, — операция отменяется ЦЕЛИКОМ и говорит об этом вслух. Лучше честный отказ, чем «уничтожили то, о чём вспомнили».

Вторая половина: закрыть пространство

Бизнес закрывается, и данные больше не должны у нас лежать. Раньше для этого нужно было написать в поддержку и ждать. Теперь владелец делает это сам: Настройки → Опасная зона → Закрыть пространство, с подтверждением набором названия — кнопку «Да» жмут не читая, а отменять здесь будет нечем.

Пространство не исчезает в ту же секунду. Оно получает дату уничтожения — через 30 дней, и это не «подумайте ещё раз», а условие договора: тридцать дней даются на выгрузку данных. Всё это время кабинет работает как обычно, на экране висит обратный отсчёт, а за 7 дней до даты владельцу уходит письмо — с точной датой, с кнопкой в кабинет для выгрузки (списки забираются кнопкой «Экспорт» над таблицей раздела) и с напоминанием, что закрытие ещё можно отменить.

Отменить можно в любой момент до даты, одной кнопкой; пространство продолжает работать, ничего восстанавливать не нужно. После даты уничтожается всё: записи, файлы, документы, история и учётные записи сотрудников. Соседние пространства не задеты — у каждого свои строки и своё хранилище.

Отдельно, чтобы не путали: неоплата подписки этого таймера НЕ запускает. Просроченная подписка переводит пространство на бесплатный тариф, где оно живёт сколько угодно и ничего не теряет (как устроены тарифы). Уничтожение данных запускает только явное решение владельца закрыть пространство.