Всё, что мы будем о вас хранить, поместится в один короткий список. Опубликуем его до запуска. Этот список мы называем описью. Сегодня напечатаны его первые строки: они на странице «Опись: что мы будем о вас хранить». Остальное печатается: так и написано на главной. Здесь расскажем, что уже напечатано, что ещё нет и почему.
Что напечатано
В описи четыре раздела:
- что мы будем хранить, зачем и сколько;
- что будем видеть, но не хранить;
- что получат другие, например почтовый сервис получателя;
- что нас смогут обязать сделать и чего не смогут.
Строки о хранении устроены одинаково: что, зачем и сколько. Вот одна из них:
Дата получения: только день, без часов и минут. Точное время останется лишь в технических журналах (7 дней) и в архиве изменений базы (24–48 часов). Зачем: чтобы показывать письма по порядку. Сколько: пока письмо есть.
Самая важная для нас строка стоит во втором разделе. Мы не будем хранить, кто кому пишет: отправитель и получатели будут лежать зашифрованными вместе с письмом. Оговорка стоит в той же строке: что останется в журналах доставки и что сервер увидит в момент доставки.
Что ещё печатается и почему
Строку мы печатаем, только когда решено, как будет устроено то, что она описывает. Напечатать строку заранее значило бы пообещать то, чего ещё нет: если устройство потом изменится, строка станет неправдой. Поэтому часть строк ещё впереди. Например, пока нет строк о почте на своём домене и об автоответе на сервере: по ним решено ещё не всё.
Остальные строки появятся, когда мы допроектируем хранение и проверим, что код делает то, что в описи написано.
Как опись будет жить
- У каждой строки о хранении три поля: что храним, зачем и сколько.
- Строка, которая перестала быть правдой, будет считаться ошибкой. Такую ошибку мы исправим в первую очередь.
Каждое изменение описи будет опубликовано с датой и причиной. Прежние версии останутся открытыми.
Что это не доказывает
Опись описывает то, что мы будем делать. Пока продукт строится, она остаётся обещанием. Когда продукт будет построен, мы проверим, что он делает то, что в ней написано: какие данные куда идут, что попадает в журналы и что хранится. Независимого аудита пока не было.
Ограничения, которые опись не снимает, перечислены в разделе «Чего Methmail не сможет».
Что дальше
Когда в описи будут напечатаны последние строки, расскажем об этом отдельной заметкой.