Kardia — system dla firm jako próbka warsztatu

Punkt wyjścia

Małe firmy żonglują kalendarzem, zadaniami, notatkami, raportami i rejestracją czasu w pół tuzinie osobnych narzędzi — albo w arkuszach. Pytanie stojące za Kardią brzmiało nie tylko, czy da się to spiąć, ale czy system tej wielkości da się zbudować tak, żeby ktoś z zewnątrz mógł go sprawdzić.

Podejście

Modularny monolit: FastAPI + PWA w React 19, klocki do włączania, spięte asystentem AI według zasady propose-then-approve — on proponuje, akceptuje się ręcznie, a każda akceptacja ląduje w niezmienialnym protokole.

Realizacja

Izolacja najemców przez PostgreSQL Row-Level Security (rola NOBYPASSRLS): wymuszona przez bazę, nie przez dyscyplinę, z obowiązkowymi testami izolacji dla każdej tabeli. Asystent mówi przez interfejs zgodny z OpenAI — ta sama inferencja lokalnie (llama.cpp) albo serverless w UE; zmiana dostawcy to konfiguracja, nie przepisywanie. Działa na własnej infrastrukturze w UE: Caddy, docker-compose, auto-HTTPS, nocne backupy z runbookiem odtwarzania, monitoring (Sentry, UE).

Audyt

Dnia 07.09.2026 własny kod został sprawdzony jak cudzy: 1596 testów automatycznych na zielono (1239 w backendzie na działającej bazie, 357 we frontendzie), 28/28 tabel z wymuszoną izolacją najemców, fail-closed. Otwarte ustalenia leżą w aktach uszeregowane według priorytetu, a nie zamiecione pod dywan.

Co zostaje

Kardia jest dziś próbką warsztatu: dowodem, jak buduje się tutaj systemy i jak się je sprawdza. Dokładnie to sprawdzenie można zamówić jako usługę — na stronie Obrona.