Kardia — бизнес-система как изделие мастерской

Исходная ситуация

Малый бизнес жонглирует календарём, задачами, заметками, отчётами и учётом времени в полудюжине отдельных инструментов — или в таблицах. За Kardia стоял вопрос не только о том, можно ли это собрать воедино, но и о том, можно ли систему такого размера построить так, чтобы её мог проверить посторонний.

Подход

Модульный монолит: FastAPI + PWA на React 19, блоки для подключения, связанные ИИ-ассистентом по принципу propose-then-approve — он предлагает, подтверждают вручную, и каждое подтверждение попадает в неизменяемый протокол.

Реализация

Изоляция арендаторов через PostgreSQL Row-Level Security (роль NOBYPASSRLS): на уровне базы данных, а не дисциплины, с обязательными тестами изоляции для каждой таблицы. Ассистент работает через OpenAI-совместимый интерфейс — тот же вывод локально (llama.cpp) или serverless в ЕС; смена провайдера — это конфигурация, а не переписывание. Эксплуатация на собственной инфраструктуре в ЕС: Caddy, docker-compose, авто-HTTPS, ночные бэкапы с runbook восстановления, мониторинг (Sentry, ЕС).

Аудит

07.09.2026 собственный код проверили как чужой: 1 596 автоматических тестов — зелёные (1 239 в бэкенде на работающей базе, 357 во фронтенде), 28/28 таблиц с принудительной изоляцией арендаторов, fail-closed. Открытые замечания лежат в деле, упорядоченные по приоритету, а не заметены под ковёр.

Что остаётся

Kardia сегодня — изделие мастерской: свидетельство того, как здесь строят и проверяют системы. Именно эту проверку можно заказать как услугу — на странице Оборона.