Для продукта с реальными пользователями «данные» — не только техника, но и обязательства. Разбираем минимум, который обязан быть.

Изоляция: теперь это закон

Тест двумя аккаунтами из vibe coding — теперь не совет, а требование: в Европе утечка чужих данных = GDPR-инцидент со штрафами. Прогоняй тест изоляции после каждого крупного изменения, не однажды. Заказ ИИ: «Напиши автоматический тест: пользователь А не видит данные пользователя Б ни на одном экране и ни в одном API-ответе».

Право на удаление

Пользователь ЕС вправе удалить аккаунт со всеми данными. В MVP это кнопка в настройках: «Удаление аккаунта: подтверждение → удалить данные пользователя из всех таблиц → письмо-подтверждение». Сделать в день 1 — час; прикручивать потом к живой базе — неделя.

Экспорт данных

Тоже право пользователя, и тоже просто в начале: «кнопка "скачать мои данные" — JSON-файл со всем, что храним».

Минимизация: собирай меньше

Знакомое правило теперь с продуктовой логикой: каждое поле = минус конверсия регистрации + плюс ответственность. Email и пароль (или вход через Google) — всё, что нужно MVP. Имя спросишь потом, когда пригодится.

Приватность ИИ-функций

Если продукт шлёт данные пользователей в ИИ-API — скажи об этом в политике конфиденциальности и выбери провайдера с обязательством «не обучаемся на API-данных» (у крупных это стандарт). Политику конфиденциальности набросает ИИ — попроси шаблон под твой продукт и покажи юристу, когда появятся серьёзные деньги.

Аккаунты и данные: продакшн-уровень