# Единственная железная гарантия — данные пользователя не теряются

Из всех возможных гарантий (атомарный апдейт, forward-совместимость конфигов,
недействие агента вовне без санкции владельца) статус нерушимой получает одна:
память, vault, история и конфиги пользователя не теряются никогда — ни при апдейте,
ни при откате, ни при краше агента. Нарушение этой гарантии блокирует релиз без
обсуждения. Остальные гарантии — цель и best effort: объявить их железными сегодня
значило бы выписать чек, который кодовая база пока не обналичит (13 инцидентов
`iva update` за 7 недель; sanitizer/outbound-контур не достроен). По мере готовности
механизмов отдельные гарантии могут повышаться до железных новым ADR.

При загрузке очереди Telegram версия документа новее поддерживаемой останавливает
приём с причиной в журнале; файл и `.ack-pending` сохраняются как были. Элемент
более новой версии копируется целиком в существующий карантин одной записи
`.damaged-*.json`, остальные элементы обрабатываются. Следующее сохранение очереди
убирает этот элемент из рабочего файла; для восстановления нужна сохранённая
копия и совместимая Ива.