diff --git a/CHANGELOG.md b/CHANGELOG.md
index 0f5d5a2..9844606 100644
--- a/CHANGELOG.md
+++ b/CHANGELOG.md
@@ -132,6 +132,23 @@
 1. **Роль не даёт права отправить красное в облако.** По светофору красное не уходит наружу никому: договорной пул получает право открыть документ агенту (снять структуру, собрать обезличенную выписку), но отправка самого договора в облачную модель блокируется и им тоже. Пока локального контура нет, по договорам агент у договорного пула почти не работает — это цена честной схемы, а не недоделка.
 2. **Роль вешается на учётку, а не на флаг в профиле.** Переключатель в том же профиле сотрудник поставит себе сам, и контроль фиктивный. Красный уровень — отдельный профиль или отдельная учётка у нескольких человек договорного пула.
 
+**Источник ролей — `Единый докер USER.xlsx`** (лист USERS, колонка «роль», добавлена 05.11.2026), 11 учёток:
+
+| Роль (как записана) | Кто | Категории | Отправка в облако |
+|---|---|---|---|
+| инженер ОВиК, ТЗ, ТУ, СТУ, проекты — 7 | Гришкевич, Воробей, Фролагина, Воронцов, Анушов, Кашина, Нечаев | 🟢🟡, ТЗ — всем | да, с маской |
+| гл. бухгалтер (договоры, контракты, сметы, тендеры) — 1 | Хундадзе | 🟢🟡 + открытие красного | нет |
+| совладелец директор (договоры, контракты, сметы, тендеры) — 2 | Швецов, Дуда | 🟢🟡 + открытие красного | нет |
+
+Требования к колонке, без которых `policy.yaml` не собрать:
+
+1. **Роль — машинный код** (`engineer` / `contracts` / `admin`), а не перечисление задач: «инженер ОВиК, ТЗ, ТУ, СТУ, проекты» не парсится и меняется от задачи к задаче. Описание оставить отдельной колонкой для человека.
+2. **`policy.yaml` генерируется из этой таблицы скриптом**, а не правится руками: два источника правды разъедутся на первой же кадровой замене.
+3. **Учётки со статусом `root` (TESTOFF) политику не обходят** — иначе одна учётка отменяет контроль. Для них отдельная запись в журнале с пометкой `admin`.
+4. **Дуда В. в листе «ГОСТассистент» без хэша** — не заведён, проверить до релиза.
+
+**Отдельно, критично:** в этом же файле открытым текстом лежат ключи POLZA.AI по каждому сотруднику и единый ключ шлюза. Файл в OneDrive — ровно тот канал, от которого защищает вся эта работа. Ключи из таблицы убрать (оставить логин и порядок выдачи), считать их скомпрометированными и ротировать.
+
 - Критерий приёмки:
   1. Сотрудник без роли просит проверить договор → отказ до чтения, файл не открывается.
   2. ТЗ у любого сотрудника → уходит маской, в журнале строка, ответ приходит с реальными значениями.