docs: explain persisted T-Bank reads and synchronization

Document local data ownership, coverage and freshness, refresh behavior, failure
recovery and additive migration rollback. Record ADR 017.

architecture/containers.md

@@ -76,8 +76,8 @@ prerequisites: локальный smoke не подтверждает registry/s
 | Часть | Ответственность |
 | --- | --- |
 | React SPA | Экраны, навигация, формы, состояние входа и клиентский кэш ответов; форматирование денежных значений |
-| Backend API | Локальная идентичность, сессии, проверка доступа, подключение брокера, нормализация внешних данных, точные расчёты и серверные кэши |
-| SQLite | Долговременное хранение локальных пользователей, сессий, зашифрованных подключений и ручной банковской истории |
+| Backend API | Локальная идентичность, сессии, проверка доступа, подключение брокера, нормализация внешних данных, точные расчёты и синхронизация сохранённых источников |
+| SQLite | Долговременное хранение локальных пользователей, сессий, зашифрованных подключений, ручной банковской истории и инвестиционных источников с coverage/work |
 | Внешние системы | Данные брокера, публичные сведения об инструментах и изображения в пределах своей ответственности |
 
 Frontend организован слоями `app → pages → features → entities → shared`:
@@ -134,28 +134,24 @@ credentials не являются сохраняемым представлен
 или перезапуска. Архив обратим и сохраняет историю. Подробности —
 [банковские карты](../domains/cards/overview.md).
 
-Сессии и подключение связаны с владельцем. Access token подтверждает
-локального пользователя, но `accountId` из URL сам по себе не даёт права
-читать брокерский счёт. Backend получает текущее подключение пользователя
-и его generation перед использованием финансового кэша. Проверка доступности
-счёта у брокера зависит от сценария: журнал выполняет её до чтения страницы
-кэша; свежий портфель одного счёта может быть возвращён без нового запроса
-списка счетов. При обновлении портфеля доступ проверяется у брокера.
+Сессии и подключение связаны с владельцем. Backend локально проверяет
+membership текущей revision перед каждым финансовым чтением. Unknown membership
+не открывает доступ к произвольному счёту; известный отказ токена блокирует
+личные данные. Ротация refresh token остаётся атомарной.
 
-Ротация сессии атомарно заменяет hash текущего refresh token: два
-конкурентных запроса не могут оба успешно выполнить одну ротацию.
-Вызов брокера и запись в локальную базу не образуют общую транзакцию:
-при сохранении подключения сначала проверяется token, затем записывается
-шифротекст. Подробности находятся в
-[аутентификации](../domains/authentication/overview.md) и
-[интеграции T-Bank](../integrations/tbank.md).
+SQLite хранит полный последний portfolio, операции и их подтверждённые
+диапазоны, private прогнозы, общие instrument/market sources и intent/staging.
+Нормализованные финансовые значения сохраняются decimal-строками. Полнота
+отделена от свежести и пагинации. Ответ не ждёт внешних RPC; запрос при
+необходимости запускает работу в том же backend process через существующий
+лимитер. На startup импорт не запускается; восстановление требует следующего
+запроса. Подробности — [модель свежести](cross-cutting/data-freshness.md).
 
-Брокерские счета, сводки, портфель, страницы журнала и будущие события
-не являются долговременной историей в SQLite. Они получаются для текущего
-подключения и могут временно кэшироваться. Перезапуск backend не
-восстанавливает прежние финансовые снимки и cursor continuations из базы;
-[модель свежести](cross-cutting/data-freshness.md) отделяет это от хранения
-учётных данных.
+PUT подключения сначала проверяет token у T-Bank, затем одной транзакцией
+сохраняет encrypted token, новую revision и проверенный membership.
+Сетевая операция не удерживает SQLite-транзакцию. Общие источники не содержат
+личных позиций, ожидаемых сумм или credentials. Произвольного архива
+отключённых счетов нет.
 
 ## Сохранение и восстановление данных
 
@@ -210,7 +206,8 @@ Origin браузера, адрес API и cookie policy должны быть
 режимах refresh-cookie имеет Secure flag и требует защищённого соединения.
 Single-server deployment не задаёт гарантий HA или zero-downtime.
 
-Кэши и лимитер T-Bank действуют на экземпляр backend. Ротация ключа шифрования
+Coordinator и лимитер T-Bank действуют на один экземпляр backend. Сохранённые
+данные переживают перезапуск; processRunId не является distributed lease. Ротация ключа шифрования
 подключений и согласование изменений подключения между распределёнными
 экземплярами не входят в реализованный механизм. Эти ограничения не
 позволяют переносить локальную схему на несколько экземпляров без отдельного