feat(commercial): prioritize workforce module

docs/DETMIR_COMMERCIAL_MODULES_RU.md

@@ -0,0 +1,79 @@
+# Коммерческие модули DetMir
+
+DetMir / AWatch-rus коммерчески правильнее подавать как платформу
+операционного контроля с тремя прикладными модулями. Первый модуль - Workforce:
+он дает ежедневную бизнес-ценность владельцу и руководителю. Security и
+Forensics усиливают продукт, но не должны перетягивать позиционирование в
+сторону сертифицированной DLP/SIEM/СЗИ.
+
+## DetMir Workforce
+
+Для владельца, директора, руководителя подразделения и операционного менеджера.
+
+Показывает:
+
+- кто реально работал в рабочем окне;
+- кто перегружен, простаивает или выпадает из нормального профиля активности;
+- сколько времени команда проводит в RDP, 1С и рабочих приложениях;
+- какие приложения и процессы забирают рабочее время;
+- как меняется загрузка сотрудников и подразделений;
+- где тормозят бизнес-процессы.
+
+Основные KPI:
+
+- полезная активность;
+- активное время;
+- простой;
+- число рабочих сессий;
+- активные приложения;
+- индекс полезной активности;
+- документы/операции 1С при наличии связанного бизнес-слоя.
+
+Корректная формулировка для продажи:
+
+> DetMir помогает руководителю видеть загрузку сотрудников и бизнес-процессов
+> без ручного просмотра логов и без подмены управленческой оценки простым
+> учетом "сидел за компьютером".
+
+## DetMir Security
+
+Для ИБ, администратора и оператора расследований.
+
+Показывает:
+
+- DLP-сигналы: буфер обмена, печать, USB, файловые операции;
+- severity/status технических сигналов;
+- очередь DLP/case review;
+- evidence metadata и доступные скриншоты;
+- audit просмотра evidence и действий оператора.
+
+В публичных и коммерческих материалах важно говорить аккуратно:
+
+- `detections/cases` - это derived detections/cases;
+- подтвержденным инцидентом событие становится после регламентной валидации;
+- продукт не заявляется как сертифицированная DLP/SIEM/EDR/XDR/СЗИ.
+
+## DetMir Forensics
+
+Для разбора сложных событий и пост-инцидентной аналитики.
+
+Показывает:
+
+- цепочку событий ActivityWatch;
+- Hayabusa/offline evidence workflow;
+- связь технических сигналов, кейсов и артефактов;
+- audit trail просмотра и обработки материалов;
+- экспортируемые материалы для внутреннего расследования.
+
+## Приоритет в демонстрации
+
+Порядок показа владельцу бизнеса:
+
+1. Workforce: полезная активность, загрузка, RDP/1С, рабочие приложения.
+2. Commercial reports: ежедневный срез, KPI, Markdown/HTML отчет.
+3. Security: DLP-сигналы и evidence.
+4. Forensics: цепочка расследования, Hayabusa, кейсы.
+5. Reliability: автономность, health-check, SLO, Grafana freshness.
+
+Такой порядок снижает сопротивление вокруг темы "слежки" и переводит разговор
+в плоскость эффективности, управляемости и доказуемой операционной картины.