Database fisicamente separato
Non parliamo di "row-level security" o filtri per tenant_id. Ogni cliente Zephira ha il suo schema PostgreSQL dedicato, con credenziali separate. E architetturalmente impossibile che un cliente veda dati di un altro — non c'e una query che possa farlo, neanche per errore.