# flow2act · Prüfdokument öffnen

Streame das festgehaltene Dokument nach erneuter Prüfung der Freigabeberechtigung.

Nur User-Token zugeordneter Freigebender. S3-Quelle: Binärantwort mit Content-Type/Content-Disposition, keine Weiterleitung oder signierte Download-URL. Externe Quelle: JSON {kind:"external",url:"https://…"}; ohne Referrer öffnen. Jeder Abruf ist privat/no-store und wird anhand der Dokument-ID protokolliert. Bereits heruntergeladene Bytes können nicht aus der Ferne entzogen werden; vertraulich behandeln.

Nur aktive angemeldete Mitglieder einer zugeordneten Freigabe- oder Kenntnisnahmegruppe mit offenem oder abgeschlossenem Schritt dürfen geschützte Inhalte lesen. Blockierte/abgebrochene Schritte, nicht zugeordnete Administratoren, Antragsteller und alle API-Keys gewähren keinen Inhaltszugriff. Aktuelle Rechte werden bei jedem Aufruf und jeder Wiederholung geprüft. Listen und Cursor beachten dieselbe Grenze. Neue Live-Vorgänge speichern Nachweise drei Kalendermonate im Free-Tarif oder zwölf in Bezahlmodellen nach Abschluss. Laufende Live-Vorgänge verfallen nicht altersbedingt. Bestehende längere Fristen bleiben erhalten. Sandbox bleibt bei 30 Tagen ab Erstellung.

## GET /v1/flow-runs/{runId}/documents/{documentId}/content

Authentication: FLOW2ACT_ACCESS_TOKEN from flow2act sign-in
Required tenant header: X-Organization-Id.
Required user permissions: Passende Freigabegruppe erforderlich. The API checks current membership, roles, key scopes and resource permissions on every request. Documentation visibility grants no access.

## Request example (replace example IDs)

```sh
curl "https://api.flow2act.com/v1/flow-runs/10000000-0000-4000-8000-000000000004/documents/10000000-0000-4000-8000-000000000012/content" \
  -H "authorization: Bearer $FLOW2ACT_ACCESS_TOKEN" \
  -H "x-organization-id: 10000000-0000-4000-8000-000000000001"
```

Source: /docs/document-content
Full schemas: /docs/openapi.json