Menu
Rozlicz 25 faktur za darmoZaloguj się

Bezpieczeństwo

Przetwarzamy faktury i wyciągi bankowe, które często zawierają wrażliwe dane finansowe. Poniżej znajdują się środki techniczne i organizacyjne stosowane zgodnie z art. 32 RODO.

W skrócie

Wgrane faktury i wyciągi są usuwane z naszych serwerów zaraz po przetworzeniu – najpóźniej po 30 minutach, jeśli przetwarzanie zostanie przerwane. Jedyny wyjątek to program testowy, na który wyrazisz wyraźną zgodę przy rejestracji.
Dane przechowujemy w UE (baza danych we Frankfurcie, Niemcy).
Nigdy nie prosimy o dane logowania do banku – wgrywasz plik wyciągu, który sam pobierasz.
Tokeny i certyfikaty KSeF są szyfrowane algorytmem AES-256-GCM przed zapisaniem.
Umowa powierzenia obowiązuje od pierwszego przesłania pliku, a pełna lista podmiotów przetwarzających jest jawna.
Google Analytics ładuje się tylko po Twojej zgodzie w banerze cookies i nigdy nie otrzymuje treści dokumentów.

Ochrona danych

  • Szyfrowanie w tranzycie – TLS 1.2+ na wszystkich połączeniach, z HSTS.
  • Szyfrowanie w spoczynku – zapewniane przez dostawców infrastruktury; tokeny i certyfikaty KSeF dodatkowo szyfrowane na poziomie aplikacji algorytmem AES-256-GCM.
  • Izolacja danych klientów – każde żądanie jest autoryzowane po stronie serwera względem zalogowanego konta. Baza danych nie ma publicznego API: dostęp do niej ma wyłącznie serwer aplikacji.
  • Niezmienne logi audytowe – operacje uprzywilejowane i związane z RODO zapisujemy w dzienniku, który pozwala wyłącznie dopisywać wpisy. Dziennik przechowujemy przez 5 lat.

Bezpieczeństwo aplikacji

  • Content-Security-Policy oraz nagłówki HSTS, X-Frame-Options, X-Content-Type-Options, Referrer-Policy, Permissions-Policy.
  • Weryfikacja podpisów webhooków Stripe (HMAC-SHA256), sprawdzenie kwoty, waluty i zamówienia przed przyznaniem dostępu, ochrona przed replay, atomiczne rozliczanie kredytów.
  • Ograniczanie liczby zapytań na kluczowych endpointach.
  • Autoryzacja po stronie serwera dla każdego żądania – brak zaufania do danych klienta.

Praktyki wytwórcze

  • Automatyczne aktualizacje zależności (Dependabot), przeglądane co tydzień.
  • Analiza statyczna (Semgrep, CodeQL), wykrywanie sekretów (Gitleaks) i npm audit przy każdej zmianie w gałęzi głównej oraz co tydzień.

AI i odczyt dokumentów

Modele AI odczytują tekst skanów i PDF-ów (OCR: Mistral AI, Francja) oraz pola faktur i wyciągów (Amazon Bedrock w Sztokholmie, zapasowo Mistral AI i Cloudflare Workers AI) i pomagają ocenić trudniejsze dopasowania. Nie księgują, nie wykonują płatności i nie zatwierdzają wyników. Każdy wynik wygenerowany przez AI jest tak oznaczony (art. 50 EU AI Act), a ostateczną decyzję podejmujesz Ty.

Infrastruktura

  • Główna baza danych w UE: Neon PostgreSQL, Frankfurt (AWS eu-central-1).
  • Aplikacja hostowana w sieci Cloudflare.

Reagowanie na incydenty

Monitorujemy anomalie poprzez logi audytowe i metryki infrastruktury. W przypadku naruszenia ochrony danych osobowych zawiadamiamy Prezesa UODO w terminie 72 godzin, zgodnie z art. 33 RODO, a osoby, których dane dotyczą – bez zbędnej zwłoki, gdy naruszenie może powodować wysokie ryzyko dla ich praw i wolności (art. 34 RODO). Klientów, których wgrane dane zostały objęte naruszeniem, zawiadamiamy w ciągu 48 godzin, zgodnie z umową powierzenia.

Zgłaszanie luk bezpieczeństwa

Jeżeli znaleźli Państwo problem bezpieczeństwa, prosimy o e-mail na contact@irukadigital.com (adres podany też w security.txt). Nie podejmujemy kroków prawnych wobec badaczy działających w dobrej wierze i przestrzegających koordynowanego ujawniania: prosimy o nieuzyskiwanie dostępu do większej liczby danych niż to konieczne, nieujawnianie problemu publicznie przed jego naprawą i danie nam rozsądnego okresu na reakcję (zwykle 90 dni).

Dokumenty do Twojej dokumentacji RODO

Zobacz też: Polityka prywatności · Cookies · O nas