Як ми захищаємо дані вашого магазину
Застосунок виставляє фактури від вашого імені, тому зберігає дані покупців і ваш сертифікат KSeF. Нижче простими словами пояснюємо, що саме ми зберігаємо, де, як це шифруємо і що ви можете зробити самі будь-коли.
- AES-256шифрування сертифікатів, замовлень, фактур і PDF
- ЄСсервери в Німеччині, дані не залишають Союз
- Ваш сертифікатанулюєте його в KSeF одним кліком
- 90 днівпісля цього видаляємо замовлення без фактури
- щоднязашифрована резервна копія, зберігається 14 днів
- 48 годинщоб повідомити вас про інцидент
Які дані ми обробляємо і навіщо
Лише те, чого вимагає фактура VAT і її надсилання до KSeF. Ми не робимо реклами, аналітики чи профілювання покупців і не продаємо дані.
- Дані із замовлення: назва фірми або ім'я та прізвище, NIP, адреса, e-mail, позиції і суми. Без цього немає фактури.
- Ваш сертифікат KSeF або токен KSeF: щоб надіслати фактуру в контексті вашого NIP.
- Номери телефонів, IP-адреси і дані браузера видаляємо із замовлення перед збереженням. Даних платіжних карток ми не отримуємо взагалі: платежі залишаються в Shopify.
Шифрування
Ваш сертифікат KSeF, копії замовлень з даними покупців, фактури та листи покупцям ми зберігаємо зашифрованими алгоритмом AES-256-GCM. Ключ тримаємо поза базою даних, тож сама копія бази їх не розкриває.
- Зашифровано: сертифікат і ключ KSeF або токен, копії замовлень, файли XML і PDF фактур, листи з фактурою.
- Пароль до ключа ми не зберігаємо взагалі: він потрібен один раз, щоб прочитати ключ під час завантаження.
- З'єднання з KSeF, із Shopify і з вашим браузером ідуть лише через зашифрований HTTPS.
- Посилання на PDF фактури містить унікальний ключ, який неможливо вгадати.
Ваш сертифікат KSeF під вашим контролем
Сертифікат ви генеруєте самі в Aplikacja Podatnika KSeF і самі вирішуєте, як довго він діє.
- Після завантаження ми ніколи більше не показуємо його в браузері.
- Ви будь-коли анулюєте його в KSeF, а в застосунку натиснете «Від'єднати». Відтоді ми нічого не надішлемо від вашого імені, а нові фактури чекатимуть у черзі.
- Після видалення застосунку ми одразу стираємо сертифікат і токен.
- За 30 днів до кінця дії сертифіката нагадаємо про це в застосунку.
Де дані і хто має до них доступ
Сервери стоять у дата-центрі Hetzner у Німеччині, в Європейському Союзі. Застосунок і база даних недоступні з інтернету напряму, лише через сервер HTTPS.
- Доступ до сервера і бази має одна людина: власник компанії, через особистий ключ SSH.
- Підтримка допомагає вам у вашій панелі Shopify, а не через зазирання в базу даних.
- Дані потрапляють лише до KSeF (Міністерство фінансів) і на наш сервер. Нікому їх не передаємо.
Резервні копії і стійкість
Щодня робимо зашифровану копію бази і файлів фактур і зберігаємо її 14 днів.
- Кожна фактура є також у KSeF, тож у разі збою її можна завантажити звідти повторно.
- Коли KSeF не відповідає, фактури чекають у черзі й надсилаються самі, коли система запрацює.
- Помилки застосунку одразу потрапляють у нашу систему моніторингу.
Як довго ми зберігаємо дані
| Замовлення, які не отримали фактури (наприклад, без NIP) | 90 днів |
|---|---|
| Ваш сертифікат KSeF або токен | до від'єднання або видалення застосунку |
| Виставлені фактури (XML і PDF) | протягом строку, якого вимагає закон про VAT (art. 112 ustawy o VAT) |
| Резервні копії | 14 днів |
Коли Shopify передає нам запит на видалення даних клієнта чи магазину, ми видаляємо копії замовлень. Виставлених фактур не можемо видалити раніше, бо цього вимагає закон про VAT.
Що ми робимо, якщо щось піде не так
У нас є письмова процедура на випадок інциденту безпеки.
- Протягом години: зупиняємо надсилання фактур і змінюємо ключі, які могли витекти.
- Протягом доби: з'ясовуємо, чого стосується інцидент і яких магазинів.
- Не пізніше ніж за 48 годин: пишемо вам, що сталося і що зробити (наприклад, анулювати сертифікат). Даємо інформацію, потрібну для повідомлення до UODO протягом 72 годин, якщо воно обов'язкове.
- Відновлюємо дані з останньої чистої копії та інформуємо Shopify.
Хто за що відповідає (GDPR, RODO)
Ви є контролером даних своїх покупців, а ми обробляємо їх від вашого імені як обробник, на умовах регламенту (art. 28 GDPR). Деталі в політиці конфіденційності. Політика конфіденційності (PL) · Регламент для Shopify (PL)
Питання про безпеку: kontakt@ksefshop.pl