Gdzie są Twoje faktury i kto ma do nich dostęp
Faktury, dane nabywców i token KSeF to najbardziej wrażliwe informacje w małej firmie. Poniżej opisujemy, co z nimi robimy — w tabelach, żeby dało się to sprawdzić punkt po punkcie.
Zgłoszenia podatności
Potwierdzenie do 48 h, krytyczna poprawka do 24 h od potwierdzenia. Plik /.well-known/security.txt jest na każdej poddomenie.
Co, gdzie, jak chronione
| Dane | Gdzie | Szyfrowanie | Kto widzi |
|---|---|---|---|
| Faktury i rejestr | baza danych, centrum danych w UE | TLS 1.3 w transmisji, AES-256 w spoczynku | Ty, osoby na Twoim koncie, konto gościa biura (tylko odczyt) |
| PDF-y faktur | magazyn plików, centrum danych w UE | AES-256, klucz osobny dla każdego konta | jak wyżej; link w e-mailu do nabywcy ważny 90 dni |
| Token KSeF | osobny sejf kluczy, nie w bazie | szyfrowany kluczem sprzętowym; nigdy nie jest wyświetlany po zapisaniu | nikt z Velunio; używa go tylko kolejka wysyłki |
| Wyciągi bankowe | przetwarzane w pamięci, zapis tylko dopasowanych wpłat | plik usuwany po przetworzeniu, maks. 24 h | Ty |
| Hasła | baza danych | Argon2id, nigdy w postaci jawnej | nikt |
| Dziennik zdarzeń | baza danych | jak faktury | właściciel i administratorzy konta |
Centra danych: dwa, w Unii Europejskiej, u dostawców z audytem ISO 27001. Nazwy lokalizacji wymieniamy w umowie powierzenia. Żadne dane nie opuszczają Europejskiego Obszaru Gospodarczego.
Logowanie i dostęp
Konto właściciela musi mieć drugi składnik logowania: aplikację z kodami albo klucz sprzętowy FIDO2. Dla pozostałych osób 2FA włączasz jednym przełącznikiem w ustawieniach firmy.
Pracownicy Velunio nie mają dostępu do Twoich faktur w codziennej pracy. Gdy zgłaszasz problem, możesz nadać dostęp na 24 godziny — wpis o tym trafia do Twojego dziennika zdarzeń.
| Zdarzenie w dzienniku | Co zapisujemy |
|---|---|
| logowanie | data, godzina, adres IP, urządzenie, 2FA tak/nie |
| wystawienie / zmiana faktury | kto, kiedy, numer, pola przed i po |
| wysyłka do KSeF | numer KSeF, UPO, odpowiedź systemu |
| przypomnienie | numer faktury, krok, treść, adres |
| pobranie PDF / paczki | kto (także konto gościa), kiedy, co |
| dostęp pracownika Velunio | kto, od–do, powód (numer zgłoszenia) |
RODO: role i dokumenty
Dane nabywców wprowadzasz Ty, więc to Ty jesteś ich administratorem. Velunio przetwarza je na Twoje polecenie.
- Umowa powierzenia
Zgodna z art. 28 RODO, po polsku, akceptowana przy rejestracji i dostępna w panelu do pobrania w każdej chwili. Lista podwykonawców (centra danych, poczta transakcyjna, operator płatności) jest jej załącznikiem; o zmianie informujemy 30 dni wcześniej.
- Prawa osób
Eksport danych nabywcy, poprawienie albo usunięcie — z panelu, bez pisania do nas. Jeśli nabywca napisze do Velunio zamiast do Ciebie, przekazujemy sprawę Tobie w ciągu 2 dni roboczych.
- Retencja
Faktury przechowujemy, dopóki masz konto; po zamknięciu — 90 dni na eksport, potem usunięcie z bazy, po kolejnych 30 dniach z kopii zapasowych. Dane, które musimy przechowywać z powodów podatkowych (faktury za Velunio), trzymamy 5 lat.
- Inspektor
iod@velunio.pl lub pisemnie: Velunio sp. z o.o., ul. Zielna Wola 14/3, 00-874 Warszawa, z dopiskiem „IOD”. Polityka prywatności serwisu: www.velunio.pl/polityka-prywatnosci.
- Naruszenia
O incydencie dotyczącym Twoich danych informujemy e-mailem w ciągu 72 godzin od wykrycia, zwykle tego samego dnia, z opisem zakresu i tego, co zrobiliśmy. Historia incydentów infrastruktury jest publiczna na status.velunio.pl.
Czego nie robimy z danymi
- Nie sprzedajemy ani nie udostępniamy danych nabywców nikomu poza podwykonawcami z umowy powierzenia.
- Nie trenujemy na fakturach żadnych modeli ani nie budujemy z nich zbiorczych statystyk branżowych.
- Nie łączymy się z Twoim bankiem — wyciąg to plik, który wgrywasz sam.
- Nie wyświetlamy tokenu KSeF po zapisaniu i nie wysyłamy go e-mailem.
- Nie przenosimy danych poza Europejski Obszar Gospodarczy.
- testy penetracyjne, zespół zewnętrznyraz w roku
- skanowanie zależnościcodziennie
- krytyczna poprawka bezpieczeństwado 24 h
- test odtworzenia kopiico miesiąc
- rotacja kluczy szyfrującychco kwartał
Streszczenie ostatniego raportu z testów penetracyjnych i wzór umowy powierzenia wysyłamy na prośbę: bezpieczenstwo@velunio.pl.