Środki techniczne i organizacyjne ochrony danych InvoiceIQ

Wersja pakietu: PL-COMMERCIAL-2026-11-02.2

Załącznik DPA określający środki ochrony, które Operator zobowiązuje się stosować w zakresie powierzonych danych i udostępnionych funkcji. Nie jest certyfikatem bezpieczeństwa ani gwarancją braku każdego incydentu. Operator dobiera i okresowo weryfikuje środki odpowiednio do ryzyka, z zachowaniem uzgodnionego poziomu ochrony.

1. Tożsamość i oddzielenie firm

• Osobne konta, weryfikacja poczty, role oraz MFA/klucze dostępu; świeża autoryzacja przy wrażliwych operacjach. Zapamiętanie urządzenia nie jest akceptacją nowej płatności, eksportu lub wystawienia.
• Serwerowy kontekst Organizacji, kontrola własności rekordów i prywatnych plików, ograniczone integracje i odwołanie dostępu. Brak poprawnego kontekstu oznacza odmowę, nie dostęp domyślny.
• Role platformowe do rozliczeń nie dają dostępu do Treści innych firm. Wsparcie wymaga określonego zakresu, celu, czasu i audytu.

2. Poufność i minimalizacja

• HTTPS, szyfrowanie danych wrażliwych i prywatnych artefaktów, właściwe przechowywanie kluczy poza zwykłą bazą danych i ograniczone uprawnienia.
• Bez pełnych faktur, promptów OCR, payloadów PSP, tokenów, certyfikatów, haseł i cookies w zwykłych logach lub testowych fixture.
• Prywatne pliki, krótkie uprawnione pobieranie i kontrola integralności. Surowe dokumenty nie są umieszczane w publicznym katalogu ani indeksie.
• Minimalne dane przekazywane dostawcom; umowy, role, retencja i transfery sprawdzane przed uruchomieniem, a nie wywodzone z dostępności klucza API.

3. Integralność, rozliczenia i historia

• Deterministyczne obliczenia pieniężne, serwerowe źródło tożsamości nabywcy i cen, wersjonowane podglądy, jawna akceptacja i rejestr jej dowodu.
• Stan trwały przed zewnętrznym skutkiem, idempotencja, rezerwacje, kontrola współbieżności i uzgadnianie po niepewnym wyniku. Zmiana klucza nie może pozwalać ponownie obciążyć tej samej operacji.
• Podpis i odczyt kanoniczny zdarzeń PSP, powiązanie z własnym zamówieniem oraz potwierdzoną zapłatą. Sam webhook lub przekierowanie nie nadaje planu.
• Niezmienne faktury i historia; korekty i zwroty są odrębne. Faktura TALITHA jest przygotowywana jako szkic i obecnie wymaga ręcznego zatwierdzenia.

4. OCR i nieufne pliki

Prywatna kwarantanna, skan antywirusowy i sprawdzenie pliku poprzedzają egress. Obowiązują limity rozmiaru/stron/czasu i izolowane przygotowanie. Instrukcja zawarta w fakturze nie jest komendą systemu. Ścisły format wyniku i serwerowa walidacja nie zastępują kontroli człowieka.

Limit OCR to pełna miesięczna pula planu firmy, bez dodatkowego capu pieniężnego platformy. Kontrole współbieżności i nadużyć nie służą ukrytemu pomniejszaniu tej puli. Retry nie tworzy drugiego naliczenia. Model nie może wysłać dokumentu do KSeF ani nadać numeru faktury.

5. Dostępność, incydenty i weryfikacja

Operator utrzymuje kopie, kontroluje odtworzenie, aktualizacje zależności, uprawnienia i minimalny monitoring. Odtworzenie obejmuje historię skutków, odwołania, retencję i integralność, a nie jedynie uruchomienie bazy. Nie deklaruje osobnego SLA, RPO/RTO lub certyfikacji bez ich uzgodnienia i dowodu w zakresie danej Usługi.

Proces incydentu rozdziela sygnał, naruszenie i obowiązek powiadomienia. Zabezpiecza minimalne dowody, ogranicza skutek i przekazuje właściwemu Klientowi dostępne informacje bez czekania na pełne ustalenie przyczyny. Kontakty i prawa opisują DPA oraz Reklamacje, prawa i bezpieczeństwo.

Weryfikacja przed wdrożeniem i po istotnej zmianie obejmuje środowisko, wersję kodu, wyniki testów izolacji, płatności/OCR, kontrolę uploadów, aktualne umowy i regiony, backup/restore, osoby uprawnione i operacyjne terminy przechowania. Dowody zawierające dane lub konfigurację bezpieczeństwa nie są publicznymi załącznikami.

6. Przygotowanie szkicu z polecenia

Kontekst wysyłany do OpenAI jest ograniczony do zamkniętych typów: minimalizowanego polecenia, jednorazowych losowych odwołań, informacji o wyborze kontrahenta i liczby pozycji. Mapowania pozostają lokalnie. Nie zapisujemy poleceń, odpowiedzi modelu ani nagrań w logach. Uprawnienia PRO i firmy są sprawdzane przed i po wywołaniu. Model zwraca propozycję; walidacja, obliczenia, blokady wersji i wymagane zgody należą do InvoiceIQ.

Ochrona ruchu przez Cloudflare

DNS i proxy Cloudflare stanowią dodatkową warstwę ochrony DDoS i WAF. TLS Full (strict) weryfikuje certyfikat serwera InvoiceIQ. Prywatne odpowiedzi omijają cache CDN. Serwer ufa nagłówkowi IP klienta wyłącznie od sieci Cloudflare; izolacja firm, sesje, MFA i autoryzacja pozostają egzekwowane przez aplikację. Kontrole po zmianie obejmują WWW, API i natywny transport aplikacji mobilnych. Ochrona sieciowa nie zastępuje aktualizacji ani testów kodu.