# Środki techniczne i organizacyjne ochrony danych InvoiceIQ

Wersja pakietu: `PL-COMMERCIAL-2026-11-02.2`

Załącznik DPA określający środki ochrony, które Operator zobowiązuje się
stosować w zakresie powierzonych danych i udostępnionych funkcji. Nie jest
certyfikatem bezpieczeństwa ani gwarancją braku każdego incydentu.
Operator dobiera i okresowo weryfikuje środki odpowiednio do ryzyka,
z zachowaniem uzgodnionego poziomu ochrony.

## 1. Tożsamość i oddzielenie firm

- Osobne konta, weryfikacja poczty, role oraz MFA/klucze dostępu; świeża
  autoryzacja przy wrażliwych operacjach. Zapamiętanie urządzenia nie jest
  akceptacją nowej płatności, eksportu lub wystawienia.
- Serwerowy kontekst Organizacji, kontrola własności rekordów i prywatnych
  plików, ograniczone integracje i odwołanie dostępu. Brak poprawnego
  kontekstu oznacza odmowę, nie dostęp domyślny.
- Role platformowe do rozliczeń nie dają dostępu do Treści innych firm.
  Wsparcie wymaga określonego zakresu, celu, czasu i audytu.

## 2. Poufność i minimalizacja

- HTTPS, szyfrowanie danych wrażliwych i prywatnych artefaktów, właściwe
  przechowywanie kluczy poza zwykłą bazą danych i ograniczone uprawnienia.
- Bez pełnych faktur, promptów OCR, payloadów PSP, tokenów, certyfikatów,
  haseł i cookies w zwykłych logach lub testowych fixture.
- Prywatne pliki, krótkie uprawnione pobieranie i kontrola integralności.
  Surowe dokumenty nie są umieszczane w publicznym katalogu ani indeksie.
- Minimalne dane przekazywane dostawcom; umowy, role, retencja i transfery
  sprawdzane przed uruchomieniem, a nie wywodzone z dostępności klucza API.

## 3. Integralność, rozliczenia i historia

- Deterministyczne obliczenia pieniężne, serwerowe źródło tożsamości nabywcy
  i cen, wersjonowane podglądy, jawna akceptacja i rejestr jej dowodu.
- Stan trwały przed zewnętrznym skutkiem, idempotencja, rezerwacje,
  kontrola współbieżności i uzgadnianie po niepewnym wyniku. Zmiana klucza
  nie może pozwalać ponownie obciążyć tej samej operacji.
- Podpis i odczyt kanoniczny zdarzeń PSP, powiązanie z własnym zamówieniem
  oraz potwierdzoną zapłatą. Sam webhook lub przekierowanie nie nadaje planu.
- Niezmienne faktury i historia; korekty i zwroty są odrębne. Faktura TALITHA
  jest przygotowywana jako szkic i obecnie wymaga ręcznego zatwierdzenia.

## 4. OCR i nieufne pliki

Prywatna kwarantanna, skan antywirusowy i sprawdzenie pliku poprzedzają
egress. Obowiązują limity rozmiaru/stron/czasu i izolowane przygotowanie.
Instrukcja zawarta w fakturze nie jest komendą systemu. Ścisły format
wyniku i serwerowa walidacja nie zastępują kontroli człowieka.

Limit OCR to pełna miesięczna pula planu firmy, bez dodatkowego capu
pieniężnego platformy. Kontrole współbieżności i nadużyć nie służą
ukrytemu pomniejszaniu tej puli. Retry nie tworzy drugiego naliczenia.
Model nie może wysłać dokumentu do KSeF ani nadać numeru faktury.

## 5. Dostępność, incydenty i weryfikacja

Operator utrzymuje kopie, kontroluje odtworzenie, aktualizacje zależności,
uprawnienia i minimalny monitoring. Odtworzenie obejmuje historię skutków,
odwołania, retencję i integralność, a nie jedynie uruchomienie bazy.
Nie deklaruje osobnego SLA, RPO/RTO lub certyfikacji bez ich uzgodnienia
i dowodu w zakresie danej Usługi.

Proces incydentu rozdziela sygnał, naruszenie i obowiązek powiadomienia.
Zabezpiecza minimalne dowody, ogranicza skutek i przekazuje właściwemu
Klientowi dostępne informacje bez czekania na pełne ustalenie przyczyny.
Kontakty i prawa opisują DPA oraz Reklamacje, prawa i bezpieczeństwo.

Weryfikacja przed wdrożeniem i po istotnej zmianie obejmuje środowisko,
wersję kodu, wyniki
testów izolacji, płatności/OCR, kontrolę uploadów, aktualne umowy i regiony,
backup/restore, osoby uprawnione i operacyjne terminy przechowania. Dowody
zawierające dane lub konfigurację bezpieczeństwa nie są publicznymi załącznikami.

## 6. Przygotowanie szkicu z polecenia

Kontekst wysyłany do OpenAI jest ograniczony do zamkniętych typów:
minimalizowanego polecenia, jednorazowych losowych odwołań, informacji
o wyborze kontrahenta i liczby pozycji. Mapowania pozostają lokalnie.
Nie zapisujemy poleceń, odpowiedzi modelu ani nagrań w logach. Uprawnienia
PRO i firmy są sprawdzane przed i po wywołaniu. Model zwraca propozycję;
walidacja, obliczenia, blokady wersji i wymagane zgody należą do InvoiceIQ.

## Ochrona ruchu przez Cloudflare

DNS i proxy Cloudflare stanowią dodatkową warstwę ochrony DDoS i WAF.
TLS Full (strict) weryfikuje certyfikat serwera InvoiceIQ. Prywatne
odpowiedzi omijają cache CDN. Serwer ufa nagłówkowi IP klienta wyłącznie
od sieci Cloudflare; izolacja firm, sesje, MFA i autoryzacja pozostają
egzekwowane przez aplikację. Kontrole po zmianie obejmują WWW, API
i natywny transport aplikacji mobilnych. Ochrona sieciowa nie zastępuje
aktualizacji ani testów kodu.