Diese Seite beschreibt die technischen und organisatorischen Maßnahmen, die wir nach Artikel 32 der Datenschutz-Grundverordnung (DSGVO) und dem Gesetz Nr. 124/2024 umsetzen. Sie ist eine Anlage zum Auftragsverarbeitungsvertrag.
1. Infrastruktur
- Die Server und die Datenbank befinden sich in der Europäischen Union, in den Niederlanden (DigitalOcean, Amsterdam).
- Die Datenbank ist aus dem Internet nicht erreichbar. Sie ist nur mit den Anwendungsservern verbunden.
- Das Betriebssystem und die Komponenten der Anwendung werden regelmäßig mit Sicherheitsupdates aktualisiert.
- Wir überwachen laufend die Verfügbarkeit des Dienstes und technische Fehler.
2. Schutz des Datenverkehrs
- Der gesamte Datenverkehr ist mit HTTPS (TLS) verschlüsselt, mit HSTS, damit der Browser niemals ohne Verschlüsselung eine Verbindung herstellt.
- Cloudflare steht vor der Anwendung und schützt sie vor DDoS-Angriffen, vor Bots und vor gefährlichen Anfragen.
- Die Anmeldung am Konto ist in der Zahl der Versuche begrenzt, pro IP und pro Benutzer, um das Ausprobieren von Passwörtern zu unterbinden.
3. Zugang und Berechtigungen
- Passwörter werden nur mit bcrypt gehasht gespeichert. Niemand, auch nicht unser Team, kann sie lesen.
- API-Token und geheime Schlüssel von Integrationen werden gehasht gespeichert und nur einmal angezeigt, bei ihrer Erstellung.
- Der Administrator des Unternehmens legt die Berechtigungen jedes Benutzers fest: welche Module er sieht, wer Rechnungen storniert, wer die Berichte sieht.
- Sitzungen sind verschlüsselt und vor CSRF-Angriffen geschützt.
4. Trennung zwischen Unternehmen
Jede Abfrage der Datenbank ist auf das Unternehmen, die Einheit und das Fiskalgerät des Benutzers beschränkt, der sie ausführt. Ein Unternehmen kann die Daten eines anderen Unternehmens nicht sehen. Buchhalter und Wiederverkäufer haben nur Zugang zu den Unternehmen, die sie eingeladen oder ihnen zugewiesen haben, mit den ihnen erteilten Berechtigungen.
5. Schutz der Daten
- Die Schlüssel externer Dienste und die Passwörter der Zertifikate werden verschlüsselt gespeichert.
- Wir erstellen regelmäßige Sicherungskopien der Datenbank, die in der EU gespeichert werden.
- In Fehlerprotokolle übermitteln wir keine personenbezogenen Daten.
- Sie können Ihre Rechnungen, Kunden und Produkte jederzeit exportieren.
6. Fiskalisierung
- Jede Rechnung wird mit dem Zertifikat Ihres Unternehmens digital signiert, bevor sie an die Steuerbehörde gesendet wird.
- Die XML-Nachrichten, die wir senden, und die Antworten der Steuerbehörde werden zu Prüfzwecken in einem unveränderlichen Archiv gespeichert.
- Wenn das System der Steuerbehörde nicht antwortet, werden die Rechnungen gespeichert und automatisch fiskalisiert, sobald es wieder verfügbar ist.
7. Protokollierung von Vorgängen
- Jede Änderung an der Konfiguration des Unternehmens wird protokolliert: wer sie vorgenommen hat, wann und was geändert wurde.
- Wenn unser Team oder ein Buchhalter auf Ihr Konto zugreift, wird der Zugriff mit dessen Namen protokolliert.
- API-Aufrufe werden nach dem Token und der Anwendung protokolliert, die sie ausführt.
8. Unser Team
- Zugang zu den Produktivsystemen haben nur die Personen, die sie warten, und nur soweit sie ihn benötigen.
- Sie alle sind vertraglich zur Wahrung der Vertraulichkeit verpflichtet.
- Das Support-Team greift auf Ihr Konto nur auf Ihre Anfrage zu oder um ein technisches Problem zu lösen.
9. Vorfälle
Kommt es zu einer Verletzung des Schutzes personenbezogener Daten, die Ihre Daten betrifft, benachrichtigen wir Sie ohne Verzögerung und spätestens 48 Stunden, nachdem wir davon erfahren haben, mit dem, was wir wissen, und den Maßnahmen, die wir ergreifen, damit Sie den Kommissar innerhalb der gesetzlichen Frist benachrichtigen können.
10. Ein Sicherheitsproblem melden
Wenn Sie eine Schwachstelle in Fature.al finden, schreiben Sie uns an [email protected]. Bitte machen Sie sie nicht öffentlich und greifen Sie nicht auf die Daten anderer Unternehmen zu, bis wir sie behoben haben. Wir beantworten jede Meldung.