Kjo faqe përshkruan masat teknike dhe organizative që zbatojmë sipas nenit 32 të GDPR dhe Ligjit nr. 124/2024. Është shtojcë e Marrëveshjes për përpunimin e të dhënave.
1. Infrastruktura
- Serverët dhe baza e të dhënave ndodhen në Bashkimin Evropian, në Holandë (DigitalOcean, Amsterdam).
- Baza e të dhënave nuk është e arritshme nga interneti. Lidhet vetëm me serverët e aplikacionit.
- Sistemi operativ dhe komponentët e aplikacionit përditësohen rregullisht me arnimet e sigurisë.
- Monitorojmë vazhdimisht disponueshmërinë e shërbimit dhe gabimet teknike.
2. Mbrojtja e trafikut
- I gjithë trafiku është i enkriptuar me HTTPS (TLS), me HSTS që shfletuesi të mos lidhet kurrë pa enkriptim.
- Cloudflare qëndron para aplikacionit dhe e mbron nga sulmet DDoS, nga botët dhe nga kërkesat e rrezikshme.
- Hyrja në llogari ka kufizim të numrit të përpjekjeve, për IP dhe për përdorues, për të ndalur provat e fjalëkalimeve.
3. Hyrja dhe të drejtat
- Fjalëkalimet ruhen vetëm të hash-uara me bcrypt. Askush, as ekipi ynë, nuk mund t'i lexojë.
- Tokenët e API-t dhe çelësat sekretë të integrimeve ruhen të hash-uar dhe shfaqen vetëm një herë, kur krijohen.
- Administratori i biznesit vendos të drejtat e çdo përdoruesi: cilat module sheh, kush anulon fatura, kush sheh raportet.
- Seancat janë të enkriptuara dhe të mbrojtura nga sulmet CSRF.
4. Ndarja mes bizneseve
Çdo kërkesë në bazën e të dhënave kufizohet te biznesi, njësia dhe pajisja fiskale e përdoruesit që e bën. Një biznes nuk mund të shohë të dhënat e një biznesi tjetër. Kontabilistët dhe rishitësit hyjnë vetëm në bizneset që i kanë ftuar ose i kanë caktuar, me të drejtat që u janë dhënë.
5. Mbrojtja e të dhënave
- Çelësat e shërbimeve të jashtme dhe fjalëkalimet e certifikatave ruhen të enkriptuar.
- Bëjmë kopje rezervë të rregullta të bazës së të dhënave, të ruajtura në BE.
- Në regjistrat e gabimeve nuk dërgojmë të dhëna personale.
- Mund të eksportoni në çdo kohë faturat, klientët dhe produktet tuaja.
6. Fiskalizimi
- Çdo faturë nënshkruhet dixhitalisht me certifikatën e biznesit tuaj para se t'i dërgohet tatimeve.
- Mesazhet XML që dërgojmë dhe përgjigjet e tatimeve ruhen në një arkiv që nuk ndryshohet, për auditim.
- Kur sistemi i tatimeve nuk përgjigjet, faturat ruhen dhe fiskalizohen automatikisht sapo ai të kthehet.
7. Regjistrimi i veprimeve
- Çdo ndryshim në konfigurimin e biznesit regjistrohet: kush e bëri, kur dhe çfarë ndryshoi.
- Kur ekipi ynë ose një kontabilist hyn në llogarinë tuaj, hyrja regjistrohet me emrin e tij.
- Thirrjet e API-t regjistrohen sipas tokenit dhe aplikacionit që i bën.
8. Ekipi ynë
- Akses në sistemet e prodhimit kanë vetëm personat që i mirëmbajnë, dhe vetëm sa u duhet.
- Të gjithë ata janë të detyruar me kontratë të ruajnë konfidencialitetin.
- Ekipi i mbështetjes hyn në llogarinë tuaj vetëm me kërkesën tuaj ose për të zgjidhur një problem teknik.
9. Incidentet
Nëse ndodh një cenim që prek të dhënat tuaja, ju njoftojmë pa vonesë dhe jo më vonë se 48 orë pasi e mësojmë, me atë që dimë dhe me masat që po marrim, që të mund të njoftoni Komisionerin brenda afatit ligjor.
10. Raportoni një problem sigurie
Nëse gjeni një dobësi në Fature.al, na shkruani në [email protected]. Ju lutemi mos e bëni publike dhe mos hyni në të dhënat e bizneseve të tjera derisa ta rregullojmë. I përgjigjemi çdo raporti.