Bezpieczeństwo Twoich danych
Faktury, rachunki bankowe i dane pracowników trzeba dobrze chronić. Oto, jak to robimy.
Dane w Unii Europejskiej
Aplikacja działa w centrum danych Hetzner w Helsinkach, które ma certyfikat ISO/IEC 27001. Kopie zapasowe trzymamy u innego dostawcy, OVHcloud, w Warszawie.
Szyfrowanie
Połączenie z aplikacją jest zawsze szyfrowane (HTTPS). W bazie dodatkowo szyfrujemy tokeny KSeF, szczegóły operacji bankowych, pliki z przelewami, przesłane faktury i dane pracowników. Klucza nie ma w bazie ani w kopiach zapasowych.
Kopia zapasowa co noc
Co noc robimy zaszyfrowaną kopię zapasową w innym centrum danych, u innego dostawcy. Odtwarzanie danych z kopii jest przetestowane.
Bezpieczne logowanie
Hasła przechowujemy jako skróty Argon2. Nowego hasła, które wyciekło kiedyś z innej strony, nie przyjmiemy, a jeśli takim hasłem się logujesz, poprosimy o jego zmianę. Sprawdzamy to w bazie Pwned Passwords serwisu Have I Been Pwned, wysyłając tylko 5 pierwszych znaków skrótu SHA-1 hasła, z których nie da się go odtworzyć. Samo hasło nigdy nie opuszcza naszego serwera. Po kilku błędnych próbach konto blokuje się na 15 minut. Sesja kończy się po godzinie bezczynności, a ze wszystkich urządzeń wylogujesz się jednym kliknięciem. W ustawieniach konta włączysz logowanie dwuetapowe (2FA): klucz dostępu (passkey), czyli odcisk palca, twarz albo PIN, których już używasz w telefonie lub komputerze, bez instalowania aplikacji, albo kod z aplikacji uwierzytelniającej w telefonie, jednorazowe kody zapasowe na wypadek zgubienia telefonu i zaufane urządzenia, które przez 30 dni nie pytają o kod.
Każdy widzi tylko swoje
Dostęp zależy od roli w każdej firmie. Logowania, eksporty i pobrane pliki z przelewami trafiają do dziennika bezpieczeństwa, który widzą właściciel i księgowość firmy.
Pieniądze zostają w Twoim banku
Nie prosimy o dostęp do konta bankowego. Księguś przygotowuje plik z przelewami, a wysyłasz go Ty, w swoim banku.
Aktualne biblioteki
Przy każdej zmianie w kodzie i raz w tygodniu automatycznie sprawdzamy wszystkie używane biblioteki pod kątem znanych luk bezpieczeństwa.
Twoje prawa z RODO
W ustawieniach konta pobierzesz swoje dane i usuniesz konto. Dane, których nie musimy już przechowywać, usuwamy automatycznie.
Kto przetwarza dane w naszym imieniu
Korzystamy tylko z dostawców z Unii Europejskiej, a dane zostają w UE.
| Dostawca | Do czego | Gdzie |
|---|---|---|
| Hetzner | Serwer aplikacji i baza danych | Finlandia |
| OVHcloud | Zaszyfrowane kopie zapasowe | Polska |
| Brevo | Wysyłka e-maili z aplikacji | UE |
Certyfikat ISO/IEC 27001 ma Hetzner i dotyczy jego centrów danych, a nie samej aplikacji Księguś.
Zgłoś problem z bezpieczeństwem
Jeśli znajdziesz lukę w Księgusiu, napisz na kontakt@twojksiegus.pl. Prosimy, nie publikuj szczegółów, dopóki jej nie naprawimy. Dane kontaktowe są też w pliku security.txt.