Securitatea datelor și back-up zilnic în FirstBill

Protecția conturilor

• Parolele nu se stochează în clar: se păstrează sub formă de hash (bcrypt).
• Autentificare în doi pași prin cod trimis pe email, opțional cu autentificare Google.
• Sesiuni prin cookie-uri httpOnly și secure, inaccesibile scripturilor din pagină.
• Limitarea încercărilor repetate de autentificare și a cererilor către API.
• Linkurile de resetare a parolei sunt de unică folosință, cu durată limitată, iar în baza de date se păstrează doar hash-ul lor.
• Roluri de acces: administrator, operator, doar vizualizare. Un utilizator vede doar firmele la care are acces.

Protecția informațiilor

• Toate conexiunile folosesc HTTPS (TLS).
• Secretele sensibile (tokenuri ANAF, chei API Stripe și NETOPIA, parole SMTP) sunt criptate în baza de date cu AES-256-GCM.
• Cheile API ale platformei se păstrează doar ca hash și se afișează o singură dată, la creare.
• Datele cardului nu trec prin FirstBill: plățile se procesează la Stripe sau NETOPIA, în contul tău.
• Tokenurile ANAF sunt folosite doar pentru transmiterea documentelor tale.
• Notificările de plată primite de la NETOPIA sunt acceptate doar pe o adresă cu semnătură secretă, iar plata se înregistrează o singură dată.
• Jurnalul de erori pentru administratori șterge din mesaje parolele, tokenurile și cheile.

Baza de date

Facturile, clienții și conturile sunt într-o bază de date PostgreSQL găzduită în Uniunea Europeană (regiunea Frankfurt), separată de serverul aplicației. Conexiunea folosește TLS obligatoriu, iar accesul este limitat la serverul aplicației. Furnizorul bazei de date asigură criptarea la repaus.

Back-up zilnic

• Copie de siguranță a bazei de date în fiecare zi, la ora 03:45.
• Copiile zilnice se păstrează 14 zile, în fișiere cu acces permis doar administratorului serverului.
• Fiecare copie este verificată automat că poate fi citită.
• Backup automat al furnizorului bazei de date, cu restaurare la un moment din trecut.
• Copii în afara serverului, descărcate periodic; trimiterea lor automată la un alt furnizor este planificată.

Controlul tău asupra datelor (GDPR)

• Export complet al datelor tale, într-un fișier, fără secrete, din setările contului.
• Ștergerea contului cu toate datele asociate.
• Exporturi CSV ale facturilor, recepțiilor, stocului și facturilor primite.
• Operatorul datelor este CITU WEB CONSULTING SRL; pentru solicitări scrie la gdpr@citu.ro.

Ce nu promitem

Niciun sistem nu este invulnerabil. FirstBill nu deține în prezent certificări precum ISO 27001 sau SOC 2, iar copiile zilnice sunt păstrate pe serverul aplicației și la furnizorul bazei de date, cu o copie externă periodică. Dacă ai cerințe speciale (de exemplu, un contract de prelucrare a datelor), scrie-ne la contact@citu.ro.