Jak sprawdzić bezpieczeństwo integracji z KSeF?
Sprawdzasz cztery elementy: czy certyfikat KSeF jest przechowywany w postaci zaszyfrowanej, czy dostawca oferuje umowę powierzenia przetwarzania danych (DPA) zgodną z art. 28 RODO, gdzie fizycznie znajdują się serwery (najlepiej w Unii Europejskiej) oraz czy dane poszczególnych klientów są od siebie odseparowane. Sama liczba funkcji eksportu tego nie gwarantuje – narzędzie może pobierać faktury sprawnie i jednocześnie źle zabezpieczać dane, które przez nie przechodzą.
-
Certyfikat KSeF (
.p12) wgrywany do narzędzia integracyjnego powinien być przechowywany zaszyfrowany, nie jako zwykły plik w bazie. - Umowa DPA (art. 28 RODO) jest obowiązkowa, gdy zewnętrzny dostawca przetwarza w Twoim imieniu dane osobowe kontrahentów z faktur.
- Lokalizacja serwerów ma znaczenie – dane w Unii Europejskiej nie wymagają dodatkowego mechanizmu transferu, dane w USA już tak.
- Dane różnych klientów muszą być od siebie odseparowane na poziomie aplikacji – jeden błąd w zapytaniu nie może pokazać cudzych faktur.
- Listę podwykonawców (hosting, e-mail, monitoring) dostawca powinien jawnie publikować, a nie ukrywać w ogólnikach.
W tym artykule
- Dlaczego bezpieczeństwo integracji z KSeF to nie formalność
- Cztery punkty do sprawdzenia przed wyborem narzędzia
- Jak to wygląda w praktyce – ścieżka certyfikatu w KSeF Import
- Podwykonawcy i transfer danych – gdzie faktycznie trafiają Twoje dane
- Co zrobić, zanim wgrasz certyfikat do nowego narzędzia
- Najczęstsze pytania
Od problemu do efektu
PWEŻeby zautomatyzować pobieranie faktur z KSeF, oddajesz zewnętrznemu narzędziu certyfikat uwierzytelniający oraz dostęp do danych kontrahentów z każdej faktury – a rzadko kto czyta, jak dostawca je zabezpiecza.
KSeF Import szyfruje certyfikat AES-256-GCM, trzyma dane na serwerach w Niemczech (UE), izoluje klientów po identyfikatorze konta i publikuje pełną umowę DPA bez podpisywania osobnego dokumentu.
Zamiast wierzyć na słowo, porównujesz konkretne punkty – szyfrowanie, DPA, lokalizację serwerów, izolację danych – z tym, co realnie oferuje wybrane narzędzie.
Dlaczego bezpieczeństwo integracji z KSeF to nie formalność
Od uruchomienia obowiązkowego KSeF przez system przechodzą faktury zawierające dane identyfikacyjne kontrahentów, adresy, numery NIP i kwoty transakcji – czyli dane osobowe w rozumieniu RODO, gdy dotyczą osób fizycznych prowadzących działalność lub osób kontaktowych na fakturze. Narzędzie, które automatycznie pobiera te dokumenty, przez cały czas ma też dostęp do Twojego certyfikatu KSeF – pliku, który uwierzytelnia je w imieniu Twojej firmy.
To nie jest ryzyko teoretyczne. Certyfikat lub token skompromitowany po stronie źle zabezpieczonego narzędzia integracyjnego może pozwolić nieuprawnionej osobie odczytać faktury danego NIP-u dostępne w KSeF w zakresie nadanych temu certyfikatowi uprawnień – zależnie od roli i okresu, jaki obejmuje dostęp. Dlatego wybór dostawcy integracji to w praktyce decyzja o tym, komu powierzasz klucz do skrzynki faktur całej firmy.
Cztery punkty do sprawdzenia przed wyborem narzędzia
Zanim wgrasz certyfikat do jakiegokolwiek narzędzia integrującego się z KSeF, sprawdź te cztery elementy – najlepiej w dokumentach, nie tylko w opisie funkcji na stronie głównej.
| Co sprawdzić | Dlaczego to ważne | Jak wygląda to w KSeF Import |
|---|---|---|
| Szyfrowanie certyfikatu | Plik .p12 w postaci jawnej w bazie to gotowy łup przy każdym wycieku | AES-256-GCM z kluczem pochodnym (HKDF) osobnym dla każdego klienta |
| Umowa DPA (art. 28 RODO) | Bez niej brak podstawy prawnej do powierzenia danych osobowych z faktur | Integralna część regulaminu, dostępna do wglądu bez podpisywania osobno |
| Lokalizacja serwerów | Dane poza UE wymagają dodatkowego mechanizmu transferu (DPF lub SCC) | Hosting w Niemczech (OVHcloud), w Unii Europejskiej |
| Izolacja danych klientów | Błąd w zapytaniu bez izolacji może pokazać faktury innego konta | Dane przypisane do identyfikatora konta i filtrowane na poziomie aplikacji |
Sama „polityka prywatności” na stronie głównej to nie to samo co umowa DPA. Polityka prywatności opisuje dane samego konta i rozliczeń; DPA reguluje przetwarzanie danych z faktur, które dostawca widzi w Twoim imieniu.
Zobacz, jak KSeF Import pobiera faktury kosztowe i układa je w gotowy arkusz.
Jak to wygląda w praktyce – ścieżka certyfikatu w KSeF Import
Certyfikat wgrywasz raz, przy pierwszej konfiguracji automatycznego pobierania faktur z KSeF. Od tego momentu narzędzie łączy się z API KSeF w Twoim imieniu według ustawionego harmonogramu, a Ty nie logujesz się już ręcznie do portalu Ministerstwa Finansów.
-
1
Wgranie certyfikatu (.p12)
Plik trafia do systemu jednorazowo i od razu jest szyfrowany – nigdy nie jest zapisywany w postaci jawnej na dysku ani w logach.
-
2
Szyfrowanie AES-256-GCM
Certyfikat i jego hasło szyfrowane są kluczem pochodnym (HKDF) właściwym dla Twojego konta; klucz główny nie jest przechowywany w tej samej bazie co dane.
-
3
Izolacja per konto
Każdy zapis i odczyt w bazie jest przypisany do identyfikatora Twojego konta – zapytania innych klientów nie mają do niego dostępu.
-
4
Hosting w Niemczech (UE)
Baza danych i pliki działają na infrastrukturze OVHcloud w Niemczech – dane faktur nie opuszczają Unii Europejskiej.
-
5
Kontrola po Twojej stronie
Certyfikat możesz usunąć w każdej chwili z panelu – pobieranie faktur zatrzymuje się natychmiast.
Hasło do certyfikatu szyfrowane jest osobno, tym samym mechanizmem co sam plik – nigdy nie trafia do logów ani do wiadomości e-mail z potwierdzeniem konfiguracji.
Podwykonawcy i transfer danych – gdzie faktycznie trafiają Twoje dane
Żadne narzędzie SaaS nie działa w pojedynkę – korzysta z hostingu, systemów monitorowania błędów czy wysyłki e-maili. Dobry dostawca ma to jawnie spisane, a nie ukryte w jednym zdaniu polityki prywatności.
- Hosting i baza danych – w Unii Europejskiej (bez dodatkowego mechanizmu transferu),
- DNS i ochrona ruchu – część dostawców ma siedzibę w USA, transfer wymaga wtedy podstawy prawnej (Data Privacy Framework lub Standardowe Klauzule Umowne),
- Monitoring błędów aplikacji – bez dostępu do treści faktur, wyłącznie do logów technicznych,
- Wysyłka e-mail – powiadomienia o synchronizacji, bez danych z faktur w treści,
- Eksport do Arkuszy Google / Dysku Google – gdy sam wybierzesz ten format eksportu, dane trafiają też do Google LLC (USA) na podstawie Data Privacy Framework lub Standardowych Klauzul Umownych.
Mechanizm „Privacy Shield”, który wcześniej upraszczał transfery danych do USA, został unieważniony wyrokiem Trybunału Sprawiedliwości UE w sprawie Schrems II (C-311/18) z 16 lipca 2020 r. Obecnie transfer wymaga decyzji o adekwatności (Data Privacy Framework) albo Standardowych Klauzul Umownych – dostawca, który tego nie stosuje, przetwarza dane niezgodnie z RODO.
Lista podwykonawców wraz z lokalizacją i podstawą transferu jest jawna i dostępna w umowie DPA – łącznie z zastrzeżeniem, że operator płatności nie ma dostępu do danych z Twoich faktur.
Co zrobić, zanim wgrasz certyfikat do nowego narzędzia
Krótka procedura sprawdzenia, zanim powierzysz certyfikat i faktury zewnętrznemu narzędziu – niezależnie od tego, na które ostatecznie się zdecydujesz.
- Poproś o umowę DPA (art. 28 RODO) i sprawdź, czy jest dostępna bez konieczności kontaktu z działem sprzedaży.
- Sprawdź w dokumentacji, jakim algorytmem szyfrowany jest certyfikat – ogólnikowe „bezpieczne przechowywanie” nic nie mówi.
- Zapytaj, gdzie fizycznie znajdują się serwery i czy lista podwykonawców jest publicznie dostępna.
- Zweryfikuj, co dzieje się z danymi po rezygnacji – czy są usuwane w konkretnym terminie, czy „bezterminowo przechowywane”.
- Sprawdź, czy możesz w każdej chwili samodzielnie usunąć certyfikat i natychmiast zatrzymać pobieranie faktur.
W KSeF Import po zakończeniu współpracy dane usuwane są w ciągu 30 dni (lub eksportowane na żądanie w formacie CSV/JSON), z wyjątkiem minimum wymaganego przepisami podatkowo-rachunkowymi. Te same zasady dotyczą całej automatyzacji importu faktur z KSeF – niezależnie od tego, do którego formatu ostatecznie eksportujesz dane.
Najczęstsze pytania
Krótkie, konkretne odpowiedzi na pytania, które zadają użytkownicy i wyszukiwarki.
Sama baza faktur KSeF Import znajduje się na serwerach w Niemczech, w Unii Europejskiej. Poza UE (w USA) działają podwykonawcy pomocniczy – ochrona ruchu, monitoring błędów, zapasowa wysyłka e-maili – oraz Google LLC, gdy sam wybierzesz eksport do Arkuszy Google lub Dysku Google. Każdy z nich działa na podstawie Data Privacy Framework lub Standardowych Klauzul Umownych.
Certyfikat i jego hasło są szyfrowane algorytmem AES-256-GCM z kluczem pochodnym (HKDF) osobnym dla Twojego konta. Klucz główny przechowywany jest poza bazą danych, więc wyciek samej bazy nie ujawnia certyfikatów w postaci możliwej do odczytania.
Nie. Dane każdego konta są przypisane do jego identyfikatora i filtrowane na tym poziomie w każdym zapytaniu do bazy – to odseparowanie działa na poziomie aplikacji, nie jest to współdzielona przestrzeń danych bez rozróżnienia klientów.
Nie. Umowa powierzenia przetwarzania danych osobowych jest integralną częścią regulaminu i zostaje zawarta automatycznie z jego akceptacją, zgodnie z art. 28 RODO. Treść umowy pozostaje dostępna do wglądu i pobrania w każdej chwili.
Domyślnie dane są usuwane w ciągu 30 dni od zakończenia umowy. Możesz zamiast tego poprosić o ich zwrot w formacie CSV lub JSON. Minimalny zakres danych bywa przechowywany dłużej wyłącznie, gdy wymagają tego przepisy podatkowo-rachunkowe.
Administratorem danych z faktur jesteś Ty jako przedsiębiorca – to Ty decydujesz o celach i sposobach ich przetwarzania. Dostawca narzędzia integracyjnego (np. KSeF Import) jest procesorem – przetwarza dane wyłącznie na Twoje udokumentowane polecenie, w zakresie opisanym w umowie DPA.
Inżynier integracji KSeF. Odpowiada za połączenia z API Krajowego Systemu e-Faktur, automatyzacje i parsowanie struktury logicznej FA(3).