Merot e-Faktura API — Политика за приватност

1. Кои сме ние

Контролор на податоците за сметка опишани подолу е МЕРОТ ДООЕЛ Скопје, ЕДБ 4043022533490 („Merot“). Оваа политика ја покрива развојната конзола на Merot e-Faktura API на developer.merot.com и страницата за плаќање pay.merot.com. Контакт за секое прашање за приватност: support@merot.com.

За личните податоци во е-фактурите што корисникот ги испраќа преку API-то улогите се различни: корисникот (или неговата клиентска компанија) е контролор, а Merot е обработувач. Таа обработка е уредена со Договорот за обработка на лични податоци, кој е дел од Условите за користење.

2. Што собираме

Податоци за сметка: име, адреса на е-пошта, хеш на лозинка и податоци за повеќефакторска автентикација на корисниците на конзолата.
Податоци за компанија од даночниот регистар на УЈП: име на компанијата, даночен/ДДВ број (ЕДБ) и адреса.
Податоци за претставник и потписник: име, адреса на е-пошта и EUJP-ID на УЈП.
Јавни податоци од сертификат: субјект, издавач, сериски број и важност на сертификатот на корисникот. Приватни клучеви никогаш не примаме: тие остануваат на компјутерот или токенот на корисникот.
Содржина на е-фактури испратени преку API-то. ДПА ја опишува како имиња, адреси, даночни броеви и контакт-податоци на страните на фактурите, описи на ставки што може да содржат лични податоци и ревизорски записи (IP адреса, user agent). Посебни категории на податоци не се предвидени.
Логови за употреба на API-то.
Записи за плаќања од pay.merot.com. Плаќањата со картичка ги води Monri; податоците од картичката се внесуваат кај Monri и Merot не ги чува.

3. Зошто ги користиме

За да ја обезбедиме Услугата: за водење сметки и API клучеви, за примање, валидација, чување и архивирање е-фактури, за нивно поднесување до УЈП (системот за е-Фактура на даночниот орган) и до договорната страна преку УЈП, за следење статус и испорака на webhook-ови, за резервни копии и извоз на податоци и за наплата на плановите.

4. Кој ги прима

УЈП. Е-фактурите се поднесуваат до УЈП, која е трето лице и Merot не ја контролира.
Под-обработувачи. Под-обработувачите овластени во ДПА (Прилог А) се наведени подолу. Што не е наведено таму, не е овластено.

Под-обработувач	Услуга	Локација	Податоци
Amazon Web Services EMEA SARL / Amazon Web Services, Inc. [TBD — lawyer: договорен субјект]	Пресметување (EC2), управувана Postgres (RDS), складирање објекти (S3), управување со клучеви (KMS), испраќање е-пошта (SES SMTP), резервни копии	eu-central-1 (Франкфурт): продукција; eu-west-1 (Ирска): архивска реплика, резервни копии, KMS реплика на клуч	Сите податоци на Услугата; SES: адреси на примачи и содржина на пораки од Услугата

Monri ги води плаќањата со картичка на pay.merot.com.

5. Каде се чуваат

Продукциските податоци, резервните копии, логовите и архивите на Услугата се чуваат и обработуваат во ЕУ: AWS eu-central-1 (Франкфурт), со архивска реплика во AWS eu-west-1 (Ирска).

6. Колку долго ги чуваме

Архивираните е-фактури се чуваат 10 години во WORM архива (еднократно запишување) и го надживуваат договорот. Според предлог-законот за електронско фактурирање, издавачите и примателите ги чуваат е-фактурите во роковите на Законот за даночна постапка, прочитани како 10 години, во оригинална електронска форма. Тој закон моментално е предлог и не е донесен; правилото ќе се провери повторно според донесениот текст.
Резервните копии истекуваат по сопствен распоред: враќање на база во точка на време 35 дена; ноќните дампови истекуваат по 100 дена.
Бришење и чување. Личните податоци во архивирани даночни документи не можат да се избришат пред да истече рокот на чување. Личните податоци без друга правна основа се чуваат само додека трае целта.

7. Како ги штитиме

Мерките на инфраструктурата вклучуваат: шифрирана (KMS) база што не е јавно достапна, со враќање во точка на време и посебни улоги на базата; складирање објекти со шифрирање, верзионирање, блокиран јавен пристап, пристап само преку TLS и евиденција на пристапот во трага само во ЕУ; архивска кофа со Object Lock (WORM, 10-годишно задржување по основно поставување) реплицирана во eu-west-1; зацврстување на серверите (firewall, SSH листа на дозволени адреси, без најава со лозинка, спречување упади, ревизорски записи, автоматски безбедносни ажурирања); одвојување на клиентите во апликацијата и базата (row-level security); и API клучеви чувани како хеш.

8. Вашите права

Можете да побарате пристап до вашите лични податоци, нивно исправање, бришење, ограничување или пренослив формат, и можете да се спротивставите на нивната обработка. Пишете на support@merot.com. Кога Merot е обработувач за фактура, вашето барање го препраќаме до надлежниот контролор. Бришењето е предмет на правилата за чување од точка 6.

Можете да поднесете и жалба до Агенцијата за заштита на личните податоци.