Marium Software / Aplicațiile noastre

Securitatea și protecția datelor

Informații pentru firmele de contabilitate, firmele de audit și organizațiile care utilizează aplicațiile Marium Software.

Această pagină prezintă securitatea și protecția datelor pentru aplicațiile dezvoltate de Marium Software, inclusiv Confirmări Sold și Portal Documente. Stocarea documentelor, administrarea accesului, backupul și responsabilitățile furnizorilor sunt prezentate separat pentru fiecare aplicație.

Securitatea datelor, pe scurt

Separarea firmelor: controalele de acces și politicile bazei de date sunt concepute să împiedice accesul unei firme la datele alteia.
Acces controlat: drepturile din aplicații depind de cont, rol și misiune. Pentru Portal Documente, permisiunile SharePoint și ale integrării Microsoft Graph se administrează separat. Vezi cele două niveluri de acces →
Stocare distinctă: Confirmări Sold păstrează documentele în Supabase Storage privat; Portal Documente le păstrează în SharePoint Online, prin Microsoft Graph. Vezi arhitectura fiecărei aplicații →
Recuperarea datelor: pentru baza de date Confirmări Sold pe planul Supabase Pro sunt descrise copii zilnice și acces la ultimele 7 zile. Fișierele Supabase Storage și documentele SharePoint au mecanisme distincte de recuperare. Vezi backupul pentru fiecare aplicație →
Disponibilitate și suport: această pagină nu promite un SLA sau un termen garantat de recuperare; angajamentele se stabilesc în contract.
GDPR: rolurile părților, DPA, retenția, incidentele și furnizorii implicați se clarifică înainte de contractare. Vezi ce trebuie stabilit →
Transparență: certificările furnizorilor nu reprezintă certificări ale aplicațiilor Marium Software.

Protecția informațiilor de audit este o prioritate

Marium Software tratează cu seriozitate securitatea și confidențialitatea datelor clienților săi. Protejarea acestor informații presupune un efort continuu: revizuim periodic măsurile de protecție și îmbunătățim controalele tehnice și organizatorice, în funcție de riscurile identificate și de evoluția aplicațiilor. Urmărim astfel să reducem riscul accesului neautorizat, al pierderii sau al divulgării datelor încredințate nouă.

Aplicațiile utilizează un model multi-tenant, în care mai multe firme de audit/contabilitate folosesc aceeași platformă, cu separarea logică a datelor fiecărei firme. Controalele de autorizare de pe server și politicile de securitate la nivelul bazei de date limitează accesul utilizatorilor la informațiile propriei firme, potrivit rolului și misiunilor la care au acces. Aceste bariere de securitate sunt concepute să împiedice utilizatorii unei firme să consulte sau să modifice datele altei firme. Separarea este realizată în cadrul unei infrastructuri comune, fără o bază de date distinctă pentru fiecare firmă.

Responsabilități și protecția datelor personale

Securitatea tehnică este completată de reguli contractuale privind rolurile părților în prelucrarea datelor, confidențialitatea, accesul administrativ, durata de păstrare, exportul și ștergerea informațiilor, precum și gestionarea incidentelor. Termenele de retenție pentru dosarele de audit sunt distincte de perioada de păstrare a backupurilor.

Supabase declară certificare ISO 27001 și evaluare SOC 2 Type 2, iar Resend declară SOC 2 Type II, în limitele serviciilor evaluate. Aplicațiile Confirmări Sold și Portal Documente nu declară o certificare ISO 27001 ori SOC 2 proprie și nici o certificare independentă de conformitate GDPR. Certificările furnizorilor nu se transferă automat aplicațiilor.

Stocarea datelor și documentelor

Confirmări Sold — Supabase

Datele aplicației: misiunile, solicitările, răspunsurile, stadiile și metadatele sunt gestionate în baza de date PostgreSQL din Supabase.

Fișierele: documentele încărcate, inclusiv cele primite de la terți, sunt păstrate în Supabase Storage privat. Înregistrările din baza de date descriu fișierele și legătura lor cu misiunea; conținutul documentelor se află în stocarea de obiecte.

Portal Documente — SharePoint Online și Supabase

Fișierele: în implementarea de producție, documentele sunt păstrate în bibliotecile SharePoint Online. Aplicația comunică cu serviciul Microsoft prin Microsoft Graph.

Datele aplicației: conturile, apartenențele la firme și misiuni, cerințele, metadatele documentelor, comentariile și istoricul sunt gestionate în Supabase. Conținutul fișierelor încărcate în SharePoint nu este stocat în Supabase Storage.

Comunicațiile cu serviciile folosesc HTTPS/TLS. Protecția la stocare este asigurată de mecanismele furnizorului care găzduiește efectiv fiecare categorie de date.

Supabase declară certificare ISO 27001 și evaluare SOC 2 Type 2, iar Resend declară SOC 2 Type II, în limitele serviciilor evaluate.

Administrarea accesului

Confirmări Sold

Acces în aplicație: utilizatorii sunt invitați și primesc drepturi în funcție de firmă, rol și misiune. Politicile Row Level Security (RLS) din PostgreSQL și validările serviciilor aplicației controlează accesul la înregistrări și operațiuni.

Acces la documente: regulile Supabase Storage pentru spațiul privat și verificările de autorizare controlează operațiunile asupra fișierelor asociate misiunii.

Autentificare multifactor: un al doilea factor TOTP, compatibil cu aplicații precum Microsoft Authenticator, este disponibil. Politica MFA se administrează în aplicație și se confirmă în configurația activă.

Portal Documente

Acces în aplicație: Supabase gestionează autentificarea și datele de autorizare. Politicile RLS și verificările backend limitează accesul în funcție de firmă, rol și misiunile atribuite. Politica MFA se administrează în aplicație și se confirmă în configurația activă.

Acces la fișierele SharePoint: există un nivel distinct de permisiuni Microsoft 365. Integrarea backend se autentifică prin Microsoft Entra și apelează Microsoft Graph. Configurația de implementare documentată prevede Sites.Selected și acordarea accesului de scriere numai pentru site-ul SharePoint utilizat; permisiunile efectiv acordate se verifică de administrator.

Drepturile din portal nu înlocuiesc permisiunile SharePoint. Accesul direct la biblioteci, partajările și conturile administrative trebuie gestionate în mediul Microsoft 365, astfel încât să respecte separarea firmelor. Eliminarea unui utilizator din portal nu trebuie considerată automat o revocare a accesului său direct în Microsoft 365.

Administrarea conturilor, retragerea accesului și verificarea periodică a permisiunilor se repartizează între Marium Software și administratorul mediului clientului prin acordul de servicii. Cheile cu privilegii ridicate și credențialele integrărilor sunt utilizate în componentele backend, nu în codul public al interfeței.

Confirmări externe prin linkuri securizate

Funcționalitate specifică aplicației Confirmări Sold.

Destinatarii solicitărilor pot transmite răspunsuri fără crearea unui cont permanent. Fiecare solicitare utilizează un link cu token aleatoriu și termen de expirare configurabil; verificarea tokenului se efectuează în serviciul aplicației, iar răspunsul este validat înainte de înregistrare. Pentru fiecare solicitare este acceptat un singur răspuns.

Respondentul declară numele, funcția și autoritatea de a răspunde. Este important de precizat că posesia linkului nu reprezintă, în sine, o verificare independentă a identității și nici o semnătură electronică calificată. Confirmarea identității și a autorității respondentului rămâne parte din procedurile profesionale ale auditorului.

Trasabilitate și integritatea documentației

La transmiterea solicitării este păstrat conținutul original al cererii. Operațiunile relevante sunt înregistrate într-un jurnal de activitate, cu identificarea actorului și a momentului. Jurnalul beneficiază de protecții la nivelul bazei de date împotriva modificării și ștergerii. Dosarul misiunii poate fi exportat, inclusiv cu cereri PDF, fișiere Excel, documente și jurnalul aferent.

Aceste mecanisme facilitează documentarea și verificarea operațiunilor, fără a reprezenta o certificare de arhivare de tip WORM sau o garanție de autenticitate a identității respondenților.

Furnizori și responsabilități

Confirmări Sold

Furnizor	Rol și limite
Supabase	Găzduiește baza de date PostgreSQL, autentificarea, serviciile backend și fișierele din Storage privat. Backupurile bazei de date depind de planul contractat și nu includ conținutul obiectelor Storage.
Resend	Transmite mesajele de confirmare și procesează conținutul e-mailurilor trimise. Nu înlocuiește arhiva sau backupul documentelor misiunii.
Marium Software	Răspunde de logica aplicației, configurarea controalelor de acces și a integrărilor aflate în administrarea sa și de procedurile de backup și suport asumate contractual.

Portal Documente

Parte / serviciu	Rol și limite
Microsoft — SharePoint Online / Entra / Graph	Furnizează stocarea fișierelor, serviciile de identitate ale integrării și API-ul de acces. Microsoft Graph este interfața de comunicare; nu este un serviciu separat de stocare sau backup. Opțiunile de recuperare depind de serviciile și politicile Microsoft 365 configurate.
Supabase	Găzduiește autentificarea, baza de date și serviciile backend ale portalului. Backupul acestei baze nu conține fișierele păstrate în SharePoint.
Marium Software	Răspunde de logica portalului, validările backend, integrarea Graph și configurările pe care le administrează. Coordonarea recuperării metadatelor și a fișierelor se stabilește prin acordul de servicii.
Administratorul mediului Microsoft 365	Administrează permisiunile site-urilor și bibliotecilor, consimțământul pentru integrare, politicile de partajare, retenție și recuperare. Partea care îndeplinește acest rol și responsabilul pentru backup se identifică explicit în contract.

Responsabilitate comună: existența unui furnizor cloud nu înlocuiește configurarea și verificarea accesului, protejarea credențialelor sau testarea recuperării. Clientul gestionează persoanele autorizate și instrucțiunile privind datele; responsabilitățile operaționale ale fiecărei părți se stabilesc contractual.

Backup, recuperare și disponibilitate

Confirmări Sold — baza de date și fișierele Supabase

Pentru planul Supabase Pro utilizat de Confirmări Sold, documentația furnizorului descrie backupuri zilnice ale bazei de date și acces la ultimele 7 zile. Restaurarea poate pierde modificările ulterioare punctului recuperat. Point in Time Recovery este o opțiune separată.

Fișierele necesită protecție separată: backupul bazei de date conține metadatele documentelor, nu și conținutul din Supabase Storage. Recuperarea completă presupune copii ale fișierelor și verificarea legăturii lor cu misiunile. Exportul dosarului de audit susține arhivarea proprie, dar nu înlocuiește backupul serviciului.

Portal Documente — metadate Supabase și documente SharePoint

Baza de date a portalului: copiile Supabase protejează înregistrările și metadatele conform planului și configurației proiectului. Ele nu restaurează conținutul fișierelor SharePoint. Fereastra de 7 zile descrisă pentru Confirmări Sold nu reprezintă automat politica de recuperare a portalului.

Documentele SharePoint: recuperarea poate utiliza istoricul versiunilor, coșul de reciclare și politicile de retenție aplicabile mediului Microsoft 365. Disponibilitatea acestor mecanisme și limitele lor trebuie verificate pentru site-ul și biblioteca folosite. Aceste mecanisme nu dovedesc, singure, existența unui backup separat configurat pentru aplicație.

Un serviciu de backup, precum Microsoft 365 Backup sau o soluție terță, se confirmă separat prin licențiere, configurare și acoperirea site-urilor relevante; utilizarea SharePoint sau Microsoft Graph nu implică automat activarea lui. Recuperarea completă a portalului trebuie să coreleze documentele și permisiunile Microsoft 365 cu metadatele și cerințele din Supabase.

Responsabilul pentru restaurare, perioada recuperabilă și rezultatul testelor se stabilesc pentru ambele componente, împreună cu administratorul mediului Microsoft 365.

Disponibilitate și termene de recuperare

Confirmări Sold depinde de găzduire, Supabase și serviciul de e-mail. Portal Documente depinde de găzduire, Supabase și serviciile Microsoft 365/Graph. Această pagină nu declară un SLA sau un RTO garantat pentru niciuna dintre aplicații; angajamentele se stabilesc prin acordul de servicii.

RTO este timpul vizat pentru restabilirea serviciului; RPO indică intervalul de date care ar putea fi pierdut față de ultima copie recuperabilă. Valorile trebuie susținute de configurație și teste pentru fiecare aplicație și fiecare componentă, înainte de asumarea contractuală.

Localizarea și prelucrarea datelor

Confirmări Sold

Regiunea Supabase indicată în documentația tehnică este Germania. Această informație privește proiectul respectiv și nu înseamnă că toate operațiunile furnizorilor se desfășoară exclusiv în Germania sau în Uniunea Europeană. Resend declară stocarea datelor e-mail în Statele Unite, inclusiv când transmiterea folosește o regiune europeană.

Portal Documente

Localizarea fișierelor depinde de geografia și configurația mediului Microsoft 365/SharePoint utilizat. Regiunea bazei de date și a metadatelor se verifică separat pentru proiectul Supabase al portalului. Localizarea unui proiect Supabase nu stabilește localizarea documentelor din SharePoint.

Lista furnizorilor, localizarea prelucrărilor, accesul administrativ și eventualele transferuri internaționale se documentează pentru fiecare aplicație, împreună cu garanțiile aplicabile și responsabilitățile contractuale.

Transparență și condiții înainte de contractare

Pentru o evaluare de securitate sau de protecție a datelor înaintea contractării, o firmă de audit poate solicita clarificarea politicilor aplicabile, a responsabilităților contractuale și a condițiilor de suport. Informațiile publicate aici descriu controalele și limitele cunoscute ale platformei; angajamentele aplicabile sunt cele stabilite în contract și în documentele aferente prelucrării datelor.

Pentru firmele de audit și contabilitate, evaluarea serviciului trebuie să clarifice următoarele puncte:

Subiect	Ce trebuie clarificat și documentat
GDPR și DPA	Rolurile părților, instrucțiunile de prelucrare, categoriile de date, furnizorii și eventualele transferuri internaționale.
Păstrarea și ieșirea din serviciu	Durata de păstrare a datelor și a copiilor de siguranță, formatul exportului, termenul de returnare sau ștergere și excepțiile legale.
Backup și restaurare	Pentru Confirmări Sold: baza de date și fișierele Supabase Storage. Pentru Portal Documente: baza de date Supabase și fișierele/permisiunile SharePoint. Pentru fiecare componentă: frecvența, retenția, responsabilul și dovada testului de restaurare.
Disponibilitate	Existența unui SLA, ferestrele de mentenanță și valorile RTO/RPO asumate, dacă sunt oferite.
Incidente și suport	Canalul de contact, programul de suport, timpii de răspuns și escaladare, responsabilitățile și modalitatea de notificare a incidentelor.