CzynszOK

Безпека в CzynszOK

Що відбувається з даними з Вашого банку, хто ще має з ними справу, що ми робимо в коді і як повідомити про вразливість. Ми пишемо лише те, що можемо довести.

Підключення до банку

Одна перевірка - це одне зчитування, лише для читання. Правило одне: читаємо, рахуємо, видаляємо.

Пароль

Ви входите через свій банк, а не через нас. Ми ніколи не бачимо і не зберігаємо Ваш логін чи пароль.

Хто отримує дані

Enable Banking Oy отримує дані з Вашого банку. Це зареєстрований постачальник послуг доступу до інформації про рахунок (AISP) під наглядом фінського регулятора FIN-FSA, внесений до реєстру EBA.

Які дані

Власника рахунку, надходження та перекази за період до 12 місяців. Лише для читання: ми не можемо нічого доручити банку чи переказати. Під час перевірки застави ми читаємо також залишки на рахунках.

Як довго

Зчитування одноразове. Доступ у постачальника ми закриваємо одразу після зчитування, а згода в банку й так спливає сама, щонайпізніше приблизно через 72 години.

Як відкликати згоду

У застосунку: «Видалити» біля підключеного банку закриває доступ до цього банку, а в розділі «Обліковий запис і дані» кнопка «Видалити обліковий запис і всі дані» стирає все одразу. У банку: згоду для стороннього постачальника можна закрити в інтернет-банкінгу, якщо Ваш банк її там показує. Не можете увійти? Напишіть: pomoc@czynszok.pl.

На телефоні? Додайте CzynszOK на головний екран: покрокова інструкція

Enable Banking · Запис у реєстрі EBA

Хто ще має справу з даними

Ми користуємося послугами кількох компаній. Про кожну пишемо те, що вона сама публікує про свою безпеку, і даємо посилання на її сторінку. Це сертифікати й аудити цих компаній, а не наші.

Enable Banking Oy · зчитує Ваш банк

На своєму сайті повідомляє, що є зареєстрованим постачальником послуг доступу до інформації про рахунок (AISP) під наглядом фінського регулятора FIN-FSA. Сертифікатів безпеки там не називає, тож ми жодних йому не приписуємо.

Сайт Enable Banking

Neon · база даних

Повідомляє про щорічні аудити SOC 2 типу II та аудити відповідності ISO/IEC 27001 і 27701.

Центр довіри Neon

Netlify · сервери й хостинг

Повідомляє про SOC 2 типу 2 і сертифікат ISO 27001.

Центр довіри Netlify

Stripe · платежі

Повідомляє про сертифікацію PCI Service Provider Level 1 і щорічні звіти SOC 1 та SOC 2 типу II. Дані картки Ви вводите у вікні Stripe, а не в нас.

Безпека в Stripe

Resend · листи з кодом входу

Повідомляє про відповідність SOC 2 типу II.

Безпека в Resend

Сторінки цих компаній ми перевірили 13.10.2026. CzynszOK не має власного сертифіката ISO 27001 чи SOC 2 і не стверджує протилежного.

Що ми робимо в коді

  • Сирі дані з банку (транзакції, залишки, суми, номери рахунків) ми видаляємо в тій самій операції, що зберігає результат, ще до того, як Ви побачите екран із результатом.
  • Те, що ми обчислюємо з Ваших надходжень (наприклад, максимальну оренду), і доступ до сесії в постачальника ми зберігаємо в базі зашифрованими алгоритмом AES-256-GCM. Максимальна оренда зникає через 24 години.
  • Паролів немає. Ви входите одноразовим кодом з листа, а пʼять помилкових спроб робить код недійсним.
  • Кожен маршрут API має записане правило доступу, а перевірки в CI стежать, щоб новий маршрут його не оминув.
  • Обмеження частоти запитів захищають вхід, перевірку кодів сертифікатів і початок перевірки від напливу запитів.
  • Сторінки надсилають заголовки безпеки, зокрема Content-Security-Policy і заборону вбудовування у фрейми.
  • Сертифікат можна скасувати самому, а сторінка перевірки показує його стан наживо.

Повідомте про вразливість

Знайшли помилку, яка може наразити чиїсь дані на ризик? Напишіть на pomoc@czynszok.pl: що Ви бачите і як це відтворити. Просимо не заглядати в чужі дані. Ця сама адреса є у файлі security.txt.

Файл security.txt

Перевірки безпеки

Лише те, що відбувається сьогодні й що можна перевірити в нашому репозиторії:

  • Під час кожної зміни коду: перевірка типів, лінтер і перевірки, які стежать, зокрема, за правилами доступу маршрутів, за відсутністю персональних даних у журналах і за дотриманням меж між шарами коду.
  • Під час кожної зміни коду: модульні та наскрізні тести в браузері.
  • Під час кожної зміни коду: сканування залежностей (npm audit, критичний рівень) і сканування секретів у репозиторії (gitleaks). Обидва позначають перевірку як невдалу, якщо щось знайдуть.
  • Модель загроз (STRIDE і LINDDUN) від 6 жовтня 2026 року, до якої повертається кожна нова функція.
  • Під час кожної зміни коду: статичний аналіз коду (Semgrep). Знахідка рівня ERROR позначає перевірку як невдалу.
  • Під час кожної зміни коду: сканування запущеного застосунку інструментом OWASP ZAP (baseline) на його публічних сторінках. Нові знахідки блокують збірку; звіт кожного запуску зберігається.
  • Під час кожного pull request: сканування всієї історії репозиторію на наявність дійсних, перевірених секретів (TruffleHog). Якщо знайде, перевірка буде невдалою.
  • Під час кожного pull request і щотижня: сканування залежностей інструментом OSV-Scanner. Нова відома вразливість блокує збірку.
  • Щотижня Dependabot відкриває згруповані pull request із оновленнями залежностей, які він знайшов (dependabot.yml); щотижнева рутина зводить усі відкриті в один pull request і працює над ним, доки не пройдуть усі блокувальні перевірки; зливає його людина.

Як працюють ці перевірки і що показав перший запуск: допис про наші перевірки

Частина групи veinito.

CzynszOK належить до групи veinito.: ClassKasa, CzynszOK, Kasandro і veinito.com. CzynszOK має власний код і власну базу даних.