Keselamatan data: apa yang kami lakukan, dan apa yang anda kawal

Dalam perjalanan & dalam simpanan

• Semua sambungan disulitkan (HTTPS) dan dipaksa oleh pelayan; tiada versi tidak disulitkan.
• Sesi anda disimpan dalam kuki tersulit yang skrip dalam pelayar tidak boleh baca (HttpOnly, Secure) — satu kuki sesi yang perlu sahaja, tiada kuki penjejakan atau analitik pihak ketiga.
• Dasar keselamatan kandungan yang ketat: tiada skrip sebaris; satu-satunya skrip luar pada halaman app ialah pemeriksaan anti-bot pada borang log masuk & daftar.
• Gambar resit & dokumen disimpan dalam storan objek awan yang tertutup; pautan paparan ditandatangani, hanya diberi kepada orang yang boleh membuka resit itu, dan tamat sendiri dalam masa sejam.
• Pangkalan data awan di rantau Asia Tenggara; sandaran harian disimpan 14 hari dan sandaran bulanan 90 hari, disulitkan.
• Kata laluan baharu disemak terhadap senarai kebocoran awam secara k-anonymity — kata laluan anda tidak pernah dihantar; log masuk Google tersedia tanpa kata laluan.

Pengasingan setiap kumpulan — dikuatkuasakan pangkalan data

• Setiap baris data (resit, belanja, tuntutan, tetapan) ditanda dengan kumpulannya — keluarga, syarikat, persatuan, firma. Permintaan anda membawa identiti anda dan pangkalan data menapis setiap baris mengikut kumpulan (keselamatan peringkat baris); tugas pelayan yang memerlukan akses lebih luas menyemak kumpulan secara jelas dan diuji secara automatik.
• Pemilik platform hanya melihat statistik agregat (bilangan kumpulan, penggunaan) dalam app — tiada skrin atau muat turun untuk membaca resit mana-mana kumpulan, dan pangkalan data menolaknya. Sandaran harian hanya untuk pemulihan bencana dan tidak boleh dibuka melalui app.
• Pemisahan tugas dalam tuntutan (penyemak ≠ pelulus) dan penguncian tahun yang difail dikuatkuasakan oleh pencetus pangkalan data, bukan hanya oleh butang dalam app.
• Semua panggilan API memerlukan sesi yang sah; penulisan ditolak jika datang dari tapak lain (perlindungan CSRF berlapis) dan dihadkan kadarnya setiap akaun.

Siapa nampak apa dalam kumpulan anda

• Resit anda: anda, admin kumpulan, dan ahli yang admin beri kebenaran "lihat semua resit" (lalai bagi jawatan seperti pasangan, bendahari atau pengurus kewangan — admin boleh mematikannya). Ahli biasa hanya nampak resit sendiri.
• Senarai beli & gambaran kewangan rumah: dikongsi; profil cukai penuh anda (pendapatan, PCB, pelepasan) tertutup kepada admin & juruaudit melainkan anda membukanya sendiri (lalai: tertutup).
• Penyemak, pelulus & pembayar tuntutan: tuntutan yang dihantar untuk keputusan mereka, termasuk gambar resit tuntutan itu (jawatan kewangan yang juga ada kebenaran "lihat semua resit" nampak semua resit kumpulan).
• Juruaudit & akauntan yang dijemput: baca sahaja — rekod yang difail atau dikunci dan tahun yang ditutup; mereka tidak menggunakan tempat dalam pelan dan tidak boleh mengimbas atau mengubah.
• Dalam ruang organisasi, cukai peribadi kakitangan & AJK tidak dibuka kepada sesiapa. Resit yang ahli hantar melalui e-mel atau Telegram direkod atas nama pengirimnya.

Apa yang tidak pernah meninggalkan peranti anda

• Fail penyata bank, kad & e-dompet (CSV, Excel, PDF) dihurai dalam pelayar anda — fail itu tidak dimuat naik ke pelayan; hanya baris yang anda sahkan untuk diimport disimpan.
• Kad kongsi media sosial dilukis di peranti dan tidak mengandungi nama, pendapatan, kedai atau tarikh.
• Kalkulator awam, pencari pelepasan & halaman "Boleh tuntut X?" tidak menghantar apa-apa — pengiraan berlaku dalam pelayar.
• Gambar resit yang anda imbas DIHANTAR kepada perkhidmatan AI untuk dibaca; di bawah terma pembekal, kandungan yang dihantar boleh digunakan untuk menambah baik produk pembekal. Kemasukan manual tidak menghantar apa-apa kepada AI — anda boleh berhenti menggunakan ciri AI bila-bila masa.

Eksport, tong sampah & padam — di tangan anda

• Sandaran JSON penuh & pek audit ZIP (gambar setiap resit, HK-4, ringkasan) boleh dimuat turun bila-bila masa — Lagi → Data & pemulihan.
• Resit yang dipadam berada dalam tong sampah 30 hari (boleh dipulihkan), kemudian dipadam kekal; e-mel resit yang belum diproses dipadam selepas 30 hari.
• Padam data saya: mana-mana pengguna memadam data & akaunnya sendiri dalam app, serta-merta — tanpa e-mel atau borang. Kecuali: resit tahun yang sudah dikunci (difail kepada LHDN) dan tuntutan yang diluluskan dipindahkan kepada admin kumpulan kerana undang-undang menghendaki rekod cukai disimpan.
• Tutup kumpulan: semua ahli dinyahaktifkan serta-merta dan semua data kumpulan dipadam kekal selepas 30 hari; eksport dahulu.
• Tiada iklan, tiada jualan data, tiada perkongsian dengan pengiklan, broker data atau LHDN. Data didedahkan hanya jika dikehendaki undang-undang Malaysia.

Melaporkan kelemahan keselamatan

Jika anda menemui kelemahan, beritahu kami dahulu secara sulit — melalui borang maklum balas dalam app (Lagi → Maklum balas, tandakan "Benarkan pemilik hubungi saya") atau alamat e-mel sokongan yang tertera dalam Dasar Privasi di bawah "Hubungi kami". Kami membalas, membaiki dan memaklumkan pengguna yang terjejas; sila beri masa yang munasabah sebelum mendedahkannya secara terbuka. Jangan uji dengan data pengguna lain.

Dokumen penuh

• Dasar Privasi (PDPA) — termasuk "Hubungi kami" & padam akaun — Apa yang dikumpul, di mana disimpan, berapa lama, hak anda di bawah PDPA.
• Terma Perkhidmatan — Pelan, pembayaran, akaun dorman, penutupan kumpulan.
• Status perkhidmatan — Komponen app & semakan langsung daripada pelayar anda.

Fail dokumen: anda yang putuskan sama ada salinan disimpan

• Borang EA/EC dan penyata gaji yang anda muat naik dibaca untuk anda sahkan — PDF digital dibaca dalam peranti tanpa AI; angka yang disahkan kekal dalam app, salinan fail disimpan sebagai bukti atau dipadam secara automatik selepas disahkan, ikut pilihan lalai anda dalam Lagi › Privasi & keselamatan › Fail dokumen (boleh diubah bagi setiap fail semasa memuat naik).
• Lalai jujur: Borang EA/EC disimpan (LHDN boleh meminta bukti sepanjang tempoh simpanan rekod), penyata gaji bulanan dipadam selepas disahkan; nombor kad pengenalan, akaun bank, KWSP/PERKESO dan nombor gaji pada dokumen tidak pernah disimpan.
• Fail anda hanya boleh dilihat dan digunakan oleh anda — bukan admin kumpulan, bukan juruaudit, bukan pemilik platform; setiap fail disemak kandungan sebenarnya di pelayan, dan arahan yang tertulis di dalam dokumen tidak diikuti pembaca AI.

Akaun, rancangan wang & kelayakan MyInvois

• Akaun & baki serta rancangan wang adalah peribadi: admin kumpulan hanya melihat rekod yang anda tandakan “kongsi”, baca sahaja.
• Tiada kata laluan perbankan, OTP atau TAC diminta — baki dikira daripada rekod anda dan fail penyata yang anda muat turun sendiri.
• Client Secret MyInvois anda disulitkan di pelayan dan tidak pernah dipaparkan semula atau dikembalikan kepada pelayar.
• Catatan pantas luar talian menunggu dalam peranti anda sahaja sehingga dihantar.

Data saya: anda nampak apa yang disimpan

• Data saya menyenaraikan setiap jenis data dengan siapa boleh melihatnya dan berapa lama ia disimpan
• Muat turun semua data anda dalam satu fail JSON yang boleh dibaca mesin
• Padam data & akaun anda sendiri serta-merta, tanpa borang
• Kunci peranti tanpa data biometrik — wajah atau cap jari disahkan oleh peranti anda

Sejarah perubahan setiap rekod

• Siapa mengubah apa dan bila — nilai lama → baharu bagi butiran yang berubah sahaja
• Dilihat hanya oleh mereka yang boleh melihat rekod itu (kebenaran pangkalan data yang sama); juruaudit baca sahaja
• Pulihkan nilai lama melalui simpanan biasa — kunci tahun & kebenaran peranan dihormati
• Teks bacaan AI, fail & kelayakan MyInvois tidak disimpan; dipadam sendiri selepas tempoh dalam Data saya

Peti dokumen tersulit dalam peranti

• Pasport, polisi insurans, geran & waranti disulitkan dalam peranti dengan frasa laluan anda sendiri
• Pelayan hanya menyimpan bait tersulit — frasa laluan tidak pernah dihantar
• Kod pemulihan sekali papar; tiada pintu belakang
• Peringatan sebelum tarikh luput dalam kalendar wang

Pulih sandaran & pengesahan dua langkah

• Fail sandaran yang anda muat turun daripada Data saya boleh dipulihkan semula: app menunjukkan apa yang akan ditambah, memasukkan rekod yang tiada sahaja dengan pengenal asalnya, dan gambar resit dipautkan semula jika fail masih dalam akaun anda.
• Hidupkan pengesahan dua langkah: selepas kata laluan, app meminta kod 6 digit daripada app pengesah di telefon anda. Sepuluh kod pemulihan sekali guna dipaparkan sekali sahaja — kami hanya menyimpan cincangan bergarannya.