Proč by vaše bankovní výpisy neměly opustit prohlížeč (a kdy je to nutné změnit)? | PDFSub Blog
Vaše zákonné povinnosti
Pokud jste daňový poradce, certifikovaný účetní, účetní nebo daňový specialista, máte specifické zákonné požadavky na zpracování finančních údajů klientů. Vaše volba konvertoru bankovních výpisů přímo ovlivňuje vaši míru dodržování předpisů.
Pravidlo AICPA 1.700.001
Kodex profesní etiky AICPA vyžaduje, aby daňoví poradci ve veřejné praxi neposkytovali důvěrné informace o klientech bez specifického souhlasu. Výklad AICPA 1.700.040 předpokládá, že důvěrnost je ohrožena vždy, když daňový poradce využívá poskytovatele služeb třetí strany.
Když nahrajete bankovní výpis klienta do cloudového konvertoru, můžete poskytovateli služeb sdělovat důvěrné informace — potenciálně porušujete toto pravidlo, pokud nemáte buď:
- Smluvní dohodu s poskytovatelem vyžadující důvěrnost, nebo
- Souhlas klienta k poskytnutí informací
Architektura izolovaného enginu PDFSub minimalizuje toto riziko: prostředí zpracování nemá přístup k internetu, žádní subprocesory nepřijímají vaše data a soubory jsou po zpracování automaticky smazány.
Požadavek IRS na WISP
IRS vyžaduje, aby všichni daňoví specialisté udržovali písemný plán zabezpečení informací (WISP) podle zákona Gramm-Leach-Bliley Act. Od roku 2023 se při obnovení PTIN na formuláři IRS W-12 (řádek 11) explicitně ptá, zda jej máte.
Pro rok 2026 požadavky WISP nařizují:
- Vícefaktorové ověřování (MFA) pro veškerý přístup k systémům (nejen pro vzdálená připojení — to je významné rozšíření)
- Bezpečnostní incidenty ovlivňující 500+ osob musí být nahlášeny FTC do 30 dnů
- Musíte vyhodnotit schopnost poskytovatelů služeb udržovat odpovídající zabezpečení
- Roční penetrační testování pro větší firmy a dvouleté hodnocení zranitelností
Váš WISP by měl dokumentovat každý nástroj, který zpracovává finanční údaje klienta — včetně vašeho konvertoru bankovních výpisů. Izolovaná architektura PDFSub, šifrování AES-256 a automatické mazání představují silný vstup do sekce hodnocení dodavatelů.
Pravidlo FTC Safeguards Rule
Všichni daňoví specialisté se musí řídit, protože daňové poradenství je podle GLBA klasifikováno jako „finanční činnost“. Nedodržení může vést k pokutám až 100 000 USD za porušení pro organizace a 10 000 USD za porušení pro jednotlivé vedoucí pracovníky.
Požadované prvky zahrnují: určeného koordinátora bezpečnosti, pravidelný inventář dat, hodnocení dodavatelů, vícefaktorové ověřování, šifrované ukládání dat a hlášení narušení.
GDPR, CCPA a SOC 2
Pokud zpracováváte finanční údaje obyvatel EU, podléháte povinnostem zpracovatele údajů podle GDPR (článek 28). CCPA se výslovně vztahuje na finanční informace. Obě vyžadují, aby se poskytovatelé služeb smluvně dohodli, že nebudou uchovávat, používat ani zveřejňovat osobní údaje nad rámec specifikované služby.
PDFSub je v souladu s GDPR a CCPA a je připraven na SOC 2. Ale co je důležitější, architektura izolovaného enginu znamená, že bezpečnostní postoj přesahuje to, co rámce pro dodržování předpisů vyžadují.
Co to znamená pro dodržování předpisů
| Požadavek na dodržování předpisů | Nástroje pro nahrávání do cloudu | PDFSub Engine |
|---|---|---|
| AICPA 1.700.001 (důvěrnost) | Může vyžadovat souhlas klienta nebo DPA dodavatele | Minimalizované riziko — izolované, bez subprocesorů |
| IRS WISP (hodnocení dodavatele) | Musí dokumentovat rizika cloudových dodavatelů | Silný profil dodavatele — šifrování, izolace, automatické mazání |
| GDPR (povinnosti zpracovatele údajů) | Vyžaduje plnou DPA podle článku 28 | DPA podporováno, minimální stopa dat |
| Pravidlo FTC Safeguards (zpracování dat) | Musí řešit cloudové úložiště v plánu zabezpečení | Šifrované zpracování, žádné uchovávání |
| Kybernetické pojištění | Cloudové nástroje mohou ovlivnit podmínky krytí | Nejsilnější pozice — izolované zpracování, automatické mazání |
Certifikace ochrany osobních údajů neřeší problém
Cloudové nástroje často odkazují na certifikace — SOC 2 Type II, ISO 27001, PCI DSS — jako důkaz zabezpečení. Tyto certifikace jsou cenné, ale ověřují procesy a kontroly, nikoli bezpečnostní výsledky.
Dodavatel certifikovaný podle SOC 2 může stále:
- Ukládat vaše data déle, než byste očekávali
- Poskytnout široký interní přístup podpůrnému personálu
- Používat subprocesory, které jsou méně bezpečné
- Mít neopravené zranitelnosti aplikací
- Být napaden navzdory dodržování všech certifikovaných procesů
Tři ze čtyř největších účetních firem měly certifikace SOC 2 a ISO 27001, když došlo k narušení MOVEit. Certifikace nezabránily úniku dat 60 milionů lidí.
Lepším přístupem je architektura bezpečnosti přímo do systému — izolace, šifrování, automatické mazání a žádný přístup k internetu. Tímto způsobem, i když se něco pokazí, není co krást a kam to poslat.
Praktické kroky pro vaši firmu
1. Audit vašich současných nástrojů
Zkontrolujte, zda váš konvertor bankovních výpisů, extraktor faktur, skener účtenek a další nástroje pro finanční dokumenty nahrávají soubory na cloudové servery s přístupem k internetu. Pokud ano, zdokumentujte to ve svém WISP jako rizikový faktor a zvažte alternativy.
2. Hodnocení izolace, nejen šifrování
Šifrování během přenosu (HTTPS) je základ. Důležité je: má prostředí zpracování přístup k internetu? Přijímají subprocesory kopie vašich dat? Jak dlouho jsou soubory uchovávány? Tyto otázky určují vaši skutečnou expozici riziku.
3. Používejte zpracování v prohlížeči, pokud je to možné
Pro nefinanční úkoly — úpravy PDF, vyplňování formulářů, slučování souborů — používejte nástroje, které zpracovávají zcela ve vašem prohlížeči. PDFSub zvládá 28+ typů nástrojů na straně klienta, což znamená, že vaše soubory pro tyto operace nikdy neopustí vaše zařízení.
4. Aktualizujte svůj WISP pro rok 2026
Aktualizace IRS pro rok 2026 rozšiřují požadavky MFA na veškerý přístup k systémům. Zkontrolujte svůj WISP, abyste zajistili, že pokrývá každý nástroj, který zpracovává finanční údaje klienta, včetně vašeho konvertoru bankovních výpisů. Zdokumentujte bezpečnostní architekturu každého nástroje.
5. Zkontrolujte své kybernetické pojištění
Většina pojišťoven v roce 2026 vyžaduje MFA, detekci koncových bodů a řízení rizik dodavatelského řetězce. Váš nástroj pro konverzi bankovních výpisů je součástí vašeho dodavatelského řetězce. Izolovaná architektura zpracování s automatickým mazáním a bez přístupu k internetu vám poskytuje nejsilnější možnou pozici.
6. Během daňové sezóny minimalizujte svou útočnou plochu
Vzhledem k tomu, že kybernetické útoky během daňové sezóny stoupají na více než 900 týdně, každý kousek klientských dat na cloudovém serveru představuje expozici. Volte nástroje, které neuchovávají data — ať už prostřednictvím zpracování v prohlížeči, nebo izolovaného serverového zpracování s automatickým mazáním.
Závěr
Konverze bankovních výpisů je složitý problém. Zpracování pouze v prohlížeči jej nemůže přesně vyřešit a tradiční cloudové zpracování vytváří nepřijatelná bezpečnostní rizika.
Přístup PDFSub je jiný: třívrstvá architektura uvnitř izolovaného enginu, která poskytuje přesné výsledky a zároveň udržuje bezpečnostní záruky, které jdou nad rámec toho, co může nabídnout i zpracování pouze v prohlížeči. Žádný přístup k internetu. Šifrování AES-256. Automatické mazání. Žádní subprocesory. Žádné trvalé protokoly.
A pro více než 28 nástrojů pro PDF, kde zpracování v prohlížeči funguje perfektně — úpravy, vyplňování formulářů, slučování a další — vaše soubory nikdy neopustí vaše zařízení.
Přesnost tam, kde ji potřebujete. Bezpečnost všude.
Vyzkoušejte PDFSub zdarma na 7 dní — konvertujte bankovní výpisy do Excelu, CSV, QBO nebo OFX s přesností extrakce na straně serveru a bezpečností izolovaného zpracování.
