Seguridad

Para emitir no necesitamos tu clave fiscal ni tu usuario de ARCA, y no te los vamos a pedir nunca. Hay dos formas de conectar FisKit, y en las dos sos vos quien da el permiso desde ARCA:

• Sin certificado (la recomendada): desde el Administrador de Relaciones de ARCA le autorizás a FisKit el servicio de facturación electrónica para tu CUIT. No subís ningún archivo y no hay nada que renovar.
• Con tu certificado: el panel genera el pedido de certificado por vos, sin comandos. Lo subís a ARCA, le habilitás el servicio de facturación electrónica y cargás el certificado que te devuelve. La clave privada se crea en nuestros servidores, se guarda cifrada y no se muestra ni se descarga nunca.

En los dos casos, ARCA solo deja usar los servicios que vos habilitaste: con ese permiso se puede facturar, no entrar a tu cuenta de ARCA ni hacer otros trámites.

• Si conectaste sin certificado, eliminás la relación en el Administrador de Relaciones.
• Si conectaste con certificado, lo revocás en ARCA, en Administración de Certificados Digitales.
• Desde ese momento FisKit ya no puede emitir con tu CUIT, aunque nuestros servidores siguieran funcionando. No hace falta que nos avises.

• Las claves privadas de los certificados y los tokens de Mercado Pago y Tiendanube se cifran con AES-256-GCM.
• Cada certificado y cada conexión tiene su propia clave de cifrado. Esa clave a su vez está cifrada con una llave maestra que no está en la base de datos ni en el código: la tiene solo el servidor.
• Cada valor cifrado queda atado a su lugar: si alguien lo copiara a otra fila u otra cuenta, no se puede descifrar.
• Las contraseñas se guardan con Argon2id, un hash lento y con sal. Nadie puede leerlas, ni nosotros.
• Las claves de API se muestran una sola vez, al crearlas. Guardamos solo su huella (SHA-256), así que si se pierde una, se revoca y se crea otra.

La base de datos aplica seguridad a nivel de fila (Row Level Security): cada pedido solo puede ver las filas de su propia empresa. Es una segunda barrera, aparte del código: aunque hubiera un error en una consulta, la base no devuelve datos de otra cuenta.

• Las claves de prueba (sk_test_) solo emiten en el ambiente de homologación de ARCA, y las de producción (sk_live_) solo en el real. No se puede emitir una factura real con una clave de prueba.
• Los webhooks que te enviamos van firmados (estándar Standard Webhooks), para que tu sistema pueda verificar que vienen de FisKit.
• La API limita la cantidad de pedidos por empresa, y el panel los intentos de inicio de sesión, para frenar abusos.

• Base de datos (Supabase) y servidores de la API (Fly.io), en San Pablo, Brasil.
• Sitio y panel en Vercel; emails con Resend.
• Todas las conexiones van cifradas con HTTPS, incluidas las que hacemos con ARCA.

Eliminamos tus datos, certificados incluidos, dentro de los 30 días, salvo lo que la ley nos obligue a conservar. Los comprobantes ya autorizados siguen registrados en ARCA, como cualquier factura electrónica.

Escribinos a fiskitcontact@gmail.com con los detalles. Respondemos lo antes posible y te avisamos cuando esté resuelto. Si un incidente afectara tus datos, te lo comunicamos.