核心保护措施
传输和存储全程加密
每份文件都通过 TLS 传输，并以 AES-256 加密存储（密钥由基础设施提供商管理）。数据库和存储都是静态加密，文件访问受按事务所划分的行级安全和会过期的签名链接控制。
事务所完全隔离（RLS）
多租户隔离由 PostgreSQL 行级安全强制执行，而不是应用程序代码。每张表上的每次查询都限定在本事务所范围内，所以另一家事务所的数据根本不会返回。不只是读取，写入（INSERT/UPDATE）也绑定在事务所↔客户的关系上。
会过期的签名链接
没有永久的公开网址。每次查看和下载都要通过几分钟内就会过期的签名链接，存储路径的事务所和客户两段都会被验证。
两步验证（MFA · aal2）
报税师和客户都可以使用身份验证 App 的 MFA。关键在数据库而不是界面——一旦设置了验证因素，数据库就要求 aal2 会话，只有密码碰不到任何数据。
无法篡改的审计日志
上传、下载、删除、资料修改、团队变动、同意设置的变更和内部备注都会自动记录。日志只能追加，应用程序无法编辑或抹去。
自动退出登录
30 分钟无操作就会结束会话，在共用或公共电脑上不会留下登录状态。
邮件里没有文件
通知邮件从不带附件——只说「请到门户查看」。即使邮箱被盗，也不会暴露任何文件。
传输安全标头
所有路由都启用了 Content-Security-Policy、HSTS、X-Frame-Options（防点击劫持）和 nosniff。仅限服务器的机密（服务密钥、SMTP、短信令牌）绝不会发送到浏览器。
一份文件走过的路
上传
客户拍下照片，浏览器通过 TLS 发送。会检查文件类型和大小（25MB），存储路径绑定到该客户和事务所。
加密存储
以 AES-256 存储。永远不会生成公开网址。
通知
报税师收到「新文件」提醒——没有附件，只有门户链接。
访问
只有获得授权的人能通过几分钟内过期的签名链接打开。查看和下载都会记入审计日志。
删除
删除后双方都看不到，删除这件事本身也会记入审计日志。
谁能看到什么
合规情况
TaxPin 如何对应美国税务数据法规要求的控制措施。
IRS 给报税专业人员的纳税人数据保护指南。系统支持其核心要求：加密、多因素验证、访问控制、自动锁定和访问记录。
要求访问控制、加密、多因素验证、活动监控和变更管理——通过 RLS 访问控制、传输/静态加密、MFA 和审计日志来满足。
我们的隐私政策包含 GLBA 隐私通知。
TaxPin 承担事务所书面信息安全计划（WISP）中的技术控制部分（加密、访问控制、MFA、日志），帮助您的事务所制定计划。
坦诚的界线——共同责任
如有安全方面的问题，或需要尽职调查资料，随时联系我们。