核心保護措施
傳輸與儲存全程加密
每份文件都透過 TLS 傳輸，並以 AES-256 加密儲存（加密金鑰由基礎設施供應商管理）。資料庫與儲存空間都採靜態加密，檔案存取則由依事務所劃分的列層級安全性與會過期的簽章連結控管。
AI 與敏感資訊
W-2、1099、證件等文件透過 AWS Textract 讀取。檔案僅直接傳送以供處理，不會存放在我們的 AWS 帳戶中，且該 AWS 帳戶已設定退出（opt-out），AWS 不得將客戶內容用於開發或改進其 AI 服務。將文字傳送給 Claude（Anthropic API）以讀取對帳單、讀取通知函或擬稿時，會先將 SSN 完整遮蓋，較長的帳號只保留末四碼。從文件讀出的 SSN、TIN 以 AES-256-GCM 封存，畫面只顯示遮蓋後的值，完整內容須通過兩步驟驗證才能檢視，並留有稽核紀錄。
遠端簽名身分驗證（KBA）
僅當事務所為遠端簽署 8879 表開啟身分驗證（KBA）時，才會開啟我們的服務供應商 BoldSign 的驗證視窗。客戶在視窗中回答依信用紀錄產生的問題並簽名；BoldSign 會收到簽署人的英文姓名、電子郵件和待簽文件。答案不經過 TaxPin 伺服器，我們只保留通過或失敗的結果與驗證紀錄。失敗 3 次後，改為到事務所現場簽署或紙本簽署。
上傳檔案清理與病毒檢測
客戶上傳的照片和 PDF 由伺服器重新儲存為新檔案：照片移除拍攝位置和裝置資訊，PDF 移除 JavaScript、附件和開啟時執行的動作。若清理結果與原件看起來不同，則保留原件。隨後所有檔案（包括事務所傳送的檔案）透過 AWS GuardDuty 進行病毒檢測，事務所傳送的檔案在檢測完成後客戶才能看到。如發現威脅，檔案將被隔離，僅保留一頁提示，並通知事務所。
事務所完全隔離（RLS）
多租戶隔離由 PostgreSQL 列層級安全性（Row-Level Security）強制執行，而不是應用程式程式碼。每張資料表上的每一次查詢都限定在本事務所範圍內，因此其他事務所的資料根本不會被傳回。不只是讀取，寫入（INSERT/UPDATE）也綁定在事務所↔客戶的關係上。
會過期的簽章連結
沒有永久的公開網址。每次檢視與下載都必須透過幾分鐘內就會過期的簽章連結，儲存路徑的事務所與客戶兩段都會經過驗證。
兩步驟驗證（MFA · aal2）
報稅師與客戶都可以使用驗證器 App 的 MFA。關鍵在資料庫而不是介面——一旦設定了驗證因素，資料庫就會要求 aal2 工作階段，單憑密碼無法存取任何資料。
無法竄改的稽核紀錄
上傳、下載、刪除、資料修改、團隊異動、同意設定變更和內部備註都會自動記錄。紀錄只能新增（append-only），應用程式無法編輯或刪除。
自動登出
閒置 30 分鐘後會自動結束工作階段，不會在共用或公用電腦上留下登入狀態。
電子郵件裡沒有文件
通知郵件從不夾帶附件——只會提醒「請到入口網站查看」。即使信箱遭入侵，也不會外洩任何文件。
傳輸安全標頭
所有路由都套用了 Content-Security-Policy、HSTS、X-Frame-Options（防止點擊劫持）和 nosniff 等安全回應標頭。僅限伺服器的機密（服務金鑰、SMTP、簡訊權杖）絕不會傳送到瀏覽器。
一份文件走過的路
上傳
客戶拍照上傳，瀏覽器透過 TLS 傳送。系統會檢查檔案類型與大小（25MB），並將儲存路徑綁定到該客戶與事務所。
加密儲存
以 AES-256 儲存。永遠不會產生公開網址。
通知
報稅師會收到「新文件」通知——沒有附件，只有入口網站連結。
存取
只有獲得授權的使用者能透過幾分鐘內過期的簽章連結開啟。檢視與下載都會記入稽核紀錄。
刪除
刪除後雙方畫面都會移除，刪除這個動作本身也會記入稽核紀錄。
誰能看到什麼
法規遵循
TaxPin 如何對應美國稅務資料法規所要求的控管措施。
IRS 為報稅專業人員提供的納稅人資料保護指南。系統支援其核心要求：加密、多重要素驗證、存取控管、自動鎖定和存取紀錄。
要求存取控管、加密、多重要素驗證、活動監控和變更管理——透過 RLS 存取控管、傳輸/靜態加密、MFA 和稽核紀錄來因應。
我們的隱私權政策包含 GLBA 隱私權通知。
TaxPin 負責事務所書面資訊安全計畫（WISP）中的技術控管項目（加密、存取控管、MFA、紀錄），協助您的事務所擬定計畫。
誠實的界線——共同責任
如有安全相關問題，或需要盡職調查（due diligence）資料，歡迎隨時與我們聯絡。