{
  "id": "QVB-ISP-001",
  "version": "1.2",
  "updated": "2026-10-08",
  "effective": "2026-10-08",
  "owner": "David Slapochnik, QuickViewBooks / 13539911 Canada Inc.",
  "url": "https://quickviewbooks.com/privacy#security",
  "sources": [
    {
      "title": "Plaid Developer Policy",
      "url": "https://plaid.com/developer-policy/"
    },
    {
      "title": "Plaid production launch checklist",
      "url": "https://plaid.com/docs/launch-checklist/"
    }
  ],
  "languages": {
    "en": {
      "title": "Information Security Policy",
      "blocks": [
        {
          "kind": "p",
          "text": "**Policy QVB-ISP-001 · Version 1.0 · Effective 8 October 2026.** This policy supplements our Privacy Policy. It defines the security standards for QuickViewBooks websites, client applications, APIs, bank connections, business email, client documents and the people and service providers who handle them. Its purpose is to protect the confidentiality, integrity and availability of information and to identify, mitigate and monitor security risks."
        },
        {
          "kind": "note",
          "text": "The current application safeguards below describe existing controls. The operating procedures that follow are policy requirements. Publishing this policy does not by itself verify that every recurring review, training exercise or recovery test has been completed, or certify that our security program meets every partner requirement."
        },
        {
          "kind": "h3",
          "text": "Current application safeguards"
        },
        {
          "kind": "ul",
          "items": [
            "Our hosted website uses HTTPS. Plaid access tokens are encrypted by the application using AES-256-GCM before database storage; the encryption key and Plaid API secret are handled on the server and are not returned to client browsers.",
            "Client access is restricted through authenticated application checks and database permissions and row-level policies. Authorized practice staff may access the clients their role permits; a client login is limited to its own records.",
            "Bank-connection requests validate the signed-in user and the client and connection involved. Incoming Plaid webhooks are checked for a valid signature, age and matching request-body hash before processing.",
            "Book changes and bank-feed actions produce audit records. Disconnecting a Plaid connection revokes it through Plaid and marks it disconnected in QVB. Previously imported accounting records are subject to the retention policy above.",
            "QVB does not receive or store your online banking username or password. Authentication takes place in the financial institution or Plaid connection flow."
          ]
        },
        {
          "kind": "h3",
          "text": "1. Governance and accountability"
        },
        {
          "kind": "p",
          "text": "David Slapochnik is the policy owner and the escalation contact for security and privacy matters. Our policy requires an inventory of systems, data, providers and authorized personnel; assigned owners for controls; a risk and exception register; and evidence of reviews and corrective actions. The owner must review the policy at least annually and after a material system change, incident or new partner requirement. Changes must be versioned, approved and communicated to affected personnel."
        },
        {
          "kind": "h3",
          "text": "2. Risk assessment and continuous improvement"
        },
        {
          "kind": "p",
          "text": "Our policy requires a documented risk assessment at least annually and before material changes to data use, hosting, bank products or integrations. Assessments must cover unauthorized access, data leakage, fraud, software vulnerabilities, service outages, supplier risk and physical access. Each finding must record its likelihood, impact, owner, mitigation, target date and remaining risk. Open high-risk findings must be reviewed at least monthly; other open findings at least quarterly. Closure requires evidence, and exceptions require a reason, compensating controls, expiry and owner approval."
        },
        {
          "kind": "h3",
          "text": "3. Identity, access and multi-factor authentication"
        },
        {
          "kind": "p",
          "text": "Our policy requires individual identities, least-privilege access, approval before granting access and prompt removal when a role or engagement ends or misuse is suspected. Privileged hosting, database, Plaid, email and document-management accounts must use multi-factor authentication wherever supported. Coverage and exceptions must be recorded; this is not a claim that every provider account has been checked. Multi-factor authentication for connecting financial accounts is a practice-wide setting: when it is on, anyone linking or repairing a bank or card through Plaid, or connecting Float, must first verify with an authenticator app (TOTP), and the server refuses the connection without that verification. The setting is currently off (decision of David Slapochnik, 8 October 2026). Signing in to the books never requires MFA; the financial institution's own authentication inside Plaid Link always applies. Sessions, recovery routes and service credentials must be reviewed for appropriate expiry, revocation and protection. Access reviews must occur at least quarterly. Automated assistants must use their own delegated identity and authorized scopes, with the same client boundaries, validation and audit requirements as human users."
        },
        {
          "kind": "h3",
          "text": "4. Bank-data consent and permitted use"
        },
        {
          "kind": "p",
          "text": "Bank connections are optional. Our policy permits collection only for the accounts, products and purposes the client authorizes, such as bookkeeping and reconciliation. New data products or a change of purpose require an appropriate consent review. Bank credentials must never be requested by email or entered into QVB forms. Bank information must not be sold, rented to marketers or used for unrelated purposes. Withdrawal of consent must stop future collection through the affected connection; it does not automatically erase accounting records we must retain. Connecting a bank does not authorize QVB to initiate payments or expand a person's access."
        },
        {
          "kind": "h3",
          "text": "5. Data classification, encryption and secrets"
        },
        {
          "kind": "p",
          "text": "Our policy classifies client financial records, personal information, bank tokens and credentials as confidential or restricted. It requires modern encryption in transit and at rest for systems and backups holding that data, with coverage verified for each provider and device. Secrets must be kept in approved protected storage, separated from public code, browser responses, routine logs and handoff messages. Access to encryption keys must be limited, and keys or credentials must be rotated after suspected exposure and when required by the provider or risk review. Client information must not be placed in public demos or source repositories."
        },
        {
          "kind": "h3",
          "text": "6. Secure development, change control and vulnerabilities"
        },
        {
          "kind": "p",
          "text": "Our policy requires review and proportionate testing before release, including input validation, authorization and cross-client denial checks for affected workflows. Development and demonstrations must use synthetic or appropriately anonymized data. Changes must have a traceable record, deployment verification and a recovery plan. Dependencies, vendor alerts and vulnerabilities must be reviewed regularly. An actively exploited issue or one exposing sensitive data requires immediate triage and containment; remediation deadlines for other findings must reflect severity and exposure and be tracked to closure. Independent penetration testing must be considered in the risk assessment and performed when required by a partner or identified risk. Automated checks are not represented as an independent penetration test."
        },
        {
          "kind": "h3",
          "text": "7. Logging, monitoring and escalation"
        },
        {
          "kind": "p",
          "text": "Our policy requires collection and review of relevant authentication, privileged access, permission changes, exports, bank-connection activity, application errors and security events. Logs must exclude passwords, full access tokens and unnecessary financial details, and access to them must be restricted. The responsible person must review security-relevant events at least weekly and investigate significant alerts promptly, recording findings and actions. Retention and alert coverage must be documented for each system. This policy does not claim a staffed 24-hour security operations centre or universal real-time alerting."
        },
        {
          "kind": "h3",
          "text": "8. Incident response and notification"
        },
        {
          "kind": "p",
          "text": "Suspected incidents must be escalated promptly to David Slapochnik at david@quickviewbooks.com or 514-565-2565. Do not email bank passwords, tokens or full client documents. The response procedure requires recording the report, assessing scope and severity, preserving evidence, containing the affected system, revoking compromised access, correcting the cause and verifying recovery. A security breach or unauthorized use affecting Plaid accounts or end-user data must be reported promptly to security@plaid.com, as required by Plaid's Developer Policy. We will notify affected people and applicable authorities where the law requires, including the Commission d'accès à l'information du Québec for confidentiality incidents presenting a risk of serious injury. The owner must maintain an incident register, record notification decisions and complete a lessons-learned review. Incident-response exercises are required at least annually."
        },
        {
          "kind": "h3",
          "text": "9. Backups, continuity and recovery"
        },
        {
          "kind": "p",
          "text": "Our policy requires a documented backup and recovery plan for critical records and services, including database records and separately stored documents. The plan must identify owners, backup frequency, encryption, retention, provider dependencies and acceptable recovery time and data loss. Backup coverage must be checked, and restoration must be tested at least annually and after material infrastructure changes. A provider's backup feature alone does not establish that all QVB records are recoverable. Recovery targets and completed restoration tests must be evidenced before they are represented as guarantees or completed work."
        },
        {
          "kind": "h3",
          "text": "10. Service providers and external access"
        },
        {
          "kind": "p",
          "text": "Our policy requires a security and privacy review before a provider receives confidential data and at least annually for critical providers. Reviews must consider purpose, access, location, contractual safeguards, security documentation, incident obligations, deletion and service continuity. Provider certifications apply to the provider and are not QVB certifications. External bank, Google, payment and signing authorizations remain separate from QVB login and must not be bypassed. Third-party testing must stay within authorized scope; no testing of Plaid infrastructure is permitted without Plaid's written authorization."
        },
        {
          "kind": "h3",
          "text": "11. People, devices and physical protection"
        },
        {
          "kind": "p",
          "text": "Our policy requires confidentiality commitments and security instruction before personnel receive client-data access, with refresher training at least annually on phishing, secure handling, incident reporting and bank-data consent. Devices used for confidential work must have supported software, updates, screen locking, appropriate encryption and endpoint protection. Paper records and removable media must be protected from unauthorized access and disposed of securely. Personnel must use approved storage and sharing routes and verify recipients before releasing information."
        },
        {
          "kind": "h3",
          "text": "12. Retention, disposal and assurance"
        },
        {
          "kind": "p",
          "text": "The retention rules in section 6 apply. Our policy requires collecting only necessary information, checking the lawful basis for keeping it, restricting retained records and securely returning or deleting information when the purpose and applicable obligations end. Backup expiry, legal holds and a provider's independent retention must be considered when processing deletion requests. The owner must retain review records, test results, incident records, access decisions and approved exceptions. QVB does not claim SOC 2 certification, ISO 27001 certification, a completed independent security audit or a fully verified continuously operating security program on the basis of this page. Partner questionnaire answers must reflect actual current evidence and any remaining gaps."
        }
      ]
    },
    "fr": {
      "title": "Politique de sécurité de l'information",
      "blocks": [
        {
          "kind": "p",
          "text": "**Politique QVB-ISP-001 · Version 1.0 · En vigueur le 8 octobre 2026.** Cette politique complète notre politique de confidentialité. Elle définit les normes de sécurité des sites, applications clients, API, connexions bancaires, courriels professionnels et documents clients de QuickViewBooks, ainsi que celles des personnes et fournisseurs qui les traitent. Elle vise à protéger la confidentialité, l'intégrité et la disponibilité de l'information et à identifier, atténuer et surveiller les risques de sécurité."
        },
        {
          "kind": "note",
          "text": "Les protections applicatives actuelles ci-dessous décrivent des contrôles existants. Les procédures qui suivent constituent les exigences de la politique. Sa publication ne confirme pas, à elle seule, que chaque revue périodique, formation ou essai de récupération a été effectué, ni que notre programme satisfait à toutes les exigences d'un partenaire."
        },
        {
          "kind": "h3",
          "text": "Protections applicatives actuelles"
        },
        {
          "kind": "ul",
          "items": [
            "Notre site hébergé utilise HTTPS. Les jetons d'accès Plaid sont chiffrés par l'application avec AES-256-GCM avant leur stockage en base de données. La clé de chiffrement et le secret API Plaid sont traités côté serveur et ne sont pas transmis aux navigateurs clients.",
            "L'accès client est limité par des contrôles applicatifs authentifiés, des autorisations de base de données et des politiques au niveau des lignes. Le personnel autorisé peut consulter les clients permis par son rôle; un compte client est limité à ses propres dossiers.",
            "Les demandes de connexion bancaire valident l'utilisateur connecté, le client et la connexion concernés. Les notifications Plaid sont vérifiées quant à leur signature, leur ancienneté et la concordance de l'empreinte du corps de la demande avant traitement.",
            "Les modifications des livres et les actions des flux bancaires produisent des traces d'audit. Une déconnexion Plaid révoque la connexion auprès de Plaid et la marque comme déconnectée dans QVB. Les données comptables déjà importées restent soumises aux règles de conservation ci-dessus.",
            "QVB ne reçoit ni ne conserve votre nom d'utilisateur ou mot de passe bancaire. L'authentification se déroule dans le parcours de connexion de l'institution financière ou de Plaid."
          ]
        },
        {
          "kind": "h3",
          "text": "1. Gouvernance et responsabilités"
        },
        {
          "kind": "p",
          "text": "David Slapochnik est responsable de la politique et le contact d'escalade en matière de sécurité et de confidentialité. La politique exige un inventaire des systèmes, données, fournisseurs et personnes autorisées, des responsables de contrôles, un registre des risques et exceptions et des preuves des revues et corrections. Le responsable doit revoir la politique au moins annuellement et après un changement important, un incident ou une nouvelle exigence de partenaire. Les modifications doivent être versionnées, approuvées et communiquées aux personnes concernées."
        },
        {
          "kind": "h3",
          "text": "2. Évaluation des risques et amélioration continue"
        },
        {
          "kind": "p",
          "text": "La politique exige une évaluation documentée des risques au moins annuellement et avant une modification importante de l'utilisation des données, de l'hébergement, des produits bancaires ou des intégrations. Elle doit couvrir les accès non autorisés, fuites, fraudes, vulnérabilités, interruptions, fournisseurs et accès physiques. Chaque constat doit indiquer sa probabilité, son impact, son responsable, les mesures prévues, l'échéance et le risque résiduel. Les risques élevés ouverts doivent être revus au moins mensuellement, les autres au moins trimestriellement. La clôture exige des preuves. Toute exception doit préciser son motif, les mesures compensatoires, son échéance et l'approbation du responsable."
        },
        {
          "kind": "h3",
          "text": "3. Identités, accès et authentification multifacteur"
        },
        {
          "kind": "p",
          "text": "La politique exige des identités individuelles, le moindre privilège, une approbation préalable des accès et leur retrait rapide lorsqu'un rôle ou un mandat prend fin ou qu'un abus est suspecté. Les comptes privilégiés d'hébergement, de base de données, Plaid, de courriel et de gestion documentaire doivent utiliser l'authentification multifacteur lorsqu'elle est prise en charge. Sa couverture et ses exceptions doivent être consignées; cela ne signifie pas que chaque compte fournisseur a été vérifié. L'authentification multifacteur pour la connexion de comptes financiers est un réglage à l'échelle du cabinet : lorsqu'il est activé, toute personne qui lie ou répare un compte bancaire ou une carte par Plaid, ou qui connecte Float, doit d'abord se vérifier avec une application d'authentification (TOTP), et le serveur refuse la connexion sans cette vérification. Ce réglage est actuellement désactivé (décision de David Slapochnik, 8 octobre 2026). La connexion aux livres n'exige jamais d'authentification multifacteur; l'authentification propre de l'institution financière dans Plaid Link s'applique toujours. Les sessions, moyens de récupération et identifiants de service doivent être revus pour assurer une expiration, une révocation et une protection adaptées. Les accès doivent être revus au moins trimestriellement. Les assistants automatisés doivent utiliser leur propre identité déléguée et leurs autorisations, avec les mêmes limites par client, validations et exigences d'audit que les personnes."
        },
        {
          "kind": "h3",
          "text": "4. Consentement bancaire et utilisation permise"
        },
        {
          "kind": "p",
          "text": "La connexion bancaire est facultative. La politique permet uniquement la collecte liée aux comptes, produits et finalités autorisés par le client, notamment la tenue de livres et le rapprochement. Un nouveau produit de données ou une nouvelle finalité exige une revue du consentement. Les identifiants bancaires ne doivent jamais être demandés par courriel ni saisis dans un formulaire QVB. Les données bancaires ne doivent être ni vendues, ni louées à des spécialistes du marketing, ni utilisées à d'autres fins. Le retrait du consentement doit arrêter la collecte future par la connexion concernée, sans effacer automatiquement les dossiers comptables que nous devons conserver. Une connexion n'autorise ni l'initiation de paiements par QVB ni l'élargissement des accès."
        },
        {
          "kind": "h3",
          "text": "5. Classification, chiffrement et secrets"
        },
        {
          "kind": "p",
          "text": "La politique classe les dossiers financiers, renseignements personnels, jetons bancaires et identifiants comme confidentiels ou à accès restreint. Elle exige un chiffrement moderne en transit et au repos des systèmes et sauvegardes concernés, dont la couverture doit être vérifiée pour chaque fournisseur et appareil. Les secrets doivent être conservés dans un stockage protégé approuvé, séparément du code public, des réponses au navigateur, des journaux courants et des messages de transmission. L'accès aux clés doit être limité. Les clés et identifiants doivent être renouvelés après une exposition suspectée ou selon les exigences du fournisseur ou de la revue des risques. Aucune donnée client ne doit figurer dans une démonstration publique ou un dépôt de code."
        },
        {
          "kind": "h3",
          "text": "6. Développement, changements et vulnérabilités"
        },
        {
          "kind": "p",
          "text": "La politique exige une revue et des essais proportionnés avant publication, dont la validation des entrées, des autorisations et du refus d'accès entre clients pour les parcours concernés. Le développement et les démonstrations doivent utiliser des données fictives ou correctement anonymisées. Chaque changement doit être traçable, vérifié après déploiement et accompagné d'un plan de récupération. Les dépendances, alertes fournisseurs et vulnérabilités doivent être examinées régulièrement. Une exploitation active ou une exposition de données sensibles exige une évaluation et un confinement immédiats. Les autres délais de correction doivent refléter la gravité et l'exposition et être suivis jusqu'à clôture. Une évaluation indépendante de pénétration doit être envisagée dans l'analyse des risques et réalisée lorsqu'un partenaire ou un risque l'exige. Les contrôles automatisés ne constituent pas un tel test indépendant."
        },
        {
          "kind": "h3",
          "text": "7. Journaux, surveillance et escalade"
        },
        {
          "kind": "p",
          "text": "La politique exige la collecte et la revue des événements pertinents d'authentification, d'accès privilégié, de changement d'autorisations, d'exportation, de connexion bancaire, d'erreur applicative et de sécurité. Les journaux doivent exclure les mots de passe, jetons complets et détails financiers inutiles; leur accès doit être limité. Le responsable doit examiner les événements pertinents au moins chaque semaine, traiter rapidement les alertes importantes et consigner les constats et actions. La conservation et la couverture des alertes doivent être documentées par système. Cette politique ne revendique ni un centre de sécurité doté de personnel en permanence ni des alertes universelles en temps réel."
        },
        {
          "kind": "h3",
          "text": "8. Réponse aux incidents et notifications"
        },
        {
          "kind": "p",
          "text": "Tout incident suspecté doit être signalé rapidement à David Slapochnik, à david@quickviewbooks.com ou au 514-565-2565. N'envoyez pas par courriel des mots de passe bancaires, jetons ou documents clients complets. La procédure exige de consigner le signalement, évaluer l'étendue et la gravité, préserver les preuves, contenir le système, révoquer les accès compromis, corriger la cause et vérifier la récupération. Une atteinte ou utilisation non autorisée touchant les comptes Plaid ou les données des utilisateurs doit être signalée rapidement à security@plaid.com, conformément à la politique développeur de Plaid. Nous aviserons les personnes et autorités lorsque la loi l'exige, dont la Commission d'accès à l'information du Québec en cas de risque de préjudice sérieux. Le responsable doit tenir un registre, consigner les décisions de notification et analyser les enseignements. Un exercice de réponse est exigé au moins annuellement."
        },
        {
          "kind": "h3",
          "text": "9. Sauvegardes, continuité et récupération"
        },
        {
          "kind": "p",
          "text": "La politique exige un plan documenté de sauvegarde et de récupération des dossiers et services essentiels, couvrant la base de données et les documents stockés séparément. Il doit préciser les responsables, la fréquence, le chiffrement, la conservation, les dépendances et les délais et pertes de données acceptables. La couverture doit être vérifiée et la restauration testée au moins annuellement et après un changement important d'infrastructure. La fonction de sauvegarde d'un fournisseur ne prouve pas à elle seule que tous les dossiers QVB sont récupérables. Les objectifs et essais réalisés doivent être appuyés par des preuves avant d'être présentés comme garanties ou travaux achevés."
        },
        {
          "kind": "h3",
          "text": "10. Fournisseurs et accès externes"
        },
        {
          "kind": "p",
          "text": "La politique exige une revue de sécurité et de confidentialité avant qu'un fournisseur reçoive des données confidentielles, puis au moins annuellement pour les fournisseurs essentiels. Elle doit considérer la finalité, les accès, la localisation, les contrats, la documentation de sécurité, les incidents, la suppression et la continuité. Les certifications d'un fournisseur ne sont pas des certifications QVB. Les autorisations externes bancaires, Google, de paiement et de signature restent distinctes de la connexion QVB et ne doivent pas être contournées. Les essais doivent rester dans leur périmètre autorisé; aucun test de l'infrastructure Plaid n'est permis sans son autorisation écrite."
        },
        {
          "kind": "h3",
          "text": "11. Personnel, appareils et protection physique"
        },
        {
          "kind": "p",
          "text": "La politique exige des engagements de confidentialité et une formation avant l'accès aux données clients, puis un rappel au moins annuel sur l'hameçonnage, le traitement sécurisé, les incidents et le consentement bancaire. Les appareils concernés doivent disposer de logiciels pris en charge, de mises à jour, d'un verrouillage d'écran, d'un chiffrement adapté et d'une protection des postes. Les documents papier et supports amovibles doivent être protégés et détruits de façon sécurisée. Le personnel doit utiliser les modes de stockage et de partage approuvés et vérifier les destinataires avant toute transmission."
        },
        {
          "kind": "h3",
          "text": "12. Conservation, destruction et assurance"
        },
        {
          "kind": "p",
          "text": "Les règles de la section 6 s'appliquent. La politique exige de collecter uniquement les renseignements nécessaires, de vérifier le motif légal de conservation, de limiter les accès et de restituer ou supprimer les données de façon sécurisée une fois leur finalité et les obligations terminées. L'expiration des sauvegardes, les obligations de préservation et la conservation indépendante d'un fournisseur doivent être prises en compte. Le responsable doit garder les revues, essais, incidents, décisions d'accès et exceptions approuvées. Cette page ne revendique pas une certification SOC 2 ou ISO 27001, un audit indépendant achevé ou un programme continu entièrement vérifié. Les réponses aux questionnaires partenaires doivent refléter les preuves actuelles et les lacunes restantes."
        }
      ]
    }
  }
}