Verotyökalu ja kryptopörssin API: rajaa käyttöoikeus ja ymmärrä tietoriski

Tietojen ja lähteiden vastaavuutta ei ole kokonaisuudessaan vahvistettu. Yksittäisen verotyökalun nykyisiä vaatimuksia tai Suomen saatavuutta ei ole varmistettu.

Jos haluat tuoda tapahtumia vero-ohjelmaan tilin pysyessä käytössä, päätä ensin, tarvitsetko jatkuvan yhteyden vai riittäisikö suojattu tiedostovienti. Jos valitset yhteyden, selvitä mitä ohjelma saa nähdä, voiko se tehdä muutakin ja miten pääsy lopetetaan. Älä lisää kaupankäynti- tai nostovaltuutta vain siksi, että synkronointi ei aluksi toimi. Vähimmän tarpeellisen oikeuden valitseminen rajoittaa toimivaltaa mutta ei takaa yksityisyyttä tai turvallisuutta. Tämä opas ei edellytä API-avainten, salasanojen tai muiden salaisuuksien lähettämistä meille.

Mitä oikeus oikeastaan antaa?

API-avain on ohjelman käyttämä valtuutus pörssitiliin. Kraken kuvaa avainta ja sen yksityistä osaa käyttäjätunnukseen ja salasanaan verrattavina tietoina; niiden oikeudet määrittävät, mitä ohjelma voi tehdä.1 Lukuoikeus ei ole sama kuin riskittömyys: tapahtuma- ja saldotiedoista voi paljastua yksityiskohtainen kuva taloudesta. Jos luotat ulkopuoliseen palveluun, sen tietoturva ja mahdolliset muut tiedon vastaanottajat ovat osa riskiä.4, 6

Krakenin spot-rajapinnan esimerkissä oikeudet erotellaan näin. Nimet ja vaikutukset eivät ole lupaus muiden pörssien tai Krakenin muiden tuotteiden vastaavista asetuksista.1

Oikeus	Mitä Krakenin ohje kuvaa	Päätöksen merkitys
Query Funds	Saldojen kysely; uudemmassa Funding-rajapinnassa myös lisää rahoitustietoja.1, 3	Luku voi paljastaa enemmän kuin pelkän saldon.
Query Closed Orders & Trades	Päättyneiden toimeksiantojen ja kauppojen kysely.1	Auttaa historiatiedon tuonnissa, mutta paljastaa kaupankäyntiä.
Query Ledger Entries	Ledger- eli tilitapahtumakirjan historian kysely (`Ledgers`, `QueryLedgers`).1	Erillinen oikeus, ei sama valinta kuin vienti.
Export Data	Kauppa- (`trades`) ja ledger- (`ledgers`) raporttien vientipyynnön luonti (`AddExport`) sekä tilan tarkistus (`ExportStatus`).8, 9 Valmiin raportin nouto (`RetrieveExport`) ja raportin poisto tai käsittelyssä olevan tehtävän peruutus (`RemoveExport`).10, 11	Tämä on erillinen oikeus suorista kauppa- ja ledger-kyselyistä. Kaupparaportti voi paljastaa kauppahistoriaa, vaikka suoran kauppakyselyn oikeutta ei annettaisi; dokumentaatio ei yksin todista kaikkien oikeusyhdistelmien tai sovellusten käytännön toimintaa. Raportin poisto tai tehtävän peruutus ei tarkoita lähdetilin kauppa- tai ledger-tapahtumien poistamista. Kopio voi päätyä toiselle osapuolelle.
Modify Orders	Uusien toimeksiantojen lisääminen ja muokkaus (`AddOrder`, `EditOrder` sekä erätoiminnot).1	Kaupankäyntiä muuttava oikeus, ei nostovaltuus.
Cancel/Close Orders	Avoimien tai odottavien toimeksiantojen peruutus (`CancelOrder` ym.).1	Erillinen toimeksiantojen hallintaoikeus, ei nostovaltuus.
Withdraw Funds	Nostotoimintoihin liittyvä oikeus; uudemmassa Funding-rajapinnassa nostopyynnön luominen edellyttää tätä oikeutta.1, 3	Eri kuin kaupankäynti- tai nosto-osoitteiden muokkausoikeus; älä anna nostolupaa pelkän verohistorian lukemista varten.
Add Withdrawal Addresses (Funding)	Uuden Funding-rajapinnan nosto-osoitteen luonti ja poisto.3	Muutostoiminto, ei sama kuin osoitteiden katselu tai nostopyynnön luominen.
Deposit (Funding)	Uuden Funding-rajapinnan talletusosoitteen luonti tai varaaminen.3	Myös tämä voi sallia muutoksia; älä valitse tarpeetonta oikeutta.

Krakenin vero-ohje luettelee yleisiksi verotyökalun lukuoikeuksiksi saldon, suljettujen kauppojen, tilitapahtumien ja tietojen viennin kyselyt; sen mukaan suljettujen kauppojen oikeus voi joissakin yhteyksissä olla valinnainen.2 Älä tulkitse luetteloa kaikkien ohjelmien pakolliseksi tai riittäväksi asetukseksi. Vertaa juuri valitsemasi pörssin ja vero-ohjelman ajantasaisia ohjeita ja pysähdy, jos pyydetyn oikeuden tarve jää epäselväksi.

Erityisen tärkeää: Kraken kertoo uuden Funding-rajapintansa laajentaneen pelkän Query Funds -oikeuden näkyvyyttä muun muassa nostohistoriaan ja nosto-osoiteluetteloon. Oikeus on lukuoikeus, mutta vanha käsitys sen näkymästä voi olla liian kapea.3 Tarkista myös aiemmin annetut avaimet, koska käyttöoikeuden käytännön tietosisältö voi muuttua palvelun päivityksissä.

Ennen kuin liität ohjelman

Tarve ja vaihtoehto. Arvioi, riittääkö kertaluonteinen tapahtumatiedoston vienti, jonka ohjelma tukee. Myös tiedosto sisältää taloustietoja eikä itsessään poista tietosuojariskiä. Selvitä tuettujen tapahtumien ja ajanjaksojen kattavuus; tuonti ei todista laskelman oikeellisuutta.
Vastaanottaja ja tarkoitus. Tarkista palvelun virallinen osoite, palveluehdot ja tietosuojailmoitus. Mitä tietoja tuodaan, mihin niitä käytetään, ketkä käsittelevät niitä, minne niitä siirretään ja miten pitkään niitä säilytetään? EU:n tietosuojaperiaatteisiin kuuluvat käyttötarkoitussidonnaisuus, tarpeellisten henkilötietojen minimointi sekä säilytyksen rajoittaminen.6 Tarkista myös, mitä ne käytännössä tarkoittavat juuri kyseisen palvelun ehdoissa.
Rajaus. Selvitä ohjelman välttämättömät lukuoikeudet; älä valitse nosto-, kaupankäynti- tai muita tarpeettomia muutosoikeuksia verotietojen lukemista varten. Jos pörssi ja sovellus tukevat rajoituksia, selvitä voiko käyttöaikaa, osoitteita tai historiakyselyjen aikaväliä rajata ilman että tarpeelliset tiedot jäävät puuttumaan. Kraken kuvaa esimerkiksi IP-rajoituksen, avaimen vanhenemisen ja historiakyselyn aikarajauksen; yhteensopivuus on varmistettava erikseen.1
Turvallinen hallinta. Erota tätä ohjelmaa varten käytettävä avain muista käyttötarkoituksista ja nimeä se tunnistettavasti. Suojaa avain ja salainen osa kuten kirjautumistiedot; älä julkaise niitä, jaa niitä chatissa tai lähetä niitä tukipyyntöön. Kraken suosittelee muun muassa salattua säilytystä ja tarpeettomien avainten poistamista.4 Tunnista oikea palvelu ennen kuin annat sille mitään valtuutusta.
Tarkista myös tulos. Vertaa tuodun aineiston kattavuutta omiin tositteisiin ja selvitä puuttuvat jaksot. Älä oleta, että onnistunut yhteys tarkoittaa kaikkien tuotteiden, siirtojen tai aiempien vuosien täydellistä tuontia.

Jos vero-ohjelma vaatii oikeutta, jota et ymmärrä tai jota et halua antaa, älä jatka ennen kuin olet saanut selityksen molempien palvelujen virallisista ohjeista tai tuesta. Tarkista voiko rajatumpi tiedostovienti toimia vaihtoehtona.

Kun et enää tarvitse yhteyttä tai epäilet vuotoa

Selvitä etukäteen sekä pörssin avaimen että mahdollisen palvelukohtaisen yhteyden poistaminen: ne eivät välttämättä ole sama hallintatoiminto. Krakenin ohjeiden mukaan API-avaimia voidaan poistaa ja tarpeettomat avaimet kannattaa poistaa.4, 5 Tarkista pörssin ajantasaisesta näkymästä, että juuri kyseinen avain ei enää näy aktiivisena, ja tarkista vero-ohjelman puolelta yhteyden tila. Emme ole testanneet poistamista tilillä, joten sovelluksen toiminnasta tai poistamisen ajoituksesta ei luvata enempää.

Erillisen palveluyhteyden poistamisen vaikutus mahdolliseen itse luotuun API-avaimeen on tarkistettava tapauskohtaisesti. Mitään nimetyn kolmannen osapuolen nykyistä oikeusvaatimusta tai Suomen saatavuutta ei ole tässä varmistettu.

Jos epäilet avaimen paljastuneen, rajoita tai poista kyseinen pääsy pörssin virallisen ohjeen mukaan, ota tarvittaessa yhteyttä molempien palvelujen viralliseen tukeen ja tarkista tilin tapahtumat. Älä lähetä avaimia tai muita salaisuuksia selvityksen mukana. Avaimen poistaminen ei palauta jo luettuja tietoja eikä yksin ratkaise mahdollista tietovuotoa: selvitä mitä tietoja on tallennettu, kenelle niitä on toimitettu ja mitä toimenpiteitä palvelu tekee.

Poistaminen ei ole sama kuin tietojen hävittäminen

Pääsyn lopettaminen ei ole sama kuin jo kopioitujen tietojen poistaminen. GDPR:n soveltuessa poistopyyntö on ehdollinen eikä takaa kaikkien tietojen automaattista tai välitöntä hävittämistä.7 Tarkastus- ja poistopyyntöjen erilliset vaiheet käsitellään artikkelissa Kryptopalvelun henkilötiedot: tarkastus- ja poistopyyntö erikseen, joka käsittelee erillistä aihetta. Tarkista omat tositteita koskevat velvoitteesi ennen aineiston hävittämistä.

Tarkistuslista: Tiedänkö, kuka saa tiedot ja miksi? Onko oikeuksissa vain tehtävään tarpeellinen pääsy? Pystynkö tunnistamaan ja poistamaan yhteyden? Tiedänkö, mitä jo kopioiduille tiedoille tapahtuu? Jos johonkin ei löydy selkeää vastausta, pysähdy ennen liittämistä.

Tämä on yleistä tietoa, ei henkilökohtaista vero-, laki- tai tietoturvaneuvontaa. Tarkista lähteiden ja käyttöliittymän ajantasaisuus ennen mahdollista käyttöä.