Podaci prikupljeni u Sustavu za fiskalizaciju

Članak 1.

​(1) Porezna uprava čuva podatke prikupljene u Sustav za fiskalizaciju, a koji se odnose na fiskalizirane podatke izdanih i primljenih eRačuna, podatke o odbijenim eRačunima, podatke o naplaćenim eRačunima te podatke za isporuke za koje nije bilo moguće izdati eRačun unutar roka propisanog posebnim propisom kojim se uređuje računovodstvo.

(2) Svrha čuvanja podataka iz ovoga članka je kontrola ispravnosti provedbe ovoga Zakona i poslovanja poreznih obveznika u dijelu eRačuna.

Korištenje podataka iz Sustava za fiskalizaciju

Članak 2.

(1) Podatke iz Sustava za fiskalizaciju koristi Ministarstvo financija u okviru propisanih nadležnosti.

(2)  Podatke iz Sustava za fiskalizaciju mogu koristiti nadležna tijela kad je posebnim propisom propisana obveza poreznog tijela kao tijela državne uprave na dostavu tih podataka te izdavatelj odnosno primatelj eRačuna podatke koji se odnose na njega.

(3) Tijela iz stavka 2. ovog članka, podatke mogu dobiti samo na zahtjev u kojem moraju dokazati pravnu osnovu za korištenje određenih podataka. Pravna osnova se dokazuje pozivanjem na odredbu posebnog propisa u kojem je propisana obveza poreznog tijela kao tijela državne uprave na dostavu podataka.

(4) Tijela iz stavka 2. ovoga članka dužna su s podacima postupati sukladno propisima o zaštiti osobnih podataka i čuvanju porezne tajne.

(5) Izdavatelj odnosno primatelj eRačuna podacima iz stavka 2. mogu pristupiti putem FiskAplikacije, bez potrebe podnošenja posebnog zahtjeva.

Obrazac za korištenje podataka

Članak 3.

(1) Korištenje podataka omogućuje se podnošenjem obrasca u pisanom obliku ili elektroničkim putem.

​(2) Tijela iz članka 2. stavka 2. ovoga Pravilnika podatke iz Sustava za fiskalizaciju mogu dobiti na pisani zahtjev u kojem dokazuju svrhu korištenja traženih podataka, a podnosi se  na obrascu „Zahtjev za ustupanje podataka iz Sustava za fiskalizaciju“, Ministarstvu financija, Poreznoj upravi – Središnji ured (dalje: Porezna uprava) odnosno zaprimljene kroz elektronički sustav Porezne uprave.

(2) Nakon dokazane svrhe, Porezna uprava ustupa tražene podatke u CSV formatu na digitalnom mediju.

(3) Obrazac zahtjeva iz stavka 1. ovoga članka, sastavni je dio ovoga Pravilnika.

Način razmjene podataka između izdavatelja i primatelja eRačuna

Članak 4.

Proces razmjene eRačuna sastoji se od slijedećih koraka:

1. Pristupna točka mora imati identifikator (ID) krajnjeg primatelja.

2. Pristupna točka Izdavatelja kontaktira AMS servis putem DNS upita.

3. AMS servis šalje odgovor na upit u obliku N-APTR zapisa koji sadrži URL adresu metapodatkovnog servisa (MPS) kod kojeg je registriran primatelj eRačuna.

4. Pristupna točka Izdavatelja kontaktira MPS na dobiveni URL putem REST konekcije kojom šalje identifikator primatelja (i opcionalno druge identifikatore) i traži krajnju adresu Primatelja za zaprimanje eRačuna.

5. MPS vraća URL pristupne točke primatelja na koju se može isporučiti eRačun.

6. Pristupna točka izdavatelja kontaktira pristupnu točku primatelja, otvaranjem HTTPS konekcije na dobiveni URL. Nakon uspostave konekcije postavlja se AS4 konekcija prema definiranim parametrima (P-mode), te se šalje eRačun sa prilozima zapakiran u AS4 poruku.

7. Pristupna točka primatelja zaprima AS4 poruku sa eRačunom, te na temelju atributa u zaglavlju poruke koja sadrži ID primatelja prosljeđuje poruku do krajnjeg primatelja.

8. Kad je poruka uspješno obrađena i proslijeđena krajnjem primatelju, pristupna točka primatelja šalje potpisanu signalnu poruku s potvrdom primitka pristupnoj točki Izdavatelja.

9.  Ako pristupna točka primatelja ne poslužuje navedenog primatelja ili zaprimljeni sadržaj nije sukladan ili obrada zaprimljenog računa nije uspjela zbog greške, pristupnoj točki izdavatelja se šalje poruka o grešci.

Standardi koji se moraju primjenjivati prilikom razmjene eRačuna

Članak 5.

(1) Razmjena eRačuna obavlja se putem pristupnih točaka koje moraju koristiti AS4 protokol kao standard za razmjenu eRačuna.

(2) Pristupna točka ne smije odbiti eRačun koji je došao kao AS4 poruka.

(3) Prilikom slanja eRačuna pristupna točka ne smije od druge strane koja zaprima eRačun u ime krajnjeg primatelja tražiti profil širi ili drugačiji od eRačun-AS4 profila kao preduvjet za izdavanje eRačuna.

(4) Sigurnost prilikom korištenja AS4 protokola postiže se potpisivanjem poruka korištenjem digitalnih certifikata, eRačun ima strukturu xml-a dok je poruka unutar koje se šalje xml eRačuna u strukturi AS4 poruke.

(5) Kod razmjene eRačuna za prijenos asinkronih AS4 poruka između pristupne točke izdavatelja eRačuna i pristupne točke primatelja eRačuna koristi se PKI metoda za potpis AS4 poruke.

(6) Pri razmjeni eRačuna koristi se kvalificirani X.509 digitalni certifikat izdan od pouzdanog izdavatelja, koji mora imati  naveden OIB pristupne točke kao jedan od atributa.

(7) Digitalni certifikati koji ne udovoljavaju uvjetima iz stavka 6. ovoga članka se ne smiju koristiti.

(8) Kod razmjene eRačuna ne koristi se enkripcija na nivou AS4 poruke.

(9) Svi prijenosi podataka u mreži eRačuna moraju imati sadržaj zapakiran kao integralni element koristeći SBDH (Standard Business Document Header), koji je  integralni dio XML dokumenta (eRačun) zapakiran u jedan MIME privitak, a izdvojeni SBDH nije dozvoljeno koristiti.

Obrazac razmjene eRačuna

Članak 5.

(1) Svi sudionici u procesu razmjene eRačuna moraju osigurati primjenu Obrasca razmjene (MEP) One-Way/Push.

(2) Obrazac razmjene iz stavka 1. ovoga članka se koristi u svim prijenosima poruka kod razmjene eRačuna.

Sigurnost kod prijenosa poruka prilikom razmjene eRačuna

Članak 6.

(1) Sigurnost kod prijenosa poruka pri razmjeni eRačuna mora se osigurati sigurnom enkripcijom na transportnom sloju (transport layer security TLS).

(2) Pristupna točka primatelja mora podržavati TLS (transport layer security) u skladu s odjeljkom 3.2.6. CEF eDelivery AS4

( https://ec.europa.eu/digital-building-blocks/sites/display/DIGITAL/eDelivery+AS4+-+1.15 ).

(3) TLS (transport layer security) mora koristiti valjani certifikat u skladu s politikom za sigurnost i izdan od strane ovlaštenog izdavatelja (CA) u Republici Hrvatskoj. Pristupne točke koje su dio eRačun mreže ne razmjenjuju informacije povezane s IP adresama i portovima unaprijed za prijenos poruka kako je opisano u [CEFeDeliveryAS4].

(4) Novije verzije enkripcije (TLS transport layer security) od TLS v1.2 mogu se koristiti nakon međusobnog dogovora putem TLS handshake procesa.

(5) Za TLS uvijek se koristi port 443.

(6) Pristupne točke izdavatelja moraju omogućiti samo izlazne prijenose na portu 443.

(7) TLS mora koristiti valjani certifikat u skladu s politikom za sigurnost i izdan od strane ovlaštenog izdavatelja (CA) u Republici Hrvatskoj.

Digitalni certifikat

Članak 7.

(1) Digitalni certifikat izdaje se od strane pružatelja usluga povjerenja/pouzdanih pružatelja usluga povjerenja u Republici Hrvatskoj.

(2) Putem digitalnih certifikata dokazuje se identitet pristupne točke.

(3) Jedan digitalni certifikat moguće je koristiti u postupcima fiskalizacije u krajnjoj potrošnji i fiskalizacije eRačuna, pri čemu  programska rješenja moraju biti odvojena jer se postupci međusobno razlikuju.

(4) Porezni obveznik može imati više izdanih digitalnih certifikata.

(5) Porezna uprava provjerava jesu li dostavljeni podaci potpisani od strane osobe koja je ovlaštena koristiti digitalni certifikat.

(6) Digitalni certifikati koji nisu izdani od strane pružatelja usluge povjerenja/pouzdanih pružatelja usluga povjerenja u Republici Hrvatskoj, koji su istekli ili su ukinuti, ne smiju se koristiti, o čemu će se dostaviti  poruka kroz FiskAplikaciju.

Korištenje digitalnih certifikata

Članak 8.

(a) Kod eRačuna i fiskalizacije eRačuna, izdavatelj i primatelj eRačuna dužni su koristiti digitalni certifikat koji se koristi pri razmjeni eRačuna za potpisivanje poruka u kojoj se šalje eRačun te za potpisivanje fiskalizacijskih poruka. Fiskalizacijska poruka je strukturirana u XML formatu.

(b) Prilikom razmjene eRačuna identitet pristupne točke dokazuje se putem digitalnih certifikata izdanih od strane pružatelja usluga povjerenja/pouzdanih pružatelja usluga povjerenja u Republici Hrvatskoj uz obvezan OIB s kojim se potpisuje poruka čiji je sadržaj eRačun.

(c) Svaka poruka poslana eFiskalizaciji i eIzvještavanju mora biti potpisana digitalnim certifikatom pristupne točke pošiljatelja koji ima ovlaštenje od poreznog obveznika čiji je OIB naveden u eRačunu.

(d) Porezni obveznik mora odrediti osobu ovlaštenu za korištenje digitalnih certifikata potrebnih za izvršenje obveza prema Zakonu o fiskalizaciji.

Upute za obveznike eRačuna o postupcima pribavljanja odgovarajućih certifikata

Članak 9.

(a) Porezni obveznik eRačuna podnosi zahtjev za izdavanje digitalnog certifikata pružatelju usluga povjerenja/pouzdanih pružatelja usluga povjerenja u Republici Hrvatskoj. Digitalni certifikat mogu zatražiti sve fizičke i pravne osobe koje su obveznici eRačuna prema Zakonu o fiskalizaciji kao i oni koji dobrovoljno žele izdavati ili zaprimati eRačun.

(b) Pružatelji usluga povjerenja/pouzdanih pružatelja usluga povjerenja u Republici Hrvatskoj zaduženi su za provjeru identiteta podnositelja Zahtjeva i provjeru pravne osnove za izdavanje  digitalnog certifikata.

(c) Pružatelji usluga povjerenja/pouzdanih pružatelja usluga povjerenja u Republici Hrvatskoj  i podnositelj Zahtjeva potpisuju Ugovor o obavljanju usluga certificiranja u kojem određuju prava i obveze ugovornih strana.

(d) Pružatelj usluge povjerenja/pouzdanih pružatelja usluga povjerenja u Republici Hrvatskoj može odbiti zahtjev za izdavanjem digitalnog certifikata ukoliko nisu ispunjeni propisani uvjeti.

(e) Ako pružatelj usluge povjerenja/pouzdanih pružatelja usluga povjerenja u Republici Hrvatskoj nakon podnošenja zahtjeva podnositelja, odobri Zahtjev, porezni obveznik eRačuna dobiva upute za preuzimanje digitalnog certifikata.

(f) Izdani digitalni certifikat mora zadovoljiti sve tehničke i sigurnosne standarde potrebne za primjenu Zakona o fiskalizaciji, a evidentira se u FiskAplikaciji.

Način primjene Klasifikacije proizvoda po djelatnostima

Članak 10.

(a) Porezni obveznici eRačuna moraju koristiti Klasifikaciju proizvoda po djelatnostima (dalje u tekstu: „KPD“) na način da povezuju  listu svojih roba i usluga sa KPD-om, pri čemu svaki artikl mora imati identifikator klasifikacije iz sheme KPD-a povezan s s ispravnom klasifikacijskom šesteroznamenkastom brojčanom oznakom.

(b) Mogućnost pregledavanja i pretraživanja klasifikacija prema nazivu i šifri omogućuje tražilica KLASUS koju održava Državni zavod za statistiku.

(d) Korištenje klasifikacije KPD-a ne isključuje mogućnost korištenja drugih ili vlastitih klasifikacija, ali pretpostavlja da je potrebno te druge ili vlastite klasifikacije povezati na KPD. (5) Kod izdavanja odobrenja za naknadno odobrene popuste ili negativnog knjiženja obveznik fiskalizacije eRačuna iz članka 47. Zakona dužan je dostaviti podatke o

a. datumu izdavanja odobrenja

b. broju odobrenja/računa

c. izdavatelju odobrenja

d. primatelju odobrenja

e. poreznoj osnovici za svaku poreznu stopu,

f. jediničnoj cijeni bez PDV-a

g. stopi PDV-a

h. ukupnom iznosu odobrenja

i. razlog izdavanja

j. broju i datumu izdanih računa na temelju kojih se izdaje odobrenje.

(6) Podatke iz stavka 4. ovog članka obveznik dostavlja u rokovima i na način propisan za dostavu eRačuna.

(g) Podatke iz stavka 5. ovog članka obveznik dostavlja isključivo uz ispravnu oznaku vrste isprave i poslovnog procesa sukladno Specifikaciji osnovne uporabe eRačuna s proširenjima.

Fakturiranje od strane posebnog društva

Članak 11.

U slučaju kada se radi o masovnom i kontinuiranom fakturiranju od strane posebnog  društva, dopušteno je odstupiti od propisanog roka za fiskaliziranje eRačuna najdulje za tri dana.

Standardne poruke o greškama

Članak 12.

(1) Sustav za fiskalizaciju vraća poruke o greškama u XML formatu, sukladno javno objavljenim shemama.

(2)  Poruke o greškama uključuju opis greške i prijedlog ispravka.

(3)  Popis mogućih grešaka je slijedeći:

◊ Sistemska greška prilikom obrade zahtjeva Lokacija potpisa nije ispravna

◊ Certifikat nije izdan od davatelja usluga s Pouzdanog potpisa, ili je istekao ili je ukinut Neispravan potpis zahtjeva

◊ Poruka nije u skladu s XML shemom : #element ili lista elemenata koji nisu ispravni po shemi Pristupna točka nije ovlaštena za dostavu podataka

◊ OIB iz zahtjeva nije formalno ispravan: #vrijednost OIB-a iz upita Već postoji

◊ zabilježen eRačun s istim identifikatorom

◊ Ne postoji zabilježen eRačun

◊ Već postoji zabilježen status odbijanja eRačuna s istim identifikatorom

◊ Ne postoji evidentiran originalni eRačun za koji je dostavljen ispravljeni eRačun.

Protokoli o postupanju u slučaju grešaka

Članak  13.

U slučaju greške izdavatelj odnosno primatelj eRačuna mora evidentirati grešku u vlastitom sustavu, ispraviti podatke i ponovo dostaviti ispravnu poruku u rokovima definiranim Zakonom o fiskalizaciji za fiskalizaciju eRačuna i za eIzvještavanje.

Opći uvjeti korištenja aplikacije MIKROeRAČUN

Članak 14.

Aplikacija MIKROeRAČUN namijenjena je izdavateljima i primateljima eRačuna pod uvjetom da su korisnici sustava ePorezna, nisu upisani u registar obveznika PDV-a prema propisu o PDV-u i pod uvjetom da nisu obveznici primjene propisa o elektroničkom izdavanju računa u javnoj nabavi kao javni naručitelji.

Članak 15.

(1) Korištenje aplikacije je besplatno uz  prihvaćanje općih uvjeta korištenja aplikacije.

(2) Pristup aplikaciji omogućen je putem sustava ePorezna.

(3) Korištenjem aplikacije korisnik prihvaća sve tehničke i sigurnosne uvjete objavljene na portalu Porezne uprave.

Članak 16.

(1) Primatelj odnosno izdavatelj eRačuna dužan je pohranjivati eRačune sukladno članku 35. Zakona te preuzeti sve eRačune po isteku roka čuvanja definiranog Zakonom ili po prestanku korištenja aplikacije.

(2) Aplikacija omogućuje preuzimanje računa u izvornom XML obliku sa svim prilozima.

Članak 17.

Ovlaštenja za korištenje dodjeljuju se putem ovlaštenja sustava ePorezne.

Testiranje sukladnosti informacijskog posrednika

Članak 18.

(a) Informacijski posrednik obvezan je prije početka rada u produkcijskoj okolini provesti testiranje sukladnosti putem Portala za testiranje Porezne uprave.

(b) Testiranje obuhvaća:

  - razmjenu eRačuna i fiskalizaciju eRačuna putem metapodatkovnih servisa (MPS),

  - tehničku provjeru sigurnosnih zahtjeva (TLS verzija 1.2 ili noviji, aplikativni certifikat s OIB-om),

  - XML strukturu poruka (prema Tehničkoj specifikaciji verzije 2.5.)

(3) Uspješnim završetkom testiranja izdaje se potvrda o tehničkoj sukladnosti.

(4) Testiranje se provodi u kontroliranoj testnoj okolini (CIS DEMO), u kojoj se simulira produkcijski rad,  a može se provoditi više puta do ishođenja potvrde o tehničkoj sukladnosti.

Testiranje sukladnosti pristupne točke koja nije informacijski posrednik

Članak 19.

(1) Pristupna točka koja nije registrirani informacijski posrednik dužna je provesti tehničko testiranje kako bi dokazala mogućnost povezivanja na MPS i razmjenu eRačuna.

(2) Testiranje uključuje:

◊ uspostavu komunikacije s CIS-om,

◊ slanje i primanje testnih eRačuna,

◊ dohvat metapodataka iz AMS-a.

(3) Za ovaj oblik testiranja nije potrebno prethodno dostavljati dokumentaciju iz članka 61. Zakona.

(4) Testiranje se provodi putem Portala za testiranje sukladnosti iz članka 60. Zakona.

Dokumentacija za ishođenje potvrde o sukladnosti

Članak 20.

(1) Informacijski posrednik za ishođenje potvrde o sukladnosti dostavlja Poreznoj upravi sljedeću dokumentaciju:

◊ dokaz o ispunjavanju uvjeta iz članka 58. stavka 1. Zakona,

◊ završno izvješće s testiranja sukladnosti,

◊ dokaz o usklađenosti s GDPR-om,

◊ važeći ISO/IEC 27001 certifikat ili jednakovrijedan sustav upravljanja informacijskom sigurnošću,

◊ izjavu o postupanju u slučaju prijenosa podataka u treće zemlje,

◊ opis usluga koje pruža.

(2) Dokumentacija se dostavlja u elektroničkom obliku (PDF), putem sustava ePorezna ili drugog sustava koji odredi Porezna uprava.

(3) Porezna uprava može zatražiti da određeni dokumenti budu elektronički potpisani ili ovjereni, sukladno posebnim propisima.

ZAVRŠNA ODREDBA

Članak 21.

Ovaj Pravilnik objavljuje se u »Narodnim novinama« i stupa na snagu prvoga dana od dana objave u »Narodnim novinama«.

MINISTAR FINANCIJA

dr.sc. Marko Primorac

KLASA:

URBROJ:

Zagreb,

PRILOG 1.                                                                                 ZAHTJEV ZA DOSTAVOM PODATAKA

Temeljem članka 2. stavka 2. Pravilnika o eRačunu (Narodne novine……)…………………………..(naziv nadležnog tijela)……………………………………………….podnosi dana ………………….(datum)

ZAHTJEV ZA DOSTAVOM PODATAKA IZ

SUSTAVA ZA FISKALIZACIJU

Molimo da nam se za obveznika…………………………na temelju …………………………(navesti pravnu osnovu) dostave slijedeći podaci iz Sustava za fiskalizaciju:

S dostavljenim podacima koristiti ćemo se u propisane svrhe. Svaka druga uporaba predstavlja kršenje odredbe o poreznoj tajni, zaštiti osobnih podataka i poslovnoj tajni obveznika na kojeg se ti podaci odnose.

--------------------------------------------------

Ime i prezime čelnika tijela,

potpis/elektronički potpis