Jak księgowy używa KsięgowyUK do składania deklaracji w HMRC

Pięcioetapowa pętla od podłączenia konta Agent Services Account do hashowanego SHA-256, niezmiennego receiptu w audit logu. Pod narracją znajdziesz uczciwy podział: które deklaracje składamy bezpośrednio, a które oddajemy jako gotowy plik do uploadu.

1. Krok 1 — Konfiguracja jednorazowa

   Handshake z HMRC

   W panelu księgowego kliknij Connect to HMRC. Uruchamiamy OAuth UK Government dla danych Twojego firmowego konta Agent Services Account (ASA). Zwrócony token autoryzacyjny szyfrujemy w spoczynku algorytmem AES-256-GCM (zob. lib/secrets.ts) zanim w ogóle dotknie bazy. Od tego momentu software ma legalny dostęp API do składania w imieniu każdego klienta, który autoryzował Twoją firmę — bez haseł klienta, bez współdzielenia loginu Gateway.

2. Krok 2 — Wykonanie pracy

   Act as the client

   Z głównej listy klientów wybierz klienta i kliknij Act-As. Ustawiamy podpisane przez serwer ciasteczko (ACT_AS_MAX_AGE_SEC = 4 godziny) i Twój ekran staje się panelem klienta. Sprawdzasz paragony zeskanowane przez AI, ledger, pozwalasz modułowi podatkowemu policzyć liczby. Nigdy nie widzisz hasła klienta i nie potrzebujesz kodu 2FA. Każde wejście w trybie act-as jest zapisywane w audit logu pod Twoją prawdziwą tożsamością.

3. Krok 3 — Akceptacja klienta

   Wyślij do akceptacji

   Polskie i brytyjskie prawo: nie możesz wcisnąć Submit bez wyraźnej pisemnej akceptacji klienta. Klikasz Send for Approval i liczby trafiają do modułu Quarterly Reviews (status DRAFT). Klient dostaje alert w telefonie, otwiera aplikację, sprawdza matematykę, klika Approve. Rekord przechodzi w APPROVED, audit log zapisuje tożsamość klienta i znacznik czasu. Dni ścigania mailami zamienione na jedno tapnięcie.

4. Krok 4 — Złożenie deklaracji

   Bezpośrednie submission przez API

   Gdy review ma status APPROVED, klikasz Submit to HMRC na zielonej etykiecie modułu (VAT, ITSA kwartalny, ITSA crystallise, RTI FPS, CIS300). Backend buduje payload MTD REST lub kopertę GovTalk XML, dołącza HMRC fraud-prevention headers (Gov-Client-* device + IP + timezone z lib/hmrc-fraud-headers.ts) i strzela żądanie z Twoim tokenem ASA. Pomarańczowe moduły (CT600, SA800, CGT, SDLT, P11D) zatrzymują się o krok wcześniej — generujemy plik iXBRL lub obliczenie, a Ty uploadujesz do odpowiedniego portalu HMRC / Companies House.

   Składa bezpośrednio do HMRC: VAT · ITSA · RTI FPS · CIS300Compute & export — Ty składasz: CT600 · SA800 · CGT · SDLT · P11D

5. Krok 5 — Forensiczna obronność

   Niezmienny receipt + audit log

   HMRC odpowiada Correlation ID. Renderujemy receipt PDF (np. lib/vat-receipt-pdf.ts dla VAT), hashujemy SHA-256 i piszemy bajty + hash do prywatnego Vercel Blob. Akcja ląduje w audit logu (lib/audit.ts — append-only). Jeśli HMRC zacznie sprawdzać klienta za trzy lata, masz dowód co dokładnie złożyłeś, kiedy, czyim tokenem, i że klient wcześniej zaakceptował.