Teie kviitungid jäävad ELi sees, on edastamisel krüpteeritud ning hoitakse eraldi teistest kontodest. Avalikud skannimise hinnangud, sealhulgas CryptCheck A+, kuvatakse sellel lehel — mitte tunnistus.
Viimati uuendatud: 24. oktoober 2026
Krüpteerimine
Tundlikud väljad ja kviitungifailid krüpteeritakse enne salvestamist, iga konto oma võtmega—nii et ketas või varukoopia sisaldab koodteksti, mitte loetavat sisu.
Kolm kihti oma võtmetega. Peavõti mähib iga konto andmevõtit ja see võti mähib iga faili võtit.Täismärge
Isegi kui keegi eemaldaks teenuse serveriketta või hoiaks vana varukoopiaga, ei saaks nad lugeda teie tšekke ega tundlikke välju ilma teie konto andmevõtme ja teenuse peavõtmeta. Tšekkide failid ja isiklikud ning finantsilised väljad on rakenduses AES-256-GCM-ga krüpteeritud enne, kui need salvestatakse. Igal kontol on oma andmevõti; igal tšeki failil on oma võti, mis on selle konto võtmega seotud. Konto võti on seotud peavõtmega, mis hoitakse väljas andmebaasist ja lähtekoodist (ei ole derivatsiooni teel saadud teie paroolist). Paroolid on ainult Argon2id räsi kujul. Andmebaasi ühendused kasutavad TLS-i. Objektisalvestus Pariisis hoiab suletud krüpteeritud teksti. Uued failid kasutavad VIENC2 formaati.
Kahefaktoriline sisselogimine
Saad sisse lülitada autentimisrakenduse (TOTP, kood telefonist) ja ühekordsed taastamiskoodid. Admin- ja töötajakontod peavad ühte kasutama.
Täismärge
Iga konto saab lubada autentimisrakenduse (TOTP) ja saada ühekordsed taastamiskoodid. E-posti kood on saadaval valikulise teise sammuna ja seda ei aktsepteerita, kui autentimisrakendus on sisse lülitatud. Administraatori ja töötajate kontod peavad enne administraatorialale sisenemist registreerima autentimisrakenduse; uue töötaja kutses on see samm kaasatud.
Konto kaitse
Ebaõnnestunud sisselogimised aeglustatakse, parooli lähtestamine kasutab ühekordset linki ja e-posti muutmine vajab kinnitust.
Täismärge
Paroolid peavad olema vähemalt 12 tähemärki pikad ja neid kontrollitakse levinud paroolide nimekirja vastu. Korduvad ebaõnnestunud sisselogimised lukustavad konto mõneks ajaks. Kiiruspiirangud jagatakse kõigi serverite vahel andmebaasi kaudu; sisselogimisel, koodide kasutamisel, registreerimisel ja parooli lähtestamisel keeldutakse taotlustest, kui kontrolli ei saa läbi viia. Unustatud parool lähtestatakse ühekordse lingi abil, mis aegub pärast 60 minutit; selle kasutamine logib välja kõik seansid. Meie töötajad saavad teile saata lähtestuslingi, kuid ei näe kunagi linki ega teie parooli. E-posti aadressi vahetamine nõuab teie parooli ja koodi, mis saadetakse uuele aadressile, ning nii vana kui ka uus aadress teavitatakse hiljem. Uued kasutajad kinnitavad oma e-posti aadressi koodi abil.
Kontode eraldamine
Read-tasandi turvalisus PostgreSQL-is (andmebaasi reegel, et üks klient ei saa lugeda teise ridu) toetab rakenduse kontrollimehhanisme.
Täismärge
Iga päring on piiratud nende kontodega, kuhu see kuulub. Rakenduses tehtavate kontrollide kõrvale piiravad PostgreSQL-i reaaridise tasandi turvapoliitikad iga päringu nende kontode kirjetega, toimides teise kaitseliinina andmebaasi sees. Meie töötajad ei saa avada teie tšekte ega maksudokumente, kui te ei anna ajaliselt piiratud tugipääsu, ja iga selle pääsu kasutamine logitakse.
Brauser ja ühendus
Ainult HTTPS. Brauseritele öeldakse jääda HTTPS-i peale (HSTS). Sisselogimise küpsis on lehe skriptidest peidetud (HttpOnly) ja saadetakse ainult HTTPS-i kaudu (Secure). Muudatus nõuab sobivat märki (CSRF). Sisuturvalisuse poliitika piirab, mida iga leht saab laadida.
Täismärge
Veebisaiti ja API-d teenindatakse ainult HTTPS-i kaudu. Need saadavad HSTS-i (Strict-Transport-Security), mis ütleb brauseritele, et püsida HTTPS-i peal, sealhulgas alamdomeenide ja eellaadimise (preload) lipuga. vectorinvoice.lt on brauseri HSTS preload eellaadimise nimekirjas. Sessioon hoitakse HttpOnly, Secure, SameSite=Strict küpsistes, mitte brauseri salvestuses: lehekülje skriptid ei saa sessiooniküpsist lugeda, ja see saadetakse ainult HTTPS-i kaudu. Iga andmeid muutva päringu puhul peab kaasnema CSRF-token (sobiv väärtus, et mõni teine sait ei saaks muudatust esitada), mis sobib sessiooniga. Leheküljed saadavad sisu turvapoliitika (reeglid, mida lehekülg võib laadida) iga päringu korral värske nonce'iga (ühikordne väärtus) ja teised saidid ei saa seda oma raamides kuvada.
Auditilog
Ainult lisamise logi: iga rida säilitab tegevuse ja lühikese märkuse, mis muutus, mitte tarnija nimesid ega kviitungi summasid. Ilmuda võib ka plaani hind.
Täismärge
Auditilog on ainult lisatav: andmebaas lükkab tagasi uuendused ja kustutamised. Iga rida salvestab tegevuse, mis oli mõjutatud ja puhastatud JSON-dif'i—peamiselt välja nimed, olekukoodid ja arvud, mitte tarnijate nimed, e-posti aadressid ega kviitungite summad (mõned toimingulised andmed, näiteks plaanide hinnad, võivad ilmuda). Sisselogimised, ebaõnnestunud sisselogimised, originaalide allalaadimised ja ekspordid ning tugiteenuse juurdepääs on logitud.
Eksportimine ja kustutamine
Pärast konto kustutamist ei saa varukoopias olevaid koopiad enam lugeda — kontoandmete võti on hävitatud. Seadetes saate oma andmed alla laadida, kui olete sisse logitud, või kustutada faile, kirjeid või kogu konto. Iga kustutamine nõuab teie parooli ja ühekordset e-kirja koodi.
Täismärge
Pärast kustutamist ei saa varukoopiatele jäänud koopiad enam lugeda, sest konto andmete võti on hävitatud. Seadetes saate oma andmed alla laadida, kui olete sisse logitud. Salvestatud failide kustutamine, salvestatud kirjete kustutamine või konto kustutamine nõuab teie parooli ja ühekordse koodi, mis saadetakse teie e-posti. Elavate tšekkide failid eemaldatakse Pariisi andmesalvestusest. Teenusepakkuja varukoopiad ei kustutata käsu alusel; kõik, mis on endiselt teie hävitatud võtmega krüpteeritud, jääb loetamata. Vähendatud raamatupidamisrida (period, number, kuupäev, suund ja summad, ilma nimede või failideta) võidakse säilitada konfigureeritava säilitamisaja jooksul. Tšekifailide koopiad säilitatakse 2 aastat dokumendi kuupäevast alates – eksportige see, mida vajate kauemaks.
Sõltumatud kontrollid
Need read on kuupäevade järgi tehtud hetktõmmised. Iga link avab sama avaliku skanneri, et saaksite kontrolli uuesti läbi viia.
Hinded on nendest kuupäevadest tehtud hetktõmmised. Punktid võivad muutuda. Need ei ole tunnistused ega garantiid.
Veebisait, andmebaas ja kviitungifailid jäävad Scaleway Pariisi (EL)
Kviitungifailid ja sellel lehel loetletud tundlikud väljad kasutavad teie konto andmevõtit (AES-256-GCM). Ühendused kasutavad ainult TLS-i.
Need failid ja väljad on kettal ja objektihoiustuses salvestatud krüpteeritud kujul – neid ei saa ilma teie kontovõtmeta lugeda.
Teie dokumente ei kasutata AI mudelite treenimiseks. Zero Data Retention is enabled for API calls on this organisation, on the EU endpoint (api.eu.mistral.ai); the provider keeps no copy of the request. API-päringute treening on jätkuvalt välja lülitatud (kinnitatud 17. oktoobril 2026).
Ei jälgimisküpsiseid, ei analüütikat, ei reklaami.
Kus teenus töötabScaleway, Pariis (EL), saidi, andmebaasi ja tšekkide failide jaoks. Tšekke loetakse EL-is. Tasulise plaani maksed lähevad Stripe'i, mis võib neid töödelda väljaspool EL-i. Dokumente ei kasutata AI-mudelite koolitamiseks.
Veebisait, API, PostgreSQL andmebaas ja kviitungifailid töötavad Scaleway Pariisi piirkonnas (Prantsusmaa, EL). Konto krüpteerimisvõtmeid hoiab rakendus seal, andmebaasist ja lähtekoodist väljaspool. Kviitungid loetakse läbi Mistrali EL lõpp-punkti. Rakendus keelab teised Mistrali hostid ja keelab igasuguse koolitusotstarbe. API-kõnedele koolitamine on Mistrali kontol välja lülitatud (kinnitatud 17. oktoobril 2026). Zero Data Retention is enabled for API calls on this organisation, on the EU endpoint (api.eu.mistral.ai). Makseteavet töötleb Stripe, kes võib selle üle kanda väljapoole ELi, sealhulgas Ameerika Ühendriikidesse ja Indiasse, kasutades selle privaatsuspoliitikaga kirjeldatud kaitsemeetmeid. Kaardi andmed sisestatakse Stripe lehel. Kviitungid ja raamatupidamise sisu ei saadeta Stripe.
Mis jääb andmebaasis loetavaksSellel lehel olevad isiku- ja rahandusalased väljad ning kviitungifailid on krüpteeritud. Kuupäev, periood, staatus ja valuuta jäävad loetavaks listide, tähtaegade ja arveldamise jaoks.
Sellel lehel loetletud isiku- ja rahalised väljad ning kviitungifailid on krüpteeritud. Kviitungi kuupäev, periood, staatus ja valuuta jäävad loetavaks, nii et rakendus saab loendeid sorteerida, meelde tuletada tähtaegu ja arveldusi käsitleda. Need loetavad andmed ei ole kviitungi nimed, summad ega fail.
Krüpteeritud väljadKuupäevad, staatused ja valuutakoodid ei ole krüpteeritud.
Konto
E-post, nimi
Business profiil
Õiguslik nimi, KMKR kood, ettevõtte kood, aadress, IBAN
Kviitungid
Tarnija nimi, tarnija KMKR ja registrikood, arve number, neto, KM ja brutomaht, KM read, ekstrakteeritud andmed, märkused, kohandatud kategooria, meeskonna kommentaar, pearaamatu konto, failinimed
Päevikukanded (dokumendi number, kirjeldus, summa); panga liinid (kirjeldus, summa); tuntud tarnijad (nimi, KMK kood, registrikood); FR0600 summad (väljad 29, 30, 31 ja 36); genereeritud maksude XML
Tunnistused
Failinimed, paroolid
Team kutsub
E-post
Teised teenused, mida rakendus kasutabScaleway (majutus ja väljaminev e-post), Hostinger (domeen ja postkasti), Mistral EL-is, Stripe tasuliste plaanide jaoks, VIES ja Leedu avatud andmete otsing.
Scaleway (Pariis, EL): veebisait, API, andmebaas, krüpteeritud kviitungifailid (objektide salvestus), logid ja väljaminev e-post. Konto krüpteerimisvõtmed hoitakse rakenduse poolt nende hostide peal.
Hostinger: domeen vectorinvoice.lt, selle DNS ja meilikastid, mis saavad meile saadetud e-kirju, näiteks tugipäringud.
Mistral, ainult läbi oma EL-i lõpp-punkti (api.eu.mistral.ai), saab lugeda tšekki, muuta ühe lause mustandiks või transkribeerida lühikest salvestust. Kood keeldub teiste Mistrali hostide ja failide ning agentide API-de kasutamisest. API andmetel põhinev treening on Mistrali kontol välja lülitatud (kinnitatud 17. oktoobril 2026). Zero Data Retention is enabled for API calls on this organisation, on the EU endpoint (api.eu.mistral.ai).
Stripe Payments Europe, Limited (Dublin, Iirimaa): tasuliste plaanide kassassejärgimine ja tellimused. Nimi, e-posti aadress, arveldusaadress ja makseandmed edastatakse Stripe-le. Kaardi numbrid sisestatakse Stripe lehele ega salvestata siia. Stripe võib makseandmeid edastada väljaspool EL-i.
Euroopa Komisjoni VIES-teenus, kui käibemaksukohustuslase number otsitakse ja otsing ei ole välja lülitatud.
Avatud andmestik saidil get.data.gov.lt, ettevõtte koodi jaoks, sama otsingu lüliti all.
TurvatestimineKoodi kontrollitakse automaatselt iga muudatuse puhul ja see vaadatakse läbi sise-penetratsioonitestides. Välist auditi või sertifikaati ei nõuta.
Iga muudatus käivitab automatiseeritud teste, turvalisuse enesekontrolli, staatilise analüüsi, sõltuvuste auditid ja koodi saladuste skaneerimise. Oktoobris 2026 viisime läbi rakenduse sisemised sissetungimistestid (koodiülevaade pluss põhjalikud kontrollid aktiivsel saidil), ja leiud töödeldi koodis. Need on meie enda testid, mitte sertifitseeritud kolmanda osapoole audit.
Haavatavuse teatamineSaada e-kiri aadressile support@vectorinvoice.lt. Meie security.txt loetleb sama kontakti.
Kui arvate, et olete leidnud turvaprobleemi, saatke e-kiri aadressile support@vectorinvoice.lt koos lühikese kirjelduse ja sammudega selle kordamiseks. Palun ärge pääsege teiste inimeste andmetele, tehke koormusteste (DoS) ega avaldage üksikasju enne, kui meil on olnud võimalus probleemi lahendada. Kontakt on samuti avaldatud aadressil /.well-known/security.txt.
Mida see leht ei väidaEi mingit sertifikaati ega välisauditit.
VectorInvoice ei oma ISO 27001, SOC 2 ega muid turvasertifikaate ning ükski väline audiitor ei ole seda hinnanud. Ülalmainitud turvatestid on sisemised. Zero Data Retention is enabled for API calls on this organisation, on the EU endpoint (api.eu.mistral.ai). Teenusepakkuja andmed on märgitud imprintis (/legal#imprint).
Küsimused
Kas teenus asub EL-is?
Jah. Veebisait, API, andmebaas ja kviitungifailid töötavad Scaleway-l Pariisis, Prantsusmaal. Kviitungid loetakse Mistrali EL-i lõpp-punkti kaudu.
Kas ma pean kasutama autentijat?
Mitte kliendina, kuid saate selle igal ajal Seadetes sisse lülitada. Hoidke taastamiskoodid kuskil turvaliselt. Administraatori ja töötajate kontod peavad ühte kasutama. E-posti kood ei asenda juba aktiveeritud autentijat.
Kas kviitungite fotod on krüpteeritud?
Jah. Iga kviitungifaili jaoks on oma võti, mis on teie konto andmevõtmega mähitud ja salvestatud krüpteeritult objektisalvestuses Pariisis. Isiklikud ja finantsandmete väljad on samuti krüpteeritud; kuupäevad, olekud ja valuutakoodid ei ole. Andmevõtit ei tuleta teie paroolist ja see hävitatakse konto kustutamisel. See on kirjeldus, mitte sertifikaat.
Kas ma saan oma andmed välja võtta või konto sulgeda?
Jah. Seadetes saate oma andmed alla laadida, salvestatud failid kustutada, salvestatud kirjed kustutada või konto kustutada. Iga kustutamine nõuab teie parooli ja e-posti teel saadetud ühe korra koodi; kood kehtib 10 minutit ja töötab ühe korra. Konto kustutamine kustutab failid ja kirjed, logib teid igal pool välja ning hävitab konto andmesalvestusvõtme, nii et krüpteeritud koopiad, sealhulgas varukoopiad, ei ole enam avatavad. Vähendatud raamatupidamise rida võidakse hoida konfigureeritava säilitustähtaja jooksul. Kviitungifailide koopiad hoitakse 2 aastat dokumendi kuupäevast; ekspordi kõik, mida soovite kauem säilitada.
Kas te treenite mudelit minu arvete peal?
Ei. Rakendus keelab igasuguse koolitusotstarbelise kasutamise kliendi sisuga ning API-päringute põhjal koolitamine on meie Mistrali kontol välja lülitatud (kinnitatud 17. oktoobril 2026). Arved, laused ja salvestised saadetakse ainult Mistrali EL-i lõpp-punkti ning ainult teie päringu töötlemiseks. Zero Data Retention is enabled for API calls on this organisation, on the EU endpoint (api.eu.mistral.ai).
Kas ma saan andmetöötluslepingu?
Jah. Andmetöötlusleping (DPA) on osa teenusetingimustest ja kehtib automaatselt. Saate selle lugeda ja alla laadida DPA lehel.
VectorInvoice