Jūsų kvitai lieka ES, perduodami užšifruoti ir atskirti nuo kitų paskyrų. Vieši skenavimo įvertinimai, įskaitant CryptCheck A+, rodomi šiame puslapyje—ne sertifikatas.
Atnaujinta 2026-10-24
Šifravimas
Jautrūs laukai ir kvitų failai šifruojami prieš išsaugojimą, kiekviena paskyra su savo raktu—diske ar atsarginėje kopijoje lieka tik šifretextas, ne skaitomas turinys.
Diskas ir perdavimasTLS perduodant duomenis
LaukaiPaskyros duomenų raktas
FailaiKiekvienam failui savas raktas
AES-256-GCM
Pagrindinis raktasapgaubia
Paskyros duomenų raktasapgaubia
Failo raktas
Ištrinti paskyrąSlaptažodis••••••••••••Kodas iš el. paštoIštrintiDuomenų raktas sunaikintas
Trys sluoksniai su atskirais raktais. Pagrindinis raktas apgaubia kiekvienos paskyros duomenų raktą, o šis apgaubia kiekvieno failo raktą.Visas tekstas
Net jei kas nors išimtų serverio diską ar laikytų seną atsarginę kopiją, jie negalėtų perskaityti jūsų kvitų ar jautrių laukų be paskyros duomenų rakto ir paslaugos pagrindinio rakto. Kvitų failai ir asmens bei finansiniai laukai programoje užšifruojami AES-256-GCM dar prieš juos išsaugant. Kiekviena paskyra turi savo duomenų raktą; kiekvienas kvito failas turi savo raktą, kurį užrakina tos paskyros raktas. Paskyros raktą užrakina pagrindinis raktas, laikomas ne duomenų bazėje ir ne programos kode (ne išvedamas iš slaptažodžio). Slaptažodžiai saugomi tik kaip Argon2id maišos. Ryšys su duomenų baze šifruojamas TLS. Objektų saugykla Paryžiuje laiko užantspauduotą šifruotą tekstą. Nauji failai naudoja VIENC2 formatą.
Dviejų veiksnių prisijungimas
Kiekvienai paskyrai galima įjungti autentifikavimo programėlę (TOTP) ir atkūrimo kodus. Administratoriams ir darbuotojams ji privaloma.
Visas tekstas
Bet kuri paskyra gali įjungti autentifikavimo programėlę (TOTP) ir gauti vienkartinius atkūrimo kodus. Kodas el. paštu yra papildomas pasirinkimas, o įjungus autentifikavimo programėlę jis nebepriimamas. Administratorių ir darbuotojų paskyros turi užregistruoti autentifikavimo programėlę, kad galėtų atidaryti administravimo sritį; naujo darbuotojo kvietime šis žingsnis jau įtrauktas.
Paskyros apsauga
Prisijungimo bandymai ribojami, slaptažodis atkuriamas vienkartine nuoroda, el. pašto keitimas patvirtinamas.
Visas tekstas
Slaptažodį turi sudaryti bent 12 simbolių, be to, jis tikrinamas pagal dažnų slaptažodžių sąrašą. Po kelių nesėkmingų bandymų prisijungti paskyra kuriam laikui užrakinama. Užklausų ribos bendros visiems serveriams ir saugomos duomenų bazėje; jei ribų patikrinti nepavyksta, prisijungimo, kodų, registracijos ir slaptažodžio atkūrimo užklausos atmetamos. Pamirštas slaptažodis atkuriamas vienkartine nuoroda, galiojančia 60 minučių; ja pasinaudojus atjungiamos visos sesijos. Mūsų darbuotojai gali išsiųsti jums atkūrimo nuorodą, bet nei nuorodos, nei jūsų slaptažodžio nemato. El. pašto adresui pakeisti reikia slaptažodžio ir kodo, išsiųsto naujuoju adresu, o po pakeitimo pranešimas siunčiamas ir senuoju, ir naujuoju adresu. Naujos paskyros el. pašto adresą patvirtina kodu.
Paskyrų atskyrimas
PostgreSQL eilučių lygio sauga (RLS) atskiria kiekvieno kliento įrašus, papildomai prie programos patikrų.
Visas tekstas
Kiekviena užklausa apribojama tomis paskyromis, kurioms ji priklauso. Be programos patikrų, PostgreSQL eilučių lygio saugos (row-level security) taisyklės pačioje duomenų bazėje kiekvieną užklausą apriboja tų paskyrų įrašais – tai antroji apsaugos linija. Mūsų darbuotojai negali atidaryti jūsų kvitų ar mokesčių įrašų, nebent suteikiate laikiną prieigą pagalbai, o kiekvienas tokios prieigos panaudojimas registruojamas.
Naršyklė ir ryšys
Tik HTTPS. Naršyklei nurodoma likti prie HTTPS (HSTS). Prisijungimo slapukas puslapio scenarijams nematomas (HttpOnly) ir siunčiamas tik per HTTPS (Secure). Pakeitimui reikia sutampančio žetono (CSRF). Turinio saugumo politika riboja, ką puslapis gali įkelti.
Visas tekstas
Svetainė ir API pasiekiami tik per HTTPS. Jie siunčia HSTS antraštę (Strict-Transport-Security): naršyklė turi likti prie HTTPS, įskaitant subdomenus ir su preload žyma. vectorinvoice.lt yra naršyklių HSTS preload sąraše. Sesija laikoma HttpOnly, Secure ir SameSite=Strict slapukuose, o ne naršyklės saugykloje: puslapio scenarijai sesijos slapuko negali perskaityti, ir jis siunčiamas tik per HTTPS. Kiekviena duomenis keičianti užklausa turi turėti CSRF žetoną (sutampančią reikšmę, kad kitas tinklalapis negalėtų pateikti pakeitimo), atitinkantį sesiją. Puslapiai siunčia turinio saugumo politiką (taisyklę, ką puslapis gali įkelti) su kiekvienai užklausai atskiru nonce (vienkartine reikšme) ir neleidžia savęs įterpti kitose svetainėse.
Audito žurnalas
Tik pildomas žurnalas: eilutėje yra veiksmas ir trumpa pastaba, kas pasikeitė, ne tiekėjų vardai ir ne kvitų sumos. Plano kaina gali būti įrašyta.
Visas tekstas
Audito žurnalas tik pildomas: duomenų bazė atmeta keitimą ir trynimą. Kiekviena eilutė saugo veiksmą, ką palietė, ir išvalytą JSON skirtumą—daugiausia laukų pavadinimus, būsenos kodus ir skaičius, ne tiekėjų vardus, el. pašto adresus ar kvitų sumas (gali pasitaikyti operacinių skaičių, pvz. planų kainų). Registruojami prisijungimai, nesėkmingi bandymai, originalų ir eksportų atsisiuntimai bei pagalbos prieiga.
Eksportas ir ištrynimas
Ištrynus paskyrą, atsarginėse kopijose likę duomenys nebėra skaitomi—sunaikinamas paskyros duomenų raktas. Nustatymuose duomenis galite atsisiųsti būdami prisijungę arba ištrinti failus, įrašus ar visą paskyrą. Kiekvienam trynimui reikia slaptažodžio ir vienkartinio kodo el. paštu.
Visas tekstas
Po ištrynimo atsarginėse kopijose likusių kopijų nebeįmanoma perskaityti, nes sunaikinamas paskyros duomenų raktas. Nustatymuose duomenis galite atsisiųsti būdami prisijungę. Failų, įrašų ar paskyros trynimas reikalauja slaptažodžio ir vienkartinio kodo el. paštu. Aktyvūs kvitų failai pašalinami iš saugyklos Paryžiuje. Teikėjo atsarginės kopijos ne ištrinamos pagal komandą; viskas, kas lieka užšifruota sunaikintu raktu, lieka neperskaitoma. Sutrumpinta apskaitos eilutė (laikotarpis, numeris, data, kryptis ir sumos, be vardų ir failų) gali būti saugoma nustatytą laikotarpį. Kvitų kopijos saugomos 2 metus nuo dokumento datos—eksportuokite tai, ko reikės ilgiau.
Nepriklausomos patikros
Šios eilutės – momentinės būsenos nurodytomis datomis. Nuoroda atidaro tą patį viešą skenerį, kad galėtumėte patikrą pakartoti.
Įvertinimai – momentinės būsenos tomis datomis. Balai gali keistis. Tai ne sertifikatai ir ne garantijos.
Svetainė, duomenų bazė ir kvitų failai lieka Scaleway Paryžiuje (ES).
Kvitų failai ir jautrūs laukai šiame puslapyje naudoja jūsų paskyros duomenų raktą (AES-256-GCM). Ryšys tik per TLS.
Šie failai ir laukai diske ir objektų saugykloje saugomi kaip šifretextas—be paskyros rakto neperskaitomi.
Jūsų dokumentai nenaudojami DI modeliams mokyti. Zero Data Retention iš Mistral (kai teikėjas neišsaugo užklausos kopijos) neprašyta, todėl Mistral gali ribotą laiką saugoti užklausą pagal savo sąlygas.
Jokių sekimo slapukų, jokios analitikos, jokios reklamos.
Kur veikia paslaugaScaleway, Paryžius (ES): svetainė, duomenų bazė ir kvitų failai. Kvitai skaitomi ES. Mokamų planų mokėjimai eina į Stripe, kuris gali juos tvarkyti ir už ES ribų. Dokumentai nenaudojami DI modeliams mokyti.
Svetainė, API, PostgreSQL duomenų bazė ir kvitų failai veikia Scaleway Paryžiaus regione (Prancūzija, ES). Paskyrų šifravimo raktai laikomi programoje, ne duomenų bazėje ir ne pirminiame kode. Kvitai nuskaitomi per Mistral ES galinį tašką. Programa atmeta kitus Mistral mazgus ir bet kokį mokymo tikslą. Mokymas pagal API iškvietimus Mistral paskyroje išjungtas (patvirtinta 2026 m. spalio 17 d.). Zero Data Retention neprašyta. Mokėjimo duomenis tvarko Stripe ir gali juos perduoti už ES ribų, taip pat į Jungtines Valstijas ir Indiją, pagal savo privatumo politikoje aprašytas apsaugos priemones. Kortelės duomenys įvedami Stripe puslapyje. Kvitai ir apskaitos turinys į Stripe nesiunčiami.
Kas duomenų bazėje lieka skaitomaŠiame puslapyje išvardyti asmens ir finansiniai laukai bei kvitų failai yra šifruojami. Data, laikotarpis, būsena ir valiuta lieka skaitomi sąrašams, terminams ir apmokestinimui.
Šiame puslapyje išvardyti asmens ir finansiniai laukai bei kvitų failai yra šifruojami. Kvito data, laikotarpis, būsena ir valiuta lieka skaitomi, kad programa galėtų rūšiuoti sąrašus, priminti terminus ir tvarkyti apmokestinimą. Šie skaitomi duomenys nėra kvito vardai, sumos ar failas.
Šifruojami laukaiDatos, būsenos ir valiutos kodai nešifruojami.
Paskyra
el. paštas, vardas
Veiklos profilis
juridinis pavadinimas, PVM kodas, įmonės kodas, adresas, IBAN
Kvitai
tiekėjo pavadinimas, tiekėjo PVM ir registracijos numeris, sąskaitos numeris, neto, PVM ir bruto sumos, PVM eilutės, ištraukti duomenys, pastabos, sava kategorija, komandos komentaras, žurnalo sąskaita, failų vardai
Išrašytos sąskaitos
numeris, pirkėjo vardas, kodas ir el. paštas, aprašymas, pastabos, eilutės, sumos
Apskaita
žurnalo įrašai (dokumento numeris, aprašymas, suma); banko eilutės (aprašymas, suma); žinomi tiekėjai (pavadinimas, PVM kodas, registracijos kodas); FR0600 sumos (29, 30, 31 ir 36 laukai); sugeneruotas mokesčių XML
Sertifikatai
failų vardai, slaptažodžiai
Komandos kvietimai
el. paštas
Kitos paslaugos, kurias naudoja programaScaleway (priegloba ir siunčiami laiškai), Hostinger (domenas ir pašto dėžutės), Mistral ES, Stripe mokamiems planams, VIES ir Lietuvos atvirų duomenų paieška.
Scaleway (Paryžius, ES): svetainė, API, duomenų bazė, šifruoti kvitų failai (objektų saugykla), žurnalai ir siunčiami el. laiškai. Paskyrų šifravimo raktai laikomi programoje šiuose serveriuose.
Hostinger: domenas vectorinvoice.lt, jo DNS ir pašto dėžutės, į kurias ateina mums siunčiami laiškai, pvz., pagalbos užklausos.
Mistral, tik per ES galinį tašką (api.eu.mistral.ai): kvitui nuskaityti, vienam sakiniui paversti juodraščiu arba trumpam įrašui transkribuoti. Kitus Mistral adresus ir failų bei agentų API programos kodas atmeta. Mistral paskyroje mokymas iš API duomenų išjungtas (patvirtinta 2026 m. spalio 17 d.). Nulinio duomenų saugojimo (Zero Data Retention) neprašyta.
Stripe Payments Europe, Limited (Dublinas, Airija): mokamų planų atsiskaitymas ir prenumeratos. Vardas, el. paštas, atsiskaitymo adresas ir mokėjimo duomenys perduodami Stripe. Kortelės numeris įvedamas Stripe puslapyje ir čia nesaugomas. Stripe gali perduoti mokėjimo duomenis už ES ribų.
Europos Komisijos VIES, kai tikrinamas PVM kodas ir patikra neišjungta.
Atviras rinkinys get.data.gov.lt įmonės kodui, su tuo pačiu jungikliu.
Saugumo testavimasKodas automatiškai tikrinamas po kiekvieno pakeitimo ir peržiūrimas vidiniais įsiskverbimo testais. Išorinio audito ar sertifikato netvirtiname.
Kiekvienam pakeitimui paleidžiami automatiniai testai, saugumo savitikra, statinė kodo analizė, priklausomybių patikra ir slaptųjų duomenų paieška kode. 2026 m. spalį atlikome vidinius programos įsiskverbimo testus (kodo peržiūrą ir atsargius veikiančios svetainės patikrinimus), o radiniai buvo sutvarkyti kode. Tai mūsų pačių testai, ne sertifikuotas trečiosios šalies auditas.
Pranešti apie pažeidžiamumąRašykite support@vectorinvoice.lt. Tas pats kontaktas nurodytas mūsų security.txt faile.
Jei manote radę saugumo problemą, parašykite support@vectorinvoice.lt: trumpai aprašykite, ką radote ir kaip tai pakartoti. Prašome nebandyti pasiekti kitų žmonių duomenų, nevykdyti apkrovos (DoS) testų ir neskelbti detalių, kol neturėjome galimybės problemos ištaisyti. Kontaktas taip pat paskelbtas adresu /.well-known/security.txt.
Ko šis puslapis netvirtinaJokio sertifikato ir jokio išorinio audito.
VectorInvoice neturi ISO 27001, SOC 2 ar kito saugumo sertifikato, ir paslaugos nevertino išorinis auditorius. Aukščiau minėti saugumo testai yra vidiniai. Nulinio duomenų saugojimo (Zero Data Retention) su Mistral neprašyta. Paslaugos teikėjo duomenys pateikti rekvizituose (/legal#imprint).
Klausimai
Ar paslauga talpinama ES?
Taip. Svetainė, API, duomenų bazė ir kvitų failai veikia Scaleway Paryžiuje, Prancūzijoje. Kvitai nuskaitomi per Mistral ES galinį tašką.
Ar privalau naudoti autentifikavimo programėlę?
Klientams tai neprivaloma, bet ją galite bet kada įjungti Nustatymuose. Atkūrimo kodus laikykite saugioje vietoje. Administratorių ir darbuotojų paskyroms ji privaloma. Kodas el. paštu nepakeičia jau įjungtos autentifikavimo programėlės.
Ar kvitų nuotraukos šifruojamos?
Taip. Kiekvienas kvito failas turi savo raktą, kurį užrakina jūsų paskyros duomenų raktas, ir saugomas užšifruotas objektų saugykloje Paryžiuje. Asmens ir finansiniai laukai taip pat šifruojami; datos, būsenos ir valiutų kodai – ne. Duomenų raktas nėra išvedamas iš jūsų slaptažodžio ir sunaikinamas ištrynus paskyrą. Tai aprašymas, ne sertifikatas.
Ar galiu išsinešti duomenis arba uždaryti paskyrą?
Taip. Nustatymuose galite atsisiųsti savo duomenis, ištrinti saugomus failus, ištrinti saugomus įrašus arba ištrinti paskyrą. Kiekvienam ištrynimui reikia slaptažodžio ir vienkartinio kodo el. paštu; kodas galioja 10 minučių ir tik vieną kartą. Ištrynus paskyrą ištrinami failai ir įrašai, atjungiamos visos sesijos ir sunaikinamas paskyros duomenų raktas, todėl šifruotų kopijų, įskaitant esančias atsarginėse kopijose, nebeįmanoma atidaryti. Sutrumpinta apskaitos eilutė gali būti saugoma nustatytą saugojimo laikotarpį. Kvitų failų kopijos saugomos 2 metus nuo dokumento datos; eksportuokite tai, ką norite saugoti ilgiau.
Ar mokote modelį mano sąskaitomis?
Ne. Programa atmeta bet kokią klientų turinio naudojimo mokymui paskirtį, o mūsų Mistral paskyroje mokymas iš API užklausų išjungtas (patvirtinta 2026 m. spalio 17 d.). Kvitai, sakiniai ir įrašai siunčiami tik į Mistral ES galinį tašką ir tik jūsų užklausai įvykdyti. Nulinio duomenų saugojimo (Zero Data Retention) neprašyta, todėl Mistral pagal savo sąlygas gali ribotą laiką saugoti užklausas.
Ar galiu gauti duomenų tvarkymo sutartį?
Taip. Duomenų tvarkymo sutartis (DPA) yra naudojimo sąlygų dalis ir taikoma automatiškai. Ją galite perskaityti ir atsisiųsti DPA puslapyje.
Duomenų tvarkymo sutartis (DPA) yra naudojimo sąlygų dalis ir taikoma automatiškai. Ją galite perskaityti ir atsisiųsti DPA puslapyje.
Netvirtiname, kad turime ISO 27001 ar SOC 2 sertifikatą, išorinio audito ataskaitą ar prieglobos ženklelį. Šis puslapis yra aprašymas, ne patvirtinimas.
VectorInvoice