VectorInvoicePrywatność
Polityka prywatności
25 października 2026.
Ta strona opisuje, jak VectorInvoice przetwarza dane osobowe. Opisuje tę usługę tak, jak jest zbudowana. To nie jest porada prawna i nie jest poradą podatkową.
Kto prowadzi tę usługę
Administratorem jest Alexander Mauz, działalność indywidualna na Litwie, nr zaświadczenia („individuali veikla“) 1174510, Vytauto g. 8-37, LT-66130 Druskininkai, Litwa, numer VAT LT100015222816, e-mail support@vectorinvoice.lt. Inspektor ochrony danych nie jest wskazany. Operator ma siedzibę na Litwie, więc przedstawiciel z art. 27 nie jest wskazany.
Administrator i podmiot przetwarzający
Dla konta, strony i dzienników bezpieczeństwa operatorem jest administrator. Dla plików i pól faktur, które wgrywa klient, klient jest administratorem, a operator podmiotem przetwarzającym na podstawie art. 28. Umowa powierzenia jest częścią regulaminu i jest przyjmowana razem z nim. Jest opublikowana na stronie DPA. Administrator zespołu decyduje o przetwarzaniu w tym zespole. Usługodawca nie jest pracodawcą członków zespołu; klient decyduje, kto ma dostęp.
Co jest przechowywane
E-mail konta, imię, skrót hasła (Argon2id) i opcjonalny sekret aplikacji uwierzytelniającej. Nazwa planu i stan rozliczenia. Dla planów płatnych: nazwa rozliczeniowa, e-mail, adres, numer VAT jeśli go podasz, identyfikatory klienta i subskrypcji Stripe oraz kwoty faktur, okresy i stan płatności. Dane karty i inne dane płatności wpisuje się na stronie Stripe i przechowuje Stripe; VectorInvoice nie otrzymuje numeru karty. Obrazy paragonów i odczytane pola. Nazwa dostawcy, numer faktury, kwoty, nazwa nabywcy, tekst pozycji, numery VAT, adresy, IBAN, kody nabywcy, e-maile nabywcy i plik paragonu są szyfrowane AES-256-GCM. Kod firmy, numer VAT albo numer działalności podany przy rejestracji jest przechowywany zaszyfrowany. Kod osobisty, gdy go wpiszesz, jest zaszyfrowany i API nie zwraca go w całości. Plik i.MAS i jego hasło, gdy je wgrasz, są zaszyfrowane; wysyłka do produkcyjnego punktu VMI jest odmawiana. Lista oczekujących na start zapisuje e-mail po twoim potwierdzeniu. Identyfikator urządzenia pierwszej strony jest trzymany w przeglądarce do logowania na urządzeniu firmowym. Dane Shopify są czytane tylko wtedy, gdy połączysz sklep. Jeden okres próbny na adres e-mail jest egzekwowany indeksem ślepym, nie samym adresem. Dostęp księgowego to zaproszenie, które możesz cofnąć. Publiczne liczby, gdy przełącznik jest włączony, są zbiorami, które ukrywają małe grupy. Formularz kontaktowy zapisuje imię, e-mail i wiadomość jako zgłoszenie. E-maile zaproszeń do zespołu i komentarze recenzji. Dziennik audytu tylko do dopisywania trzyma czynność i licznik, nie e-mail, kwotę ani tekst wolny. Wsparcie otwiera faktury tylko po twojej zgodzie na ograniczony czas. Podpowiedzi z automatycznego odczytu są do twojej kontroli. To nie jest decyzja o tobie w rozumieniu art. 22.
Po co
Aby otworzyć i prowadzić konto, pokazywać wgrane faktury, podpowiadać pola gdy jest ustawiony klucz Mistral, przygotowywać pliki do pobrania i przyjmować płatność za plan. E-mail, hasło i identyfikator firmy są wymagane, aby otworzyć konto. Konto, subskrypcja i rozliczenia są przetwarzane, bo jest to niezbędne do umowy na podstawie art. 6 ust. 1 lit. b (zobacz regulamin). Przechowywanie faktur i zapisów rozliczeniowych, których wymaga rachunkowość i prawo podatkowe, opiera się na art. 6 ust. 1 lit. c. Dzienniki bezpieczeństwa, zapobieganie nadużyciom i dziennik audytu są prawnie uzasadnionym interesem na podstawie art. 6 ust. 1 lit. f: zabezpieczenie usługi. Lista oczekujących korzysta z twojej zgody na podstawie art. 6 ust. 1 lit. a. Zgody możesz nie udzielić, nie potwierdzając e-maila, albo poprosić o usunięcie adresu. Automatyczny odczyt podpowiada pola do sprawdzenia. Nie wywołuje skutku prawnego wobec ciebie.
Kto otrzymuje dane
Scaleway SAS, 8 rue de la Ville l'Évêque, 75008 Paris, Francja (region fr-par, UE) utrzymuje stronę, API, bazę i pliki oraz wysyła pocztę wychodzącą. Hostinger (UE) zapewnia domenę, DNS, skrzynki, które odbierają pocztę do nas, oraz pocztę paragonów, gdy ten moduł jest włączony. Mistral AI SAS, 15 rue des Halles, 75001 Paris, Francja, otrzymuje paragon, zdanie albo krótkie nagranie tylko gdy jest ustawiony klucz API i tylko przez punkt końcowy w UE. Usługa VIES Komisji Europejskiej i litewski zbiór danych otwartych get.data.gov.lt są wywoływane, gdy sprawdzany jest numer VAT albo kod firmy i wyszukiwanie nie jest wyłączone. Stripe Payments Europe, Limited (Dublin, Irlandia) obsługuje płatności za plany płatne. Stripe otrzymuje imię, e-mail, adres rozliczeniowy, numer VAT jeśli podany oraz dane płatności wpisane w Stripe Checkout, aby zrealizować płatność na podstawie art. 6 ust. 1 lit. b. Stripe przetwarza część tych danych także jako samodzielny administrator, na przykład w celu zapobiegania oszustwom i obowiązków prawnych, według swojej polityki prywatności https://stripe.com/privacy. Żaden dostawca analityki nie jest podłączony. Dane klientów nie są sprzedawane. Formularz kontaktowy zapisuje imię, e-mail i wiadomość jako zgłoszenie. Odpowiedź pracownika idzie na adres z formularza.
Gdzie odbywa się przetwarzanie
Strona, API, baza, magazyn plików i poczta wychodząca działają w Scaleway w regionie Paryża (UE). Skrzynki poczty przychodzącej są w Hostinger (UE). Wywołania Mistral idą na https://api.eu.mistral.ai. Kod odmawia hosta w Stanach Zjednoczonych, hosta globalnego api.mistral.ai oraz API plików i agentów. Mistral podaje, że metadane konta i rozliczeń mogą leżeć poza regionem wnioskowania. Rezygnacja z trenowania jest aktywna według potwierdzenia z 17 października 2026. Zero Data Retention nie było wnioskowane. Stripe może przekazywać dane płatności poza UE, w tym do Stanów Zjednoczonych i Indii. Stripe podaje, że stosuje EU-U.S. Data Privacy Framework (Stripe, LLC), standardowe klauzule umowne UE albo inne zgodne z prawem mechanizmy (https://stripe.com/privacy).
Jak długo
Skompresowana kopia każdego pliku paragonu jest trzymana 2 lata od daty dokumentu (730 dni, ustawialne). Odczytane pola i dziennik zostają po usunięciu tej kopii pliku. Przypomnienia e-mailem i w aplikacji są wysyłane 60 i 14 dni przed tym usunięciem, z eksportem ZIP jednym kliknięciem. Po anulowaniu albo po końcu okresu próbnego konto jest tylko do odczytu i dane możesz eksportować przez 30 dni. Po tym oknie dane konta są usuwane, z wyjątkiem skróconego wiersza, który może być trzymany przez okno ustawione w aplikacji (domyślnie 10 lat): okres, kierunek, numer dokumentu, data i kwoty. Nie plik, nie nazwa, nie adres i nie notatki. To okno jest ustawieniem aplikacji. Przechowywanie własnych kopii księgowych należy do ciebie. To nie jest porada podatkowa. W ustawieniach możesz też pobrać dane konta, usunąć pliki, usunąć zapisy albo usunąć konto. Każde usunięcie znów prosi o hasło i jednorazowy kod e-mail. Przycisk nie kasuje kopii zapasowych dostawcy, migawek dysku, wolnego miejsca w bazie zanim zostanie odzyskane, już wysłanej poczty ani dziennika audytu. Logiczne kopie bazy nie są szyfrowaniem woluminu; szyfrogram pól i plików pozostaje szyfrogramem. Zapisy rozliczeniowe (faktury, kwoty, okresy, stan płatności i identyfikatory Stripe) są trzymane przez czas umowy i potem tak długo, jak wymaga rachunkowość i prawo podatkowe; potem są usuwane. Stripe trzyma dane płatności według własnych zasad.
Bezpieczeństwo
AES-256-GCM dla pól i plików wymienionych wyżej. Hasła używają Argon2id. Ciasteczka sesji są httpOnly poza ciasteczkiem CSRF, SameSite=Strict, a w produkcji zawsze Secure. Konta administratorów w produkcji muszą włączyć aplikację uwierzytelniającą. Serwer nie wstanie, jeśli ta reguła jest wyłączona. Baza to zarządzany PostgreSQL Scaleway w Paryżu, z szyfrowaniem woluminu w spoczynku. Logiczne kopie zapasowe istnieją w tej usłudze. Wewnętrzne testy penetracyjne wykonano w październiku 2026. Ta strona nie zgłasza certyfikatu ISO ani raportu SOC.
Twoje prawa
Możesz żądać dostępu, sprostowania, usunięcia, ograniczenia i sprzeciwu, gdy przetwarzanie opiera się na prawnie uzasadnionym interesie. Kopię danych konta możesz pobrać w ustawieniach (art. 20). Zgodę na listę oczekujących możesz wycofać. Gdy operator jest administratorem, możesz złożyć skargę do Państwowej Inspekcji Ochrony Danych (VDAI) na Litwie oraz do organu miejsca zamieszkania, miejsca pracy albo miejsca domniemanego naruszenia. Gdy ty jesteś administratorem treści faktury, operator działa jako podmiot przetwarzający i kieruje wniosek do ciebie. W sprawach, które nie używają przycisków w ustawieniach, napisz na support@vectorinvoice.lt albo na adres pocztowy powyżej.
Anonimowe statystyki
Gdy ten przełącznik jest włączony, strona i aplikacja liczą odsłony bez ciasteczka i bez skryptu innej firmy. Gdy serwer pośredni przysyła nagłówek kraju, używany jest ten kraj. W pozostałych przypadkach kraj pochodzi z lokalnej bazy samych krajów w pamięci (IP Geolocation by DB-IP, https://db-ip.com/, licencja CC BY 4.0, https://creativecommons.org/licenses/by/4.0/). Adres IP jest odczytywany z pierwszego wpisu X-Forwarded-For, używany do tego sprawdzenia i do kodu jednego dnia, a zaraz potem odrzucany. Adres IP i nazwa przeglądarki nie są przechowywane. Odwiedzający jest rozpoznawany przez jeden dzień za pomocą soli, która następnego dnia się zmienia i tego samego dnia jest usuwana. Zostają sumy: data, grupa stron, kraj, rodzaj urządzenia, domena odsyłająca i czy osoba była zalogowana. Krótka lista dziennych kodów odwiedzających jest usuwana w ciągu 24 godzin. Przeglądarka, która wysyła Do Not Track albo Global Privacy Control, jest pomijana. To nie jest reklama i to nie jest profil osoby.
Dzieci
Usługa jest dla osób, które prowadzą firmę albo działalność indywidualną. Nie jest skierowana do dzieci.
Zmiany
Data u góry jest datą tego tekstu. Gdy nowa wersja regulaminu, umowy powierzenia albo tej polityki wymaga akceptacji, aplikacja prosi o nią przed kontynuacją.