Чеки остаются в ЕС, передаются в зашифрованном виде и отделены от других аккаунтов. Публичные оценки сканеров, включая CryptCheck A+, показаны на этой странице—это не сертификат.
Обновлено: 24 октября 2026 г.
Шифрование
Чувствительные поля и файлы чеков шифруются до сохранения, у каждого аккаунта свой ключ—на диске или в резервной копии только шифротекст, а не читаемое содержимое.
Диск и передачаTLS при передаче
ПоляКлюч данных аккаунта
ФайлыСвой ключ у каждого файла
AES-256-GCM
Главный ключоборачивает
Ключ данных аккаунтаоборачивает
Ключ файла
Удалить аккаунтПароль••••••••••••Код из письмаУдалитьКлюч данных уничтожен
Три слоя со своими ключами. Главный ключ оборачивает ключ данных каждого аккаунта, а тот оборачивает ключ каждого файла.Полный текст
Даже если кто-то извлёк диск сервера или сохранил старую резервную копию, он не смог бы прочитать ваши чеки или чувствительные поля без ключа данных аккаунта и главного ключа сервиса. Файлы чеков, а также персональные и финансовые поля шифруются в приложении алгоритмом AES-256-GCM до сохранения. У каждого аккаунта свой ключ данных; у каждого файла чека свой ключ, защищённый ключом этого аккаунта. Ключ аккаунта защищён главным ключом вне базы данных и исходного кода (не выводится из пароля). Пароли хранятся только как хеши Argon2id. Соединения с базой данных используют TLS. Объектное хранилище в Париже содержит запечатанный шифротекст. Новые файлы используют формат VIENC2.
Двухфакторный вход
Приложение-аутентификатор (TOTP) и коды восстановления доступны каждому аккаунту. Для администраторов и сотрудников он обязателен.
Полный текст
В любом аккаунте можно включить приложение-аутентификатор (TOTP) и получить одноразовые коды восстановления. Код по электронной почте доступен как необязательный второй шаг и перестаёт приниматься после включения аутентификатора. Аккаунты администраторов и сотрудников должны подключить аутентификатор, прежде чем открыть панель администратора; приглашение нового сотрудника включает этот шаг.
Защита аккаунта
Попытки входа ограничены, пароль сбрасывается одноразовой ссылкой, смена адреса электронной почты подтверждается.
Полный текст
Пароль должен содержать не менее 12 символов и проверяется по списку распространённых паролей. После нескольких неудачных попыток входа аккаунт на время блокируется. Ограничения частоты запросов общие для всех серверов и хранятся в базе данных; если эту проверку выполнить нельзя, запросы на вход, коды, регистрацию и сброс пароля отклоняются. Забытый пароль сбрасывается одноразовой ссылкой, которая действует 60 минут; её использование завершает все сеансы. Наши сотрудники могут отправить вам ссылку для сброса, но не видят ни ссылку, ни ваш пароль. Для смены адреса электронной почты нужны пароль и код, отправленный на новый адрес; после этого уведомление получают и старый, и новый адрес. Новые аккаунты подтверждают адрес электронной почты кодом.
Разделение аккаунтов
PostgreSQL row-level security разделяет записи каждого клиента в дополнение к проверкам в приложении.
Полный текст
Каждый запрос ограничен аккаунтами, к которым он относится. Помимо проверок в приложении, политики PostgreSQL row-level security (защита на уровне строк) ограничивают каждый запрос записями этих аккаунтов – это вторая линия защиты внутри самой базы данных. Наши сотрудники не могут открыть ваши чеки или налоговые записи, если вы не предоставите ограниченный по времени доступ для поддержки, и каждое использование такого доступа записывается в журнал.
Браузер и соединение
Только HTTPS. Браузеру указано оставаться на HTTPS (HSTS). Cookie входа скрыта от скриптов страницы (HttpOnly) и отправляется только по HTTPS (Secure). Для изменения нужен совпадающий токен (CSRF). Политика безопасности контента ограничивает, что страница может загружать.
Полный текст
Сайт и API доступны только по HTTPS. Они отправляют заголовок HSTS (Strict-Transport-Security): браузер должен оставаться на HTTPS, включая поддомены и с флагом preload. vectorinvoice.lt есть в списке HSTS preload браузеров. Сеанс хранится в cookie с флагами HttpOnly, Secure и SameSite=Strict, а не в хранилище браузера: скрипты страницы не могут прочитать cookie сеанса, и она отправляется только по HTTPS. Каждый запрос, изменяющий данные, должен содержать CSRF-токен (совпадающее значение, чтобы чужой сайт не мог отправить изменение), соответствующий сеансу. Страницы отправляют политику безопасности контента (правило, что страница может загружать) с отдельным nonce (одноразовым значением) для каждого запроса и не могут встраиваться на другие сайты.
Журнал аудита
Журнал только дополняется: в строке действие и короткая пометка об изменении, не имена поставщиков и не суммы чеков. Цена тарифа может попасть в запись.
Полный текст
Журнал аудита только дополняется: база отклоняет изменения и удаление. В каждой строке — действие, что затронуто, и очищенный JSON-diff: в основном имена полей, коды статуса и счётчики, не имена поставщиков, адреса электронной почты или суммы чеков (могут попадать операционные суммы, например цены планов). Регистрируются входы, неудачные попытки, скачивания оригиналов и экспортов и доступ поддержки.
Экспорт и удаление
После удаления аккаунта копии в резервных копиях больше нельзя прочитать—ключ данных аккаунта уничтожается. В настройках можно скачать данные, пока вы вошли, или удалить файлы, записи или весь аккаунт. Каждое удаление требует пароль и одноразовый код из почты.
Полный текст
После удаления копии в резервных копиях больше нельзя прочитать, потому что ключ данных аккаунта уничтожается. В настройках можно скачать данные, пока вы вошли в аккаунт. Удаление файлов, записей или аккаунта требует пароль и одноразовый код из почты. Активные файлы чеков удаляются из хранилища в Париже. Резервные копии провайдера не стираются по команде; всё, что остаётся зашифрованным уничтоженным ключом, остаётся нечитаемым. Сокращённая учётная строка (период, номер, дата, направление и суммы, без имён и файлов) может храниться настраиваемый срок. Копии файлов чеков хранятся 2 года с даты документа—экспортируйте то, что нужно дольше.
Независимые проверки
Строки — снимки на указанные даты. Ссылка открывает тот же публичный сканер, чтобы повторить проверку.
Оценки — снимки на эти даты. Баллы могут меняться. Это не сертификаты и не гарантии.
Сайт, база данных и файлы чеков остаются в Scaleway в Париже (ЕС).
Файлы чеков и чувствительные поля на этой странице используют ключ данных вашего аккаунта (AES-256-GCM). Соединения только через TLS.
Эти файлы и поля на диске и в объектном хранилище хранятся как шифротекст—без ключа аккаунта их не прочитать.
Ваши документы не используются для обучения моделей ИИ. Zero Data Retention у Mistral (поставщик не хранит копию запроса) не запрашивался, поэтому Mistral может ограниченное время хранить запрос по своим условиям.
Никаких отслеживающих cookie, аналитики и рекламы.
Где работает сервисScaleway, Париж (ЕС): сайт, база и файлы чеков. Чеки читаются в ЕС. Оплата платных тарифов идёт в Stripe, который может обрабатывать её и за пределами ЕС. Документы не используются для обучения моделей ИИ.
Сайт, API, база PostgreSQL и файлы чеков работают в Scaleway в регионе Париж (Франция, ЕС). Ключи шифрования аккаунтов хранит приложение, вне базы данных и исходного кода. Чеки распознаются через европейскую точку доступа Mistral. Приложение отклоняет другие узлы Mistral и любую цель обучения. Обучение на вызовах API в аккаунте Mistral выключено (подтверждено 17 октября 2026). Zero Data Retention не запрашивался. Платёжные данные обрабатывает Stripe и может передавать их за пределы ЕС, в том числе в США и Индию, с гарантиями, описанными в его политике конфиденциальности. Данные карты вводятся на странице Stripe. Чеки и содержание учёта в Stripe не отправляются.
Что остаётся читаемым в базеПеречисленные на этой странице личные и финансовые поля и файлы чеков зашифрованы. Дата, период, статус и валюта остаются читаемыми для списков, сроков и расчётов.
Перечисленные на этой странице личные и финансовые поля и файлы чеков зашифрованы. Дата чека, период, статус и валюта остаются читаемыми, чтобы приложение могло сортировать списки, напоминать о сроках и вести расчёты. Эти читаемые сведения — не имена, суммы и не файл чека.
Зашифрованные поляДаты, статусы и коды валют не шифруются.
Учётная запись
почта, имя
Профиль деятельности
юридическое имя, код НДС, код компании, адрес, IBAN
Чеки
название поставщика, НДС и регистрационный номер поставщика, номер счёта, суммы нетто, НДС и брутто, строки НДС, извлечённые данные, примечания, своя категория, комментарий команды, счёт журнала, имена файлов
Выставленные счета
номер, имя, код и почта покупателя, описание, примечания, строки, суммы
Учёт
проводки журнала (номер документа, описание, сумма); банковские строки (описание, сумма); известные поставщики (имя, код НДС, регистрационный код); суммы FR0600 (поля 29, 30, 31 и 36); сформированный налоговый XML
Сертификаты
имена файлов, пароли
Приглашения в команду
почта
Другие сервисы, которые использует приложениеScaleway (хостинг и исходящая почта), Hostinger (домен и почтовые ящики), Mistral в ЕС, Stripe для платных тарифов, VIES и поиск по открытым данным Литвы.
Scaleway (Париж, ЕС): сайт, API, база данных, зашифрованные файлы чеков (объектное хранилище), журналы и исходящая почта. Ключи шифрования аккаунтов хранит приложение на этих серверах.
Hostinger: домен vectorinvoice.lt, его DNS и почтовые ящики, куда приходят письма для нас, например обращения в поддержку.
Mistral, только через европейскую точку доступа (api.eu.mistral.ai): чтобы распознать чек, превратить одно предложение в черновик или расшифровать короткую запись. Код отклоняет другие хосты Mistral, а также API файлов и агентов. Обучение на данных API отключено в аккаунте Mistral (подтверждено 17 октября 2026 г.). Zero Data Retention (нулевое хранение данных) не запрашивалось.
Stripe Payments Europe, Limited (Дублин, Ирландия): оплата и подписки платных тарифов. Имя, почта, платёжный адрес и платёжные данные передаются в Stripe. Номер карты вводится на странице Stripe и здесь не хранится. Stripe может передавать платёжные данные за пределы ЕС.
Сервис VIES Европейской комиссии, когда проверяется номер НДС и проверка не выключена.
Открытый набор get.data.gov.lt для кода компании, под тем же переключателем.
Тестирование безопасностиКод автоматически проверяется при каждом изменении и проверяется во внутренних тестах на проникновение. Внешний аудит или сертификат мы не заявляем.
Каждое изменение проходит автоматические тесты, самопроверку безопасности, статический анализ, аудит зависимостей и поиск секретов в коде. В октябре 2026 г. мы провели внутренние тесты на проникновение (проверку кода и осторожные проверки работающего сайта), а найденные проблемы были исправлены в коде. Это наши собственные тесты, а не сертифицированный аудит третьей стороны.
Сообщить об уязвимостиПишите на support@vectorinvoice.lt. Тот же контакт указан в нашем файле security.txt.
Если вы считаете, что нашли проблему безопасности, напишите на support@vectorinvoice.lt с кратким описанием и шагами для воспроизведения. Пожалуйста, не обращайтесь к чужим данным, не проводите нагрузочные (DoS) тесты и не публикуйте подробности, пока мы не смогли устранить проблему. Контакт также опубликован по адресу /.well-known/security.txt.
Чего эта страница не утверждаетНет сертификата и нет внешнего аудита.
У VectorInvoice нет сертификата ISO 27001, SOC 2 или другого сертификата безопасности, и сервис не оценивался внешним аудитором. Упомянутые выше тесты безопасности – внутренние. Zero Data Retention у Mistral не запрашивалось. Реквизиты поставщика указаны в выходных данных (/legal#imprint).
Вопросы
Размещён ли сервис в ЕС?
Да. Сайт, API, база данных и файлы чеков работают в Scaleway в Париже, Франция. Чеки распознаются через европейскую точку доступа Mistral.
Обязательно ли использовать аутентификатор?
Для клиентов нет, но его можно включить в любой момент в Настройках. Храните коды восстановления в надёжном месте. Для аккаунтов администраторов и сотрудников он обязателен. Код по электронной почте не заменяет уже включённый аутентификатор.
Фото чеков зашифрованы?
Да. У каждого файла чека свой ключ, защищённый ключом данных вашего аккаунта, и он хранится в зашифрованном виде в объектном хранилище в Париже. Персональные и финансовые поля тоже шифруются; даты, статусы и коды валют – нет. Ключ данных не выводится из вашего пароля и уничтожается при удалении аккаунта. Это описание, а не сертификат.
Можно забрать данные или закрыть учётную запись?
Да. В Настройках можно скачать свои данные, удалить сохранённые файлы, удалить сохранённые записи или удалить аккаунт. Каждое удаление требует пароль и одноразовый код по электронной почте; код действует 10 минут и срабатывает один раз. Удаление аккаунта стирает файлы и записи, завершает все ваши сеансы и уничтожает ключ данных аккаунта, поэтому зашифрованные копии, в том числе в резервных копиях, больше нельзя открыть. Сокращённая учётная строка может храниться в течение настраиваемого срока. Копии файлов чеков хранятся 2 года с даты документа; экспортируйте то, что хотите хранить дольше.
Вы обучаете модель на моих счетах?
Нет. Приложение отклоняет любую цель обучения для контента клиентов, а обучение на вызовах API отключено в нашем аккаунте Mistral (подтверждено 17 октября 2026 г.). Чеки, предложения и записи отправляются только в европейскую точку доступа Mistral и только для выполнения вашего запроса. Zero Data Retention не запрашивалось, поэтому Mistral может ограниченное время хранить запросы по своим условиям.
Можно ли получить договор об обработке данных?
Да. Договор об обработке данных (DPA) является частью условий использования и применяется автоматически. Его можно прочитать и скачать на странице DPA.
VectorInvoice