Kas veikia šiandien: kur veikia paslauga, kaip šifruojami jūsų duomenys, kaip apsaugotos paskyros ir ko šis puslapis netvirtina. Tai aprašymas, ne sertifikatas ir ne audito ataskaita.
Atnaujinta 2026-10-22
Šifravimas
Kvitų failai ir asmens bei finansiniai laukai šifruojami AES-256-GCM. Kiekviena paskyra turi savo duomenų raktą.
Diskas ir perdavimasTLS perduodant duomenis
LaukaiPaskyros duomenų raktas
FailaiKiekvienam failui savas raktas
AES-256-GCM
Pagrindinis raktasapgaubia
Paskyros duomenų raktasapgaubia
Failo raktas
Ištrinti paskyrąSlaptažodis••••••••••••Kodas iš el. paštoIštrintiDuomenų raktas sunaikintas
Trys sluoksniai su atskirais raktais. Pagrindinis raktas apgaubia kiekvienos paskyros duomenų raktą, o šis apgaubia kiekvieno failo raktą.Visas tekstas
Kvitų failai ir asmens bei finansiniai laukai programoje užšifruojami AES-256-GCM dar prieš juos išsaugant. Kiekviena paskyra turi savo duomenų raktą. Kiekvienas kvito failas turi savo raktą, kurį užrakina tos paskyros raktas. Paskyros raktą užrakina pagrindinis raktas, kuris laikomas ne duomenų bazėje ir ne programos kode. Paskyros raktas nėra išvedamas iš jūsų slaptažodžio: pakeitus ar atkūrus slaptažodį duomenys lieka pasiekiami, o ištrynus paskyrą raktas sunaikinamas. Slaptažodžiai saugomi tik kaip Argon2id maišos. Ryšys su duomenų baze šifruojamas TLS.
Dviejų veiksnių prisijungimas
Kiekvienai paskyrai galima įjungti autentifikavimo programėlę (TOTP) ir atkūrimo kodus. Administratoriams ir darbuotojams ji privaloma.
Visas tekstas
Bet kuri paskyra gali įjungti autentifikavimo programėlę (TOTP) ir gauti vienkartinius atkūrimo kodus. Kodas el. paštu yra papildomas pasirinkimas, o įjungus autentifikavimo programėlę jis nebepriimamas. Administratorių ir darbuotojų paskyros turi užregistruoti autentifikavimo programėlę, kad galėtų atidaryti administravimo sritį; naujo darbuotojo kvietime šis žingsnis jau įtrauktas.
Paskyros apsauga
Prisijungimo bandymai ribojami, slaptažodis atkuriamas vienkartine nuoroda, el. pašto keitimas patvirtinamas.
Visas tekstas
Slaptažodį turi sudaryti bent 12 simbolių, be to, jis tikrinamas pagal dažnų slaptažodžių sąrašą. Po kelių nesėkmingų bandymų prisijungti paskyra kuriam laikui užrakinama. Užklausų ribos bendros visiems serveriams ir saugomos duomenų bazėje; jei ribų patikrinti nepavyksta, prisijungimo, kodų, registracijos ir slaptažodžio atkūrimo užklausos atmetamos. Pamirštas slaptažodis atkuriamas vienkartine nuoroda, galiojančia 60 minučių; ja pasinaudojus atjungiamos visos sesijos. Mūsų darbuotojai gali išsiųsti jums atkūrimo nuorodą, bet nei nuorodos, nei jūsų slaptažodžio nemato. El. pašto adresui pakeisti reikia slaptažodžio ir kodo, išsiųsto naujuoju adresu, o po pakeitimo pranešimas siunčiamas ir senuoju, ir naujuoju adresu. Naujos paskyros el. pašto adresą patvirtina kodu.
Paskyrų atskyrimas
PostgreSQL eilučių lygio sauga (RLS) atskiria kiekvieno kliento įrašus, papildomai prie programos patikrų.
Visas tekstas
Kiekviena užklausa apribojama tomis paskyromis, kurioms ji priklauso. Be programos patikrų, PostgreSQL eilučių lygio saugos (row-level security) taisyklės pačioje duomenų bazėje kiekvieną užklausą apriboja tų paskyrų įrašais – tai antroji apsaugos linija. Mūsų darbuotojai negali atidaryti jūsų kvitų ar mokesčių įrašų, nebent suteikiate laikiną prieigą pagalbai, o kiekvienas tokios prieigos panaudojimas registruojamas.
Naršyklė ir ryšys
HTTPS su HSTS, HttpOnly ir Secure sesijos slapukai, CSRF žetonai ir griežta turinio saugumo politika.
Visas tekstas
Svetainė ir API pasiekiami tik per HTTPS ir siunčia HSTS antraštę (Strict-Transport-Security, įskaitant subdomenus, be preload žymos). Sesija laikoma HttpOnly, Secure ir SameSite=Strict slapukuose, o ne naršyklės saugykloje. Kiekviena duomenis keičianti užklausa turi turėti sesiją atitinkantį CSRF žetoną. Puslapiai siunčia turinio saugumo politiką (CSP) su kiekvienai užklausai atskiru nonce ir neleidžia savęs įterpti kitose svetainėse.
Audito žurnalas
Žurnalas tik pildomas. Eilutėje lieka veiksmas ir skaičius, ne el. paštas ir ne suma.
Visas tekstas
Audito žurnalas tik pildomas: duomenų bazė atmeta keitimą ir trynimą. Eilutėje įrašomas veiksmas ir, kai reikia, skaičius ar lauko pavadinimas, bet ne jūsų el. paštas, sumos ar komentaro tekstas. Registruojami prisijungimai, nesėkmingi bandymai prisijungti, originalų ir eksporto failų atsisiuntimai bei pagalbos prieiga.
Eksportas ir ištrynimas
Nustatymuose galite eksportuoti duomenis arba ištrinti failus, įrašus ar visą paskyrą. Kiekvienam ištrynimui reikia slaptažodžio ir vienkartinio kodo el. paštu.
Visas tekstas
Suspausta kiekvieno kvito failo kopija saugoma 2 metus nuo dokumento datos; ištraukti laukai ir žurnalas lieka ir po to. Už tai, kad įrašai būtų saugomi tiek, kiek reikalauja teisės aktai, atsakote jūs, todėl eksportuokite tai, ko dar reikės. Nustatymuose galite atsisiųsti paskyros duomenis, ištrinti saugomus failus, ištrinti saugomus įrašus arba ištrinti paskyrą. Kiekvienam ištrynimui reikia dar kartą įvesti slaptažodį ir vienkartinį kodą, išsiųstą jūsų el. pašto adresu. Kvitų failai ištrinami ir iš objektų saugyklos Paryžiuje. Ištrynus paskyrą sunaikinamas ir jos duomenų raktas, todėl atsarginėse kopijose likusių šifruotų laukų ir failų nebeįmanoma atidaryti. Sutrumpinta apskaitos eilutė (laikotarpis, numeris, data, kryptis ir sumos, be vardų ir failų) gali būti saugoma nustatytą saugojimo laikotarpį. Ištrynimas tiesiogiai nepašalina paslaugų teikėjo atsarginių kopijų.
Patikros, kurias gali pakartoti kiekvienas
Du vieši skeneriai tikrina šią svetainę iš išorės. Žemiau – paskutiniai rezultatai, kuriuos patikrinome patys. Paspaudę nuorodą testą paleisite iš naujo.
Paskutinį kartą tikrinta 2026-10-20. Tai ne sertifikatas.
Duomenys lieka ES: Scaleway, Paryžiaus regionas.
Jautrūs laukai ir failai šifruojami (AES-256-GCM). Ryšys tik per TLS.
Duomenų bazė, jos žurnalai ir momentinės kopijos ES serveriuose papildomai šifruojami ramybės būsenoje (AES-256, raktus valdo prieglobos paslaugų teikėjas).
Jūsų dokumentai nenaudojami DI modeliams mokyti.
Jokių sekimo slapukų, jokios analitikos, jokios reklamos.
Kur veikia paslaugaScaleway, Paryžius (ES). Programa jūsų duomenis tvarko ES ir nenaudoja jų DI modeliams mokyti.
Svetainė, API, PostgreSQL duomenų bazė, kvitų failų saugykla ir šifravimo raktai veikia Scaleway Paryžiaus regione (Prancūzija, ES). Kvitai nuskaitomi per Mistral ES galinį tašką. Programa klientų duomenų nesiunčia už ES ribų ir niekada nenaudoja jų DI modeliams mokyti: ji atmeta bet kokią mokymo paskirtį, o Mistral paskyroje mokymas iš API užklausų išjungtas.
Kas duomenų bazėje lieka skaitomaDatos, būsenos ir valiutų kodai lieka skaitomi. Vardai ir sumos šifruojami.
Vardai, sąskaitų numeriai, sumos, PVM kodai ir iš kvito perskaitytas tekstas duomenų bazėje šifruojami. Prisijungimas naudoja vienkryptį el. pašto indeksą, pats adresas nesaugomas atvirai. Datos, būsenos ir valiutos kodai lieka skaitomi, kad būtų galima rodyti laikotarpį. Paieška pagal vardą vyksta programoje po iššifravimo ir tik toje paskyroje. Ištrynus paskyrą sutrumpinta saugojimo eilutė gali atvirai laikyti dokumento numerį, sumas, datą ir kryptį. Joje nelieka vardo, el. pašto ir failo.
Šifruojami laukaiDatos, būsenos ir valiutos kodai nešifruojami.
Paskyra
el. paštas, vardas
Veiklos profilis
juridinis pavadinimas, PVM kodas, įmonės kodas, adresas, IBAN
Kvitai
tiekėjo pavadinimas, tiekėjo PVM ir registracijos numeris, sąskaitos numeris, neto, PVM ir bruto sumos, PVM eilutės, ištraukti duomenys, pastabos, sava kategorija, komandos komentaras, žurnalo sąskaita, failų vardai
Išrašytos sąskaitos
numeris, pirkėjo vardas, kodas ir el. paštas, aprašymas, pastabos, eilutės, sumos
Apskaita
žurnalo įrašai (dokumento numeris, aprašymas, suma); banko eilutės (aprašymas, suma); žinomi tiekėjai (pavadinimas, PVM kodas, registracijos kodas); FR0600 sumos (29, 30, 31 ir 36 laukai); sugeneruotas mokesčių XML
Sertifikatai
failų vardai, slaptažodžiai
Komandos kvietimai
el. paštas
Kitos paslaugos, kurias naudoja programaScaleway (priegloba ir el. laiškai), Hostinger (domenas ir pašto dėžutės), Mistral ES, VIES ir Lietuvos atvirų duomenų paieška.
Scaleway (Paryžius, ES): svetainė, API, duomenų bazė, šifruoti kvitų failai (objektų saugykla), raktai ir slaptieji duomenys, žurnalai ir siunčiami el. laiškai.
Hostinger: domenas vectorinvoice.lt, jo DNS ir pašto dėžutės, į kurias ateina mums siunčiami laiškai, pvz., pagalbos užklausos.
Mistral, tik per ES galinį tašką (api.eu.mistral.ai): kvitui nuskaityti, vienam sakiniui paversti juodraščiu arba trumpam įrašui transkribuoti. Kitus Mistral adresus ir failų bei agentų API programos kodas atmeta. Mistral paskyroje mokymas iš API duomenų išjungtas (patvirtinta 2026 m. spalio 17 d.). Nulinio duomenų saugojimo (Zero Data Retention) neprašyta.
Europos Komisijos VIES, kai tikrinamas PVM kodas ir patikra neišjungta.
Atviras rinkinys get.data.gov.lt įmonės kodui, su tuo pačiu jungikliu.
Saugumo testavimasKodas automatiškai tikrinamas po kiekvieno pakeitimo ir peržiūrimas vidiniais įsiskverbimo testais. Išorinio audito ar sertifikato netvirtiname.
Kiekvienam pakeitimui paleidžiami automatiniai testai, saugumo savitikra, statinė kodo analizė, priklausomybių patikra ir slaptųjų duomenų paieška kode. 2026 m. spalį atlikome vidinius programos įsiskverbimo testus (kodo peržiūrą ir atsargius veikiančios svetainės patikrinimus), o radiniai buvo sutvarkyti kode. Tai mūsų pačių testai, ne sertifikuotas trečiosios šalies auditas.
Pranešti apie pažeidžiamumąRašykite support@vectorinvoice.lt. Tas pats kontaktas nurodytas mūsų security.txt faile.
Jei manote radę saugumo problemą, parašykite support@vectorinvoice.lt: trumpai aprašykite, ką radote ir kaip tai pakartoti. Prašome nebandyti pasiekti kitų žmonių duomenų, nevykdyti apkrovos (DoS) testų ir neskelbti detalių, kol neturėjome galimybės problemos ištaisyti. Kontaktas taip pat paskelbtas adresu /.well-known/security.txt.
Ko šis puslapis netvirtinaJokio sertifikato ir jokio išorinio audito.
VectorInvoice neturi ISO 27001, SOC 2 ar kito saugumo sertifikato, ir paslaugos nevertino išorinis auditorius. Aukščiau minėti saugumo testai yra vidiniai. Nulinio duomenų saugojimo (Zero Data Retention) su Mistral neprašyta. Paslaugos teikėjo duomenys pateikti rekvizituose (/legal#imprint).
Klausimai
Ar paslauga talpinama ES?
Taip. Svetainė, API, duomenų bazė ir kvitų failai veikia Scaleway Paryžiuje, Prancūzijoje. Kvitai nuskaitomi per Mistral ES galinį tašką.
Ar privalau naudoti autentifikavimo programėlę?
Klientams tai neprivaloma, bet ją galite bet kada įjungti Nustatymuose. Atkūrimo kodus laikykite saugioje vietoje. Administratorių ir darbuotojų paskyroms ji privaloma. Kodas el. paštu nepakeičia jau įjungtos autentifikavimo programėlės.
Ar kvitų nuotraukos šifruojamos?
Taip. Kiekvienas kvito failas turi savo raktą, kurį užrakina jūsų paskyros duomenų raktas, ir saugomas užšifruotas objektų saugykloje Paryžiuje. Asmens ir finansiniai laukai taip pat šifruojami; datos, būsenos ir valiutų kodai – ne. Duomenų raktas nėra išvedamas iš jūsų slaptažodžio ir sunaikinamas ištrynus paskyrą. Tai aprašymas, ne sertifikatas.
Ar galiu išsinešti duomenis arba uždaryti paskyrą?
Taip. Nustatymuose galite atsisiųsti savo duomenis, ištrinti saugomus failus, ištrinti saugomus įrašus arba ištrinti paskyrą. Kiekvienam ištrynimui reikia slaptažodžio ir vienkartinio kodo el. paštu; kodas galioja 10 minučių ir tik vieną kartą. Ištrynus paskyrą ištrinami failai ir įrašai, atjungiamos visos sesijos ir sunaikinamas paskyros duomenų raktas, todėl šifruotų kopijų, įskaitant esančias atsarginėse kopijose, nebeįmanoma atidaryti. Sutrumpinta apskaitos eilutė gali būti saugoma nustatytą saugojimo laikotarpį. Kvitų failų kopijos saugomos 2 metus nuo dokumento datos; eksportuokite tai, ką norite saugoti ilgiau.
Ar mokote modelį mano sąskaitomis?
Ne. Programa atmeta bet kokią klientų turinio naudojimo mokymui paskirtį, o mūsų Mistral paskyroje mokymas iš API užklausų išjungtas (patvirtinta 2026 m. spalio 17 d.). Kvitai, sakiniai ir įrašai siunčiami tik į Mistral ES galinį tašką ir tik jūsų užklausai įvykdyti. Nulinio duomenų saugojimo (Zero Data Retention) neprašyta, todėl Mistral pagal savo sąlygas gali ribotą laiką saugoti užklausas.
Ar galiu gauti duomenų tvarkymo sutartį?
Taip. Duomenų tvarkymo sutartis (DPA) yra naudojimo sąlygų dalis ir taikoma automatiškai. Ją galite perskaityti ir atsisiųsti DPA puslapyje.
Duomenų tvarkymo sutartis
Duomenų tvarkymo sutartis (DPA) yra naudojimo sąlygų dalis ir taikoma automatiškai. Ją galite perskaityti ir atsisiųsti DPA puslapyje.
Netvirtiname, kad turime ISO 27001 ar SOC 2 sertifikatą, išorinio audito ataskaitą ar prieglobos ženklelį. Šis puslapis yra aprašymas, ne patvirtinimas.
VectorInvoice