Что работает сегодня: где работает сервис, как шифруются ваши данные, как защищены аккаунты и чего эта страница не утверждает. Это описание, а не сертификат и не отчёт об аудите.
Обновлено: 22 октября 2026 г.
Шифрование
Файлы чеков, а также персональные и финансовые поля шифруются алгоритмом AES-256-GCM. У каждого аккаунта свой ключ данных.
Диск и передачаTLS при передаче
ПоляКлюч данных аккаунта
ФайлыСвой ключ у каждого файла
AES-256-GCM
Главный ключоборачивает
Ключ данных аккаунтаоборачивает
Ключ файла
Удалить аккаунтПароль••••••••••••Код из письмаУдалитьКлюч данных уничтожен
Три слоя со своими ключами. Главный ключ оборачивает ключ данных каждого аккаунта, а тот оборачивает ключ каждого файла.Полный текст
Файлы чеков, а также персональные и финансовые поля шифруются в приложении алгоритмом AES-256-GCM до сохранения. У каждого аккаунта свой ключ данных. У каждого файла чека свой ключ, защищённый ключом этого аккаунта. Ключ аккаунта защищён главным ключом, который хранится вне базы данных и вне исходного кода. Ключ аккаунта не выводится из вашего пароля: смена или сброс пароля не блокируют доступ к данным, а удаление аккаунта уничтожает ключ. Пароли хранятся только в виде хешей Argon2id. Соединения с базой данных используют TLS.
Двухфакторный вход
Приложение-аутентификатор (TOTP) и коды восстановления доступны каждому аккаунту. Для администраторов и сотрудников он обязателен.
Полный текст
В любом аккаунте можно включить приложение-аутентификатор (TOTP) и получить одноразовые коды восстановления. Код по электронной почте доступен как необязательный второй шаг и перестаёт приниматься после включения аутентификатора. Аккаунты администраторов и сотрудников должны подключить аутентификатор, прежде чем открыть панель администратора; приглашение нового сотрудника включает этот шаг.
Защита аккаунта
Попытки входа ограничены, пароль сбрасывается одноразовой ссылкой, смена адреса электронной почты подтверждается.
Полный текст
Пароль должен содержать не менее 12 символов и проверяется по списку распространённых паролей. После нескольких неудачных попыток входа аккаунт на время блокируется. Ограничения частоты запросов общие для всех серверов и хранятся в базе данных; если эту проверку выполнить нельзя, запросы на вход, коды, регистрацию и сброс пароля отклоняются. Забытый пароль сбрасывается одноразовой ссылкой, которая действует 60 минут; её использование завершает все сеансы. Наши сотрудники могут отправить вам ссылку для сброса, но не видят ни ссылку, ни ваш пароль. Для смены адреса электронной почты нужны пароль и код, отправленный на новый адрес; после этого уведомление получают и старый, и новый адрес. Новые аккаунты подтверждают адрес электронной почты кодом.
Разделение аккаунтов
PostgreSQL row-level security разделяет записи каждого клиента в дополнение к проверкам в приложении.
Полный текст
Каждый запрос ограничен аккаунтами, к которым он относится. Помимо проверок в приложении, политики PostgreSQL row-level security (защита на уровне строк) ограничивают каждый запрос записями этих аккаунтов – это вторая линия защиты внутри самой базы данных. Наши сотрудники не могут открыть ваши чеки или налоговые записи, если вы не предоставите ограниченный по времени доступ для поддержки, и каждое использование такого доступа записывается в журнал.
Браузер и соединение
HTTPS с HSTS, сессионные cookie HttpOnly и Secure, CSRF-токены и строгая политика безопасности контента.
Полный текст
Сайт и API доступны только по HTTPS и отправляют заголовок HSTS (Strict-Transport-Security, включая поддомены, без флага preload). Сеанс хранится в cookie с флагами HttpOnly, Secure и SameSite=Strict, а не в хранилище браузера. Каждый запрос, изменяющий данные, должен содержать CSRF-токен, соответствующий сеансу. Страницы отправляют политику безопасности контента (CSP) с отдельным nonce для каждого запроса и не могут встраиваться на другие сайты.
Журнал аудита
Журнал только дополняется. В строке остаются действие и число, не почта и не сумма.
Полный текст
Журнал аудита можно только дополнять: база данных отклоняет изменения и удаления. В строке записываются действие и, при необходимости, число или название поля, но не ваш адрес электронной почты, суммы или текст комментария. Записываются входы, неудачные попытки входа, скачивания оригиналов и экспортов, а также доступ поддержки.
Экспорт и удаление
В Настройках можно экспортировать данные или удалить файлы, записи или весь аккаунт. Каждое удаление требует пароль и одноразовый код по электронной почте.
Полный текст
Сжатая копия каждого файла чека хранится 2 года с даты документа; извлечённые поля и журнал остаются и после этого. Хранить документы столько, сколько требует закон, – ваша обязанность, поэтому экспортируйте то, что вам ещё нужно. В Настройках можно скачать свои данные, удалить сохранённые файлы, удалить сохранённые записи или удалить аккаунт. Каждое удаление требует повторно ввести пароль и одноразовый код, отправленный на ваш адрес электронной почты. Файлы чеков удаляются в том числе из объектного хранилища в Париже. Удаление аккаунта уничтожает и его ключ данных, поэтому зашифрованные поля и файлы, оставшиеся в резервной копии, больше нельзя открыть. Сокращённая учётная строка (период, номер, дата, направление и суммы, без имён и файлов) может храниться в течение настраиваемого срока. Удаление не стирает напрямую резервные копии провайдера.
Проверки, которые может повторить любой
Два публичных сканера проверяют этот сайт снаружи. Ниже — последние результаты, которые мы проверили сами. По ссылке тест можно запустить заново.
Где работает сервисScaleway, Париж (ЕС). Приложение обрабатывает ваши данные в ЕС и не использует их для обучения моделей ИИ.
Сайт, API, база данных PostgreSQL, хранилище файлов чеков и ключи шифрования работают в Scaleway в регионе Париж (Франция, ЕС). Чеки распознаются через европейскую точку доступа Mistral. Приложение не отправляет данные клиентов за пределы ЕС и никогда не использует их для обучения моделей ИИ: оно отклоняет любую цель обучения, а обучение на вызовах API отключено в аккаунте Mistral.
Что остаётся читаемым в базеДаты, статусы и коды валют остаются читаемыми. Имена и суммы зашифрованы.
Имена, номера счетов, суммы, номера НДС и текст, прочитанный с чека, в базе зашифрованы. Вход использует односторонний индекс почты, сам адрес не хранится открыто. Даты, статусы и коды валют остаются читаемыми, чтобы список мог показать период. Поиск по имени идёт в приложении после расшифровки и только внутри этой учётной записи. После удаления учётной записи сокращённая строка хранения может открыто хранить номер документа, суммы, дату и направление. В ней не остаётся имени, почты и файла.
Зашифрованные поляДаты, статусы и коды валют не шифруются.
Учётная запись
почта, имя
Профиль деятельности
юридическое имя, код НДС, код компании, адрес, IBAN
Чеки
название поставщика, НДС и регистрационный номер поставщика, номер счёта, суммы нетто, НДС и брутто, строки НДС, извлечённые данные, примечания, своя категория, комментарий команды, счёт журнала, имена файлов
Выставленные счета
номер, имя, код и почта покупателя, описание, примечания, строки, суммы
Учёт
проводки журнала (номер документа, описание, сумма); банковские строки (описание, сумма); известные поставщики (имя, код НДС, регистрационный код); суммы FR0600 (поля 29, 30, 31 и 36); сформированный налоговый XML
Сертификаты
имена файлов, пароли
Приглашения в команду
почта
Другие сервисы, которые использует приложениеScaleway (хостинг и почта), Hostinger (домен и почтовые ящики), Mistral в ЕС, VIES и поиск по открытым данным Литвы.
Scaleway (Париж, ЕС): сайт, API, база данных, зашифрованные файлы чеков (объектное хранилище), ключи и секреты, журналы и исходящая почта.
Hostinger: домен vectorinvoice.lt, его DNS и почтовые ящики, куда приходят письма для нас, например обращения в поддержку.
Mistral, только через европейскую точку доступа (api.eu.mistral.ai): чтобы распознать чек, превратить одно предложение в черновик или расшифровать короткую запись. Код отклоняет другие хосты Mistral, а также API файлов и агентов. Обучение на данных API отключено в аккаунте Mistral (подтверждено 17 октября 2026 г.). Zero Data Retention (нулевое хранение данных) не запрашивалось.
Сервис VIES Европейской комиссии, когда проверяется номер НДС и проверка не выключена.
Открытый набор get.data.gov.lt для кода компании, под тем же переключателем.
Тестирование безопасностиКод автоматически проверяется при каждом изменении и проверяется во внутренних тестах на проникновение. Внешний аудит или сертификат мы не заявляем.
Каждое изменение проходит автоматические тесты, самопроверку безопасности, статический анализ, аудит зависимостей и поиск секретов в коде. В октябре 2026 г. мы провели внутренние тесты на проникновение (проверку кода и осторожные проверки работающего сайта), а найденные проблемы были исправлены в коде. Это наши собственные тесты, а не сертифицированный аудит третьей стороны.
Сообщить об уязвимостиПишите на support@vectorinvoice.lt. Тот же контакт указан в нашем файле security.txt.
Если вы считаете, что нашли проблему безопасности, напишите на support@vectorinvoice.lt с кратким описанием и шагами для воспроизведения. Пожалуйста, не обращайтесь к чужим данным, не проводите нагрузочные (DoS) тесты и не публикуйте подробности, пока мы не смогли устранить проблему. Контакт также опубликован по адресу /.well-known/security.txt.
Чего эта страница не утверждаетНет сертификата и нет внешнего аудита.
У VectorInvoice нет сертификата ISO 27001, SOC 2 или другого сертификата безопасности, и сервис не оценивался внешним аудитором. Упомянутые выше тесты безопасности – внутренние. Zero Data Retention у Mistral не запрашивалось. Реквизиты поставщика указаны в выходных данных (/legal#imprint).
Вопросы
Размещён ли сервис в ЕС?
Да. Сайт, API, база данных и файлы чеков работают в Scaleway в Париже, Франция. Чеки распознаются через европейскую точку доступа Mistral.
Обязательно ли использовать аутентификатор?
Для клиентов нет, но его можно включить в любой момент в Настройках. Храните коды восстановления в надёжном месте. Для аккаунтов администраторов и сотрудников он обязателен. Код по электронной почте не заменяет уже включённый аутентификатор.
Фото чеков зашифрованы?
Да. У каждого файла чека свой ключ, защищённый ключом данных вашего аккаунта, и он хранится в зашифрованном виде в объектном хранилище в Париже. Персональные и финансовые поля тоже шифруются; даты, статусы и коды валют – нет. Ключ данных не выводится из вашего пароля и уничтожается при удалении аккаунта. Это описание, а не сертификат.
Можно забрать данные или закрыть учётную запись?
Да. В Настройках можно скачать свои данные, удалить сохранённые файлы, удалить сохранённые записи или удалить аккаунт. Каждое удаление требует пароль и одноразовый код по электронной почте; код действует 10 минут и срабатывает один раз. Удаление аккаунта стирает файлы и записи, завершает все ваши сеансы и уничтожает ключ данных аккаунта, поэтому зашифрованные копии, в том числе в резервных копиях, больше нельзя открыть. Сокращённая учётная строка может храниться в течение настраиваемого срока. Копии файлов чеков хранятся 2 года с даты документа; экспортируйте то, что хотите хранить дольше.
Вы обучаете модель на моих счетах?
Нет. Приложение отклоняет любую цель обучения для контента клиентов, а обучение на вызовах API отключено в нашем аккаунте Mistral (подтверждено 17 октября 2026 г.). Чеки, предложения и записи отправляются только в европейскую точку доступа Mistral и только для выполнения вашего запроса. Zero Data Retention не запрашивалось, поэтому Mistral может ограниченное время хранить запросы по своим условиям.
Можно ли получить договор об обработке данных?
Да. Договор об обработке данных (DPA) является частью условий использования и применяется автоматически. Его можно прочитать и скачать на странице DPA.
Соглашение об обработке
Договор об обработке данных (DPA) является частью условий использования и применяется автоматически. Его можно прочитать и скачать на странице DPA.
Мы не заявляем о сертификате ISO 27001 или SOC 2, отчёте внешнего аудита или знаке хостинга. Эта страница – описание, а не подтверждение.
VectorInvoice