Шифрування at rest
Чутливі поля транзакцій шифруються AES-256-GCM на наших серверах. Сервери у Frankfurt, ключі ротуються. E2E з вашим ключем — на roadmap (див. ADR-0007).
AES-256-GCM at-restTLS 1.3 in-transitBcrypt для паролів
Безпека · з самого початку
Ваші гроші ми не бачимо. Це не маркетинг — це архітектура.
FinLedger проєктувався з принципом «мінімально необхідний доступ»: транзакції шифруються AES-256-GCM на наших серверах у ЄС, а кожне звернення до ваших даних фіксується в audit log. Підключень до банківських API немає — дані надходять виключно через ручний CSV/PDF-імпорт.
tls.handshake✓ 1.3
encryption✓ AES-256-GCM
region✓ EU only
Безпека за замовчуванням
AES-256-GCM at rest · TLS 1.3
AES-256
GCM шифрування at-rest
EU-only
Frankfurt + Stockholm · без серверів у США
0kb
ваших логінів від банку у нас
Q2 2026
публічний beta · pre-launch стадія
Три стовпи
Безпека — це не галочка, а спосіб думати.
Кожне рішення на нашому стеку проходить три питання: чи можемо ми це не зберігати, чи можемо це шифрувати at rest, і чи зможемо ми це показати незалежному аудитору.
Імпорт без логінів
Ви вивантажуєте CSV/PDF-виписку у себе в банк-додатку і завантажуєте до нас. Ваших логінів від банку ми не бачимо. Open Banking API — на roadmap.
Manual CSV/PDF importБез зберігання банк-логінівOpen Banking AISP — roadmap
Прозорість у реальному часі
Кожен вхід, кожне імпортовання виписки, кожний експорт — у журналі активності. Ви бачите все, що бачимо ми.
Журнал активних сесійСповіщення про новий пристрійЕкспорт даних у JSON/CSV
Як це працює
Шлях вашої транзакції.
Що відбувається з кожним записом від виписки до вашого екрана.
01 / виписка
CSV/PDF з банк-додатку
Ви вивантажуєте виписку у своєму банк-додатку і завантажуєте її до нас. Жодних логінів від банку ми не отримуємо.
Manual import02 / шифрування
Шифр на сервері
На сервері транзакції одразу шифруються AES-256-GCM перед записом у БД. Сервер тримає ключ ротованим у KMS.
AES-256-GCM03 / збереження
Сейф у Frankfurt
Шифротекст лягає в європейський дата-центр (Hetzner Frankfurt). Резервна копія — у Stockholm (eu-north-1). Дані ніколи не залишають EU.
EU-only04 / ваш екран
Розшифровка для вас
Коли ви відкриваєте свої транзакції, сервер розшифровує дані по сесії та віддає браузеру через TLS 1.3. Ніхто крім вас не бачить ваших даних у виписці.
TLS 1.3Двофакторна автентифікаціяTOTP-додаток (Google Authenticator, 1Password, Authy).
Автоматичне блокування сесіїЧерез 15 хвилин неактивності — повторний вхід.
Сповіщення про новий пристрійEmail негайно після кожного нового входу.
У ваших руках
Контроль без телефонних дзвінків.
Усі налаштування безпеки — у вашому кабінеті. Жодних «зателефонуйте в підтримку, щоб увімкнути 2FA». Усе вмикається миттєво, без черг.
- Експорт усіх ваших даних у JSON чи CSV — у будь-яку секунду
- Повне видалення акаунту з 30-денним grace-period для відновлення
- Завершення сесій на всіх пристроях у 1 клік
- Передача даних спадкоємцям через довірений email
Compliance · roadmap
Що у нас зараз — і що буде.
FinLedger у pre-launch стадії. Нижче — реальний стан compliance, без галочок наперед.
GDPR compliant
Дані резидентів ЄС та України зберігаються в EU. Призначений DPO. Процедури DSAR — до 30 днів.
dpo@finledger.ua
PCI DSS
Платіжні дані обробляються через сертифікованого процесора (Stripe). Ми не зберігаємо номерів карток.
Stripe SAQ-A
Прозорість
Якщо щось трапиться — ви дізнаєтесь першими.
Не через тиждень. Не через прес-реліз. Одразу — повідомленням і повним описом, що сталося та що ми робимо.
Поточна стадія
FinLedger у pre-launch розробці. Live-статус систем з'явиться після публічного beta-релізу.
Стадія · pre-launch розробкаactive
Beta · заплановано Q2 2026planned
Зовнішній аудит безпеки · після betaplanned
Bug-bounty програма · після betaplanned
Останні оновлення
Що нового зробили у напрямку безпеки за останні тижні.
Додали авто-блокування сесії після бездіяльності
Налаштування безпеки: 2FA, нотифікації про новий пристрій
Зміна паролю + встановлення паролю для OAuth-only акаунтів
Ротація email через OTP — без link-based підтвердження
Питання · відповіді
Що часто питають.
Якщо вашого питання немає нижче — напишіть нам, відповідаємо протягом 24 годин.
Технічно — так. Зараз дані шифруються AES-256 на наших серверах, і у нас є доступ до ключа для розшифровки на сервері. Ми не дивимось у вашу виписку без причини, у нас є internal audit log на доступ до даних. End-to-end шифрування (де навіть наші інженери не зможуть розшифрувати) — на roadmap, див. ADR-0007.
Я як талісман іноді заходжу в логи. Бачу лише крапки і риски. Несмачно.
Залишились питання? Пишіть на security@finledger.ua
Прозорість — це звичка.
Підпишіться на щомісячний звіт безпеки: що ми оновили, які інциденти бачили в індустрії, що з цим робити вам.
