Beveiliging

1. Onze aanpak

Beveiliging is onderdeel van hoe wij onze diensten bouwen en beheren, niet een sluitstuk. Wij werken volgens het principe van gegevensminimalisatie en zo min mogelijk rechten ("least privilege"), en treffen passende technische en organisatorische maatregelen conform AVG art. 32.

2. Hosting en gegevenslocatie

Onze applicaties en databases draaien op dedicated infrastructuur bij Hetzner Online GmbH binnen de Europese Unie (datacenters in Duitsland en Finland). Gegevens blijven daarmee in de EER, behoudens de specifieke subverwerkers die op onze subverwerkerspagina staan vermeld.

3. Versleuteling

• Transport: al het verkeer naar onze diensten verloopt versleuteld via HTTPS/TLS, met automatisch beheerde, actuele certificaten.
• Geheimen: sleutels en wachtwoorden worden versleuteld beheerd (SOPS) en niet in broncode opgeslagen.
• Opslag: encryptie-at-rest bevestigen per systeem ‹invullen›.

4. Toegang en authenticatie

Toegang tot onze applicaties verloopt via een gespecialiseerde authenticatiedienst (Clerk), met ondersteuning voor sterke wachtwoorden en meervoudige verificatie. Toegang tot productiesystemen is beperkt tot bevoegde personen en verloopt over versleutelde verbindingen.

5. Monitoring en back-ups

• Foutmonitoring: wij gebruiken een zelf-gehoste monitoringoplossing (GlitchTip) op onze eigen infrastructuur, zodat diagnostische gegevens niet naar een externe partij stromen.
• Back-ups: van onze databases worden dagelijks geautomatiseerde back-ups gemaakt; herstelprocedures worden periodiek getest — frequentie bevestigen ‹invullen›.
• Logging: toegangs- en foutlogs worden bewaard voor beveiliging en probleemanalyse.

6. Verwerking door AI

Een deel van onze AI-ondersteunde verwerking draait op onze eigen servers en verlaat onze infrastructuur niet. Waar wij externe AI-diensten gebruiken, gebeurt dat onder verwerkersvoorwaarden en zonder dat gegevens worden gebruikt om modellen van derden te trainen (per leverancier bevestigen ‹invullen›).

7. Datalekken

Bij een (vermoed) datalek volgen wij een vast proces: vaststellen, beperken, beoordelen en — waar vereist — binnen 72 uur melden bij de Autoriteit Persoonsgegevens en, indien van toepassing, bij betrokkenen.

8. Kwetsbaarheden melden

Denkt u een kwetsbaarheid te hebben gevonden? Meld het verantwoord via security@ruimtemeesters.nl. Geef ons redelijke tijd om het op te lossen voordat u het openbaar maakt; wij stellen meldingen op prijs en reageren zo snel mogelijk.