Vertrouwenscentrum

Register van subverwerkers

Verwerkersovereenkomst (DPA)

Locatie van de gegevens

Reversibiliteit en exit

Kunstmatige intelligentie

Gegevensinventaris per connector

Onze eigen ReCyF-evaluatie

Wij voeren op onze eigen organisatie de ReCyF-diagnose uit die wij onze klanten vragen bij zichzelf te doen — alle twintig doelstellingen, binnen het bereik van een essentiële entiteit, en niet de vijftien waartoe onze omvang ons zou mogen beperken. Wij blijven onder de omvangsdrempels van de NIS 2-richtlijn en zijn dus geen gereguleerde entiteit: het is een vrijwillige keuze. Zij gaat samen met een beveiligingsbeleid, een risicoanalyse, een continuïteitsplan en een beveiligingscomité dat elk kwartaal bijeenkomt.

Beveiligingsmaatregelen

Elke regel hieronder beschrijft code die in productie draait, en elke regel wordt daaraan gehouden door een geautomatiseerde test die faalt zodra de code er niet langer de beschrijving van is. De headers kunt u zelf controleren, vanuit uw browser, zonder het ons te vragen.

• —Beveiligingsheaders in productie: HSTS van één jaar (max-age=31536000, includeSubDomains), weigering om onze pagina's in een andere site in te sluiten (frame-ancestors “none” en X-Frame-Options: DENY), nosniff, en een Permissions-Policy die camera, microfoon, locatiebepaling, betaling en USB weigert — die het platform nooit gebruikt.
• —Een contentbeveiligingsbeleid dat de herkomsten inperkt: base-uri en form-action beperkt tot de site, object-src op “none”, en een connect-src beperkt tot de site en onze betaaldienstverlener — een script kan dus geen verbinding openen naar een willekeurig domein. Het staat daarentegen inline scripts toe, waarvan de rendering van Next.js afhangt, en afbeeldingen vanaf elk HTTPS-domein: het is dus geen bescherming tegen scriptinjectie en evenmin een waterdichte barrière tegen exfiltratie, en wij schrijven dat liever op dan het woord “strikt” dat te laten suggereren.
• —Wachtwoorden gehasht met argon2id, het algoritme dat vandaag wordt aanbevolen.
• —Tweefactorauthenticatie: een authenticatie-app (TOTP, RFC 6238) of een eenmalige code per e-mail, naar keuze van elk teamlid, met herstelcodes die eenmalig bij de registratie worden verstrekt. Zij is standaard verplicht voor elk bureau dat sinds 2026-09-28 is aangemaakt; voor bureaus die daarvoor al bestonden is het een instelling die moet worden aangezet, omdat het met terugwerkende kracht opleggen ervan al hun teamleden van de ene dag op de andere in een registratiescherm zou hebben opgesloten. Waar zij geldt, geldt zij voor het hele bureau en niet alleen voor de vrijwilligers: zolang een teamlid zijn factor niet heeft geregistreerd, bereikt zijn sessie niets anders dan het registratiescherm.
• —Inloggegevens van de connectoren versleuteld in de database met AES-256-GCM.
• —De connectoren die uw tools uitlezen zijn alleen-lezen, en die weigering wordt op transportniveau afgedwongen in plaats van aan de goede wil van elke integratie te worden overgelaten: afgezien van het authenticeren en het sluiten van hun eigen sessie schrijven zij niets. De enige uitgaande schrijfactie van het product is het ticket dat u zelf naar uw PSA of RMM stuurt, beschreven in artikel 8 van de verwerkersovereenkomst.
• —Scheiding tussen bureaus geverifieerd door 23 geautomatiseerde tests die bij elke codewijziging opnieuw worden uitgevoerd: een bureau dat de gegevens van een ander probeert te lezen, te wijzigen of te verwijderen, krijgt “niet gevonden”, en de AVG-export bevat geen enkele regel die aan een andere klant toebehoort.
• —Snelheidsbegrenzing op de volledige API, met nog strengere tellers op de authenticatiepagina's.
• —Auditlogboek, exporteerbaar als CSV.
• —Automatische back-ups om de 24 uur, 30 dagen bewaard. Het terugzetten is op 2026-09-16 van begin tot eind geverifieerd: een herstelde instantie was in 4,5 minuten gereed, 53 tabellen zijn met de productie vergeleken en de 13 niet-lege tabellen zijn teruggevonden met identieke rijaantallen. Niets plant deze test in — de datum hierboven is die van de laatste, niet de belofte van een ritme.
• —Elke wijziging doorloopt de continue integratie voordat zij de productie bereikt: typecontrole, lint, een audit van de afhankelijkheden, pariteit van de vertalingen en de testsuite, waaronder de 23 isolatietests hierboven. Een audit die een kritieke kwetsbaarheid vindt, stopt de uitrol in plaats van er een waarschuwing bij te zetten. Dependabot bewaakt de afhankelijkheden doorlopend: op 2026-09-16 zijn 2 kritieke kwetsbaarheden voor uitvoering van code op afstand gesloten op de dag dat ze werden gemeld. Elke image draagt de vingerafdruk van de commit die haar heeft voortgebracht, zodat elke ooit uitgerolde versie kan worden teruggevonden en identiek opnieuw gebouwd.
• —Geen enkele externe webanalyse en geen enkele externe foutregistratie, nergens. Het bezoek wordt gemeten door Umami, in eigen beheer gehost en geserveerd vanaf vigicap.fr: het script komt van ons eigen domein, niet van dat van een derde. Fouten gaan naar GlitchTip, eveneens in eigen beheer gehost en uitsluitend bereikbaar vanaf het private Scaleway-netwerk. Er gaan geen gebruiks- of diagnosegegevens naar een Amerikaanse dienst voor webanalyse of foutregistratie. Het enige script van derden in het product is dat van Stripe, geladen op het scherm waar u uw eigen abonnement betaalt en nergens anders — onze publieke pagina's laden er geen enkel. Wij noemen het bij naam in plaats van “geen scripts van derden” te schrijven, wat korter zou zijn en onwaar.
• —Bij een inbreuk in verband met persoonsgegevens volgt melding binnen 48 uur. Dat is een contractuele verbintenis, korter dan de 72 uur van artikel 33 AVG, juist om u de tijd te laten de toezichthouder binnen die termijn te informeren.

Controleer onze headers zelfBekijk de actuele status van de dienstenEen kwetsbaarheid meldenBeveiligingsfactsheet leverancier

Wie wij zijn

Een vertrouwenspagina die niet zegt wie haar publiceert, is er geen. Deze gegevens komen uit het register en zijn daar te verifiëren.

• NEXTLAB SAS
• SIREN 108 181 421
• 2 avenue d'Iéna, Résidence Les Jardins de Chaillot, 75116 Paris
• Deelnemersidentificatiecode (Europese Commissie) : 861319164
• Contact : Laurent Bertière — contact@vigicap.fr