Vertrouwen: de feiten, niets dan de feiten
Wat aankoop-, juridische en beveiligingsteams vragen vóór ze tekenen. Enkel verifieerbare feiten, ook wat we nog niet hebben.
Wie ResiPlan uitgeeft
- Uitgever
- Cryptaguard BV
- Rechtsvorm
- Besloten vennootschap (BV) naar Belgisch recht
- Ondernemingsnummer (KBO)
- 1007.610.660
- Maatschappelijke zetel
- Fazantenlaan 9, 1600 Sint-Pieters-Leeuw, België
- Product
- ResiPlan
- Contact
- Contactformulier
Waar uw gegevens staan en wie ze verwerkt
Bedrijfsgegevens worden opgeslagen in de Europese Unie. Subverwerkers buiten de EU staan hieronder vermeld met de geldende waarborgen.
Convex
Database, serverless functies, realtime synchronisatie en bestandsopslag
OVHcloud
Applicatiehosting (webserver van de Dienst)
| Subverwerker | Rol | Doel | Locatie van de gegevens | Doorgiftewaarborgen |
|---|---|---|---|---|
Convex Convex, Inc. | Kerndienst | Database, serverless functies, realtime synchronisatie en bestandsopslag | Europese Unie — AWS eu-west-1 (Ierland), specifieke EU-deployment | Gegevens gehost in de EU; supporttoegang vanuit de VS gedekt door SCC's (2021/914) |
OVHcloud OVH SAS | Kerndienst | Applicatiehosting (webserver van de Dienst) | Europese Unie — Frankrijk | Geen doorgifte buiten de EU |
Resend Resend, Inc. | Kerndienst | Verzending van transactionele e-mails (uitnodigingen, meldingen, waarschuwingen) | Verenigde Staten | SCC's (2021/914) |
Stripe Stripe Payments Europe, Ltd. | Facturatie (eigen verwerking) | Betalingen en facturatie van abonnementen | Europese Unie, met intragroepsdoorgiften naar Stripe, Inc. (Verenigde Staten) | SCC's (2021/914) en, indien van toepassing, een actieve DPF-certificering |
Anthropic Anthropic, PBC | AI (standaard) | Standaard AI-provider (assistent, plangeneratie, analyses) — geen training op klantgegevens | Verenigde Staten | SCC's (2021/914) en, indien van toepassing, een actieve DPF-certificering; optie "Alleen EU-AI" beschikbaar per organisatie |
OpenAI OpenAI, L.L.C. | AI (standaard) | Geselecteerde AI-functies en optionele cloudtranscriptie van crisissessies (lokaal alternatief beschikbaar) | Verenigde Staten | SCC's (2021/914) en, indien van toepassing, een actieve DPF-certificering; optie "Alleen EU-AI" beschikbaar per organisatie |
Mistral AI Mistral AI | AI (EU-optie) | Optie "Alleen EU-AI": vervangende AI-provider configureerbaar per organisatie | Europese Unie — Frankrijk | Geen doorgifte buiten de EU |
Voyage AI Voyage AI Innovations, Inc. | AI (standaard) | Documentzoekfunctie van de AI-assistent: berekent vectorrepresentaties (embeddings) van de geïndexeerde gegevens van de organisatie en van elke vraag die aan de assistent wordt gesteld | Verenigde Staten | SCC's (2021/914) opgenomen in de DPA van Voyage AI; optie "Alleen EU-AI" per organisatie: Mistral-embeddings (EU) |
Plausible Analytics Plausible Insights OÜ | Kerndienst | Geaggregeerde publieksmeting zonder cookies (website en applicatie) | Europese Unie | Geen doorgifte buiten de EU |
Google Analytics 4 Google Ireland Limited | Kerndienst | Gedetailleerde publieksmeting van de website en applicatie (trajecten, verkeersbronnen) — onderworpen aan toestemming | Europese Unie en Verenigde Staten (Google-infrastructuur) | SCC's (2021/914) en, indien van toepassing, een actieve DPF-certificering |
Microsoft Clarity Microsoft Ireland Operations Ltd. | Marketingsite | Heatmaps en geanonimiseerde sessieherhaling op de marketingsite — onderworpen aan toestemming | Europese Unie, met mogelijke intragroepsdoorgiften naar Microsoft Corporation (Verenigde Staten) | SCC's (2021/914) en, indien van toepassing, een actieve DPF-certificering |
Twilio Twilio Inc. | Geïntegreerd, niet actief | Crisiswaarschuwingen via sms, WhatsApp en spraakoproep. Momenteel niet actief: de integratie bestaat in de Dienst, maar er is geen account geconfigureerd in productie en er worden geen gegevens verzonden | Verenigde Staten (standaardregio van Twilio, US1) | Bindende bedrijfsvoorschriften (BCR) van Twilio en SCC's (2021/914); in voorkomend geval een actieve DPF-certificering |
Elke nieuwe of vervangen subverwerker wordt minstens 30 dagen vooraf gemeld (DPA, artikel 5.4.2).
Back-ups en herstel
- Volledige, versleutelde export van de database elke nacht (AES-256), bestanden inbegrepen.
- Bewaring: 14 dagelijkse en 8 wekelijkse back-ups.
- Automatische hersteltest elke week: ontsleuteling, checksum, integriteit van het archief en telling van de tabellen.
- Recovery point objective (RPO): 24 uur.
- Doelstelling voor de hersteltijd van een volledige database: 4 uur. Dit is een interne doelstelling, nog niet gemeten bij een volledig herstel.
Beschikbaarheid en monitoring
- Een openbare statuspagina toont de status van elk onderdeel (applicatie, aanmelding, e-mail, AI, exports…) en de incidentgeschiedenis van 30 dagen.
- Serverfouten worden elke dag verzameld en gesorteerd.
- De beschikbaarheidsdoelstelling staat in artikel 9 van de gebruiksvoorwaarden.
Beveiligingspraktijken die van kracht zijn
Wat vandaag in het product is geïmplementeerd, niet wat gepland is.
Rolgebaseerde toegangscontrole
Platform- en organisatierollen (beheerder, manager, gebruiker, lezer), bij elke aanroep server-side gecontroleerd.
Isolatie tussen organisaties
Elke query binnen een organisatie wordt gefilterd op organisatie; de isolatie wordt gedekt door geautomatiseerde tests.
Auditlog
Gevoelige acties worden gelogd met wijzigingen voor/na; SHA-256-ketening maakt elke manipulatie detecteerbaar.
Tweestapsverificatie
TOTP met herstelcodes, beschikbaar voor elke gebruiker en verplicht voor platformbeheerders.
Microsoft Entra ID-SSO (OIDC) en SCIM 2.0-provisioning
Aanmelden met de Entra ID-accounts van uw organisatie (tenant plus via DNS geverifieerd domein), verplichte SSO met noodaccounts, automatische aanmaak en deactivering van accounts via SCIM 2.0. Het SCIM-token wordt uitsluitend als SHA-256-hash bewaard.
Transport en headers
Uitsluitend HTTPS met HSTS, Content-Security-Policy, X-Frame-Options en nosniff. Minimaal TLS 1.2 tijdens transport, AES-256 in rust bij onze hostingproviders.
Gehashte API-sleutels
Een API-sleutel wordt eenmalig getoond, bij het aanmaken; enkel de SHA-256-hash ervan wordt bewaard.
Rate limiting
Rate limits op API-routes en aanmelding, oorsprongscontroles (CSRF) op verzoeken die gegevens wijzigen.
Ondertekende webhooks
HMAC-SHA256-handtekening met tijdstempel, vergelijking in constante tijd en een replayvenster van ±5 minuten.
Contractdocumenten
Verwerkersovereenkomst (DPA) met een bijlage DORA art. 30
Artikel 28 AVG, technische en organisatorische maatregelen, lijst van subverwerkers. Word en PDF, FR en EN.
Privacybeleid
Verwerkingen, rechtsgronden, bewaartermijnen en rechten van betrokkenen.
Gebruiksvoorwaarden
Contractuele voorwaarden, inclusief de beschikbaarheidsdoelstelling (artikel 9).
Verzoek AVG-rechten
Inzage, rectificatie, wissing en overdraagbaarheid.
Een kwetsbaarheid melden
Wij verwelkomen verantwoorde melding en ondernemen geen stappen tegen onderzoekers die te goeder trouw handelen.
security.txt (RFC 9116)
Wat we nog niet hebben
Een gedocumenteerde leemte is beter dan een badge die niemand kan controleren. Deze lijst wordt bijgewerkt zodra een punt in productie werkelijkheid wordt.
Geen ISO 27001- of SOC 2-certificering
ResiPlan beschikt niet over een ISO 27001-, SOC 2- of ISO 22301-certificering. De bovenstaande praktijken zijn gedocumenteerd, niet geaudit door een derde partij.
Geen SAML-SSO
SAML-SSO is niet beschikbaar. Aanmelden via Microsoft Entra ID (OpenID Connect) en SCIM 2.0-provisioning wel; andere identiteitsproviders staan op de roadmap.
Geen penetratietestrapport om te delen
We beschikken nog niet over een onafhankelijk penetratietestrapport dat we met klanten kunnen delen.
Geen SLA met recht op servicecredits
De gebruiksvoorwaarden (artikel 9) leggen een beschikbaarheidsdoelstelling vast, zonder becijferde contractuele verbintenis met boetes.
Status en back-ups op één infrastructuur
De statuspagina draait op dezelfde infrastructuur als de applicatie, en back-ups worden nog niet gerepliceerd naar een tweede, onafhankelijke locatie.
Nog geen gepubliceerde klantreferenties
ResiPlan is een jong product. De scenario's op deze site zijn illustratief; we publiceren een referentie enkel met de schriftelijke toestemming van de klant.
Een vraag van uw beveiligingsteam?
Beveiligingsvragenlijst, contractclausule, architectuurvraag: schrijf ons en we antwoorden met feiten.