Vertrouwelijk blijft vertrouwelijk.

Versleuteling met een sleutel per document

Elk opgeslagen bestand wordt versleuteld met een eigen sleutel (age, ChaCha20-Poly1305). Die sleutels zijn weer versleuteld met een sleutel per dataroom, en die met een hoofdsleutel die nooit buiten Scaleway Key Manager komt. Een gestolen schijf, database-export of opslagbucket bevat dus alleen versleutelde gegevens.

• Naast de hoofdsleutel is er een offline herstelsleutel, verdeeld over drie delen waarvan er twee nodig zijn. Daarmee blijft uw data herstelbaar, ook als de sleutelbeheerder uitvalt.
• Verwijderen is echt verwijderen: als de sleutels van een dataroom worden vernietigd, is de inhoud onleesbaar. Back-ups verlopen daarna vanzelf.
• Verkeer gaat altijd over TLS 1.3, rechtstreeks naar onze eigen server. Er zit geen tussenpartij of CDN tussen die uw verkeer kan ontsleutelen.

Inloggen en toegang

• Tweestapsverificatie staat standaard aan, met passkeys of een authenticator-app en herstelcodes. Gevoelige acties vragen opnieuw om de tweede factor.
• Gasten loggen in met een code per e-mail; de uitnodigingslink alleen geeft geen toegang. Na herhaalde foute codes wordt de toegang tijdelijk geblokkeerd.
• Rechten per groep, map en document, interne zones die externen nooit zien, verlopende toegang, een IP-allowlist en het bevriezen van een dataroom.
• Sessies verlopen na 30 minuten inactiviteit.
• Ondersteuning heeft geen vaste toegang: noodtoegang vraagt uw goedkeuring, duurt maximaal 24 uur en wordt vastgelegd.

Audit-log dat niet te herschrijven is

Inloggen, bekijken, downloaden, uploaden en rechtenwijzigingen worden vastgelegd in een log met een SHA-256-hashketen, afgedwongen in de database. Het log bevat identificaties en codes, geen bestandsnamen of inhoud. Elk uur komt er een controlepunt en elke dag een versleutelde export naar opslag met Object Lock, zodat ook wij het log achteraf niet kunnen aanpassen.

Veilige verwerking van elk bestand

• Uploads worden gescand op virussen (ClamAV) en gecontroleerd op bestandstype, zip-bommen en macro's.
• Voorbeelden en tekstherkenning worden gemaakt in een afgeschermde omgeving zonder netwerk, met een alleen-lezen systeem en een nieuwe gebruiker per taak.
• Bestanden groter dan 128 MB worden niet gescand of als voorbeeld getoond; ze zijn gemarkeerd als niet volledig gescand en alleen te downloaden.
• De viewer toont pagina's als beeld met een watermerk per kijker (naam, e-mail, tijd en een forensische code). U bepaalt per groep of er geprint of gedownload mag worden.

Waar uw gegevens staan

Wat	Waar	Aanbieder
Documenten	Amsterdam, Nederland	Scaleway (Frankrijk)
Hoofdsleutel	Amsterdam, Nederland	Scaleway Key Manager
Servers en database	Neurenberg, Duitsland	Hetzner (Duitsland)
Externe back-up	Falkenstein, Duitsland	Hetzner (Duitsland)

Alle gegevens blijven in de EU, bij aanbieders zonder Amerikaans moederbedrijf. We gebruiken geen Cloudflare, geen Amerikaanse cloud en geen trackers. De broncode staat bij GitHub en certificaten komen van Let's Encrypt; die zien geen klantgegevens.

Back-ups

Documenten, het audit-log en de database worden versleuteld gekopieerd naar een tweede aanbieder op een andere locatie, met Object Lock: ook met onze eigen sleutels zijn die kopieën tijdens de bewaartermijn niet te verwijderen. De database wordt elk uur en elke dag gedumpt; replicatie loopt elke vijf minuten. We testen het herstel vanaf die externe kopie.

Bewaren en verwijderen

Per documentklasse stelt u bewaartermijnen in. Een juridische blokkade (legal hold) voorkomt verwijderen zolang die geldt. Na verwijdering krijgt u een verwijderingsbewijs.

Wat we bewust niet beloven

Meer detail en het bewijs per maatregel vindt u in het Trust Centre.