Beveiligingsbeleid
Dit document beschrijft hoe Matixs.com BV de gegevens beschermt die aan ons zijn toevertrouwd. Het hoort bij het Privacybeleid en bij de Verwerkersovereenkomst.
1. Waar je gegevens staan
Onze productieomgeving draait op servers in de Europese Unie, in Duitsland. Netwerkverkeer loopt via Cloudflare, dat ons beschermt tegen overbelastingsaanvallen en geautomatiseerd misbruik.
2. Versleuteling
Alle verkeer naar onze diensten loopt over TLS. Wij dwingen HTTPS af en gebruiken HSTS.
Wachtwoorden slaan wij nooit leesbaar op; ze worden gehasht met een traag, gezouten algoritme. API-sleutels, OAuth-tokens en SMTP-referenties bewaren wij versleuteld. Back-ups zijn versleuteld.
3. Toegang
Toegang tot productiesystemen is beperkt tot wie ze nodig heeft, verloopt over versleutelde verbindingen en vereist tweestapsverificatie. Wij werken met rollen: binnen de applicatie bepaal jij zelf wie in jouw organisatie wat mag.
Ondersteunt een medewerker van ons je account door zich als gebruiker voor te doen, dan wordt dat gelogd met vermelding van wie, wanneer en waarom.
Onze medewerkers zijn contractueel tot vertrouwelijkheid gehouden, ook na afloop van hun samenwerking.
4. Scheiding van omgevingen
Ontwikkeling, test en productie draaien gescheiden, met eigen databanken en eigen sleutels. Wij testen niet op productiegegevens.
5. Bewaking en logging
Wij loggen toegang, wijzigingen en fouten, en bewaken de beschikbaarheid van onze diensten. Afwijkende patronen — mislukte inlogpogingen, ongewone verzendvolumes, verdachte API-oproepen — leiden tot een melding en waar nodig tot automatische blokkering.
Bij inloggen en registreren gebruiken wij bot-detectie en snelheidslimieten.
6. Back-ups en herstel
Wij maken dagelijks versleutelde back-ups en bewaren ze in de Europese Unie. Wij testen periodiek of een herstel effectief werkt.
Back-ups dienen om onze dienst na een incident te herstellen, niet om individuele bestanden terug te halen die jij zelf verwijderde. Exporteer belangrijke gegevens dus zelf ook.
7. Onderhoud van software
Wij houden onze afhankelijkheden bij en volgen meldingen van kwetsbaarheden op. Kritieke beveiligingsupdates voeren wij met voorrang door, indien nodig zonder voorafgaande aankondiging zoals de Service Level Agreement toelaat.
Wij laten onze codebasis periodiek doorlichten op beveiligingsproblemen en verhelpen bevindingen naar ernst.
8. Incidenten
Bij een beveiligingsincident onderzoeken wij de omvang, beperken wij de schade, herstellen wij de dienst en documenteren wij wat er gebeurde.
Gaat het om een inbreuk in verband met persoonsgegevens, dan gelden de meldingstermijnen uit de Verwerkersovereenkomst en het Privacybeleid.
9. Een kwetsbaarheid melden
Ontdek je een kwetsbaarheid, meld ze via mail@matixs.com met genoeg informatie om ze te reproduceren.
Wij bevestigen je melding, houden je op de hoogte en ondernemen geen juridische stappen tegen wie te goeder trouw meldt en daarbij:
- niet meer gegevens raadpleegt dan nodig om het probleem aan te tonen;
- geen gegevens wijzigt, verwijdert of openbaar maakt;
- geen overbelastingsaanvallen, social engineering of fysieke inbraak gebruikt;
- ons redelijke tijd geeft om het probleem te verhelpen vóór publicatie.
10. Wat wij van jou verwachten
Beveiliging werkt langs twee kanten. Gebruik een uniek, sterk wachtwoord, zet tweestapsverificatie aan, geef alleen toegang aan wie ze nodig heeft, en trek toegang in wanneer iemand je organisatie verlaat. Deel je API-sleutels niet en vervang ze wanneer je vermoedt dat ze uitlekten.