Security

Hoe we je data beveiligen

Overzicht van technische en organisatorische maatregelen. Volledige details staan in de DPA en Privacyverklaring.

Waar staat je data?

  • Opslag: EU-hosting in Frankfurt 🇩🇪 — je gesprekken, afspraken, klantprofielen en accountgegevens staan opgeslagen op Render managed Postgres + applicatie-servers in Frankfurt. Ook onze frontend (Vercel) en error-monitoring (Sentry) draaien in Frankfurt.
  • Verwerking: deels buiten de EU. Voor een aantal onderdelen is dat onvermijdelijk — er bestaat geen EU-alternatief van gelijke kwaliteit. Deze sub-verwerkers verwerken (deels) buiten de EU/EER: Anthropic (AI-antwoorden), OpenAI (spraak-naar-tekst), ElevenLabs (reserve, alleen indien geactiveerd), Meta (WhatsApp Business API), Stripe (betalingen), Resend (e-mail) en GitHub (alleen code, geen klantgegevens). Altijd onder een verwerkersovereenkomst met Standard Contractual Clauses (SCC, Commission Decision 2021/914) en waar van toepassing het EU-US Data Privacy Framework.
  • Wat dat concreet betekent: een WhatsApp-bericht van je klant wordt in Frankfurt opgeslagen, maar gaat voor het genereren van een antwoord langs de Claude-API. Wij bewaren daar niets — en er wordt niet op je gesprekken getraind (zie Wat we NIET doen hieronder).
  • Volledige lijst: DPA §7 (sub-verwerkers)

Versleuteling

  • In transit: alle verbindingen HTTPS/TLS 1.2+ afgedwongen (HSTS).
  • Wachtwoorden: PBKDF2-HMAC-SHA256, 200.000 iteraties, per-user 16-byte salt — NIST SP 800-132 conform.
  • Meta-tokens (WhatsApp API): at-rest versleuteld met Fernet/AES-128 — alleen onze applicatie kan ontsleutelen.
  • Database: Render managed Postgres met disk-encryption at-rest.

Toegang & rollen

  • Multi-tenant isolatie via company_id op elke query — geen kruis-zicht tussen klanten.
  • Admin-dashboard apart van klant-dashboard, beide met eigen sessietokens.
  • Team-accounts (Premium) hebben granulaire rechten per persoon — eigenaar bepaalt wie wat ziet.
  • Audit-trail van alle administratieve acties (wijzigingen aan abonnementen, klant-data, etc.)

Backups & herstel

  • Doorlopende automatische back-ups via Render managed Postgres.
  • Herstellen kan tot ongeveer 3 dagen terug; gewiste gegevens verdwijnen daarna ook uit de back-ups.

Monitoring & incidenten

  • Real-time error-monitoring via Sentry (anoniem, geen PII).
  • Live status-dashboard: koa-ai.nl/status
  • Datalek-procedure: bij een (vermoed) datalek melden we het binnen 24 uur aan de klant, zoals de verwerkersovereenkomst afspreekt; de klant meldt het zo nodig binnen 72 uur aan de Autoriteit Persoonsgegevens (AVG art. 33).
  • Melden van een security-issue? Mail info@koa-ai.nl met onderwerp [SECURITY].

Wat we NIET doen

  • Geen verkoop van data aan derden — nooit, geen uitzondering.
  • Geen training van AI-modellen op jouw klant-gesprekken (Anthropic Claude API werkt zo niet — alleen jij gebruikt de output).
  • Geen advertentie-cookies, geen Meta Pixel, geen Google Analytics.
  • Geen IP-adressen bewaard in onze eigen analytics — alleen anonieme aggregaten.

Compliance

Koa-AI is AVG-bewust ingericht (verwerkersovereenkomst beschikbaar), EU AI Act-conform (AI-disclosure bij eerste contact), en gebouwd op de principes van OWASP Top 10. Niet ISO 27001/SOC 2-gecertificeerd (dat is voor toekomstige groei).

Meer info

Diepere details staan in de Verwerkersovereenkomst (DPA) — bedoeld voor compliance-afdelingen en juridische review.