1Waar wij hosten
Alle primaire infrastructuur voor fluentry.be draait binnen de Europese Unie, met Frankfurt, Duitsland als dominante regio voor database, analyse en applicatiehosting:
- Applicatiehosting en edge runtime: Vercel (EU-regio's).
- Database, authenticatie en bestandsopslag: Supabase, Frankfurt.
- Productanalyse en sessieweergave: PostHog EU Cloud, Frankfurt.
- Transactionele e-mail: Resend, EU (Ierland).
Andere subverwerkers (Lemon Squeezy als merchant of record, Sentry voor foutopsporing, OpenRouter als AI-modelgateway uitsluitend voor contentcreatie) worden vermeld op /subprocessors met rol, rechtsgebied en details over gegevensresidentie. Wanneer persoonsgegevens buiten de Europese Economische Ruimte worden doorgegeven in het kader van deze leveranciersrelaties, worden doorgiften beheerst door modelcontractbepalingen onder artikel 46 van de AVG.
2Hoe wij het beschermen
Onze architectuur is opgebouwd rond één vertrouwensgrens op de applicatieserver, niet op de database. In de praktijk:
- Bevoorrechte databasetoegang (service-role-inloggegevens) bevindt zich uitsluitend op de applicatieserver aan de Vercel-zijde. Browsers ontvangen nooit service-role-inloggegevens.
- Anonieme PostgREST-toegang is ingetrokken. Publieke toegang tot de database is niet mogelijk.
- Row-level security wordt toegepast als verdediging-in-de-diepte op vier gevoelige tabellen (antwoorden, scores, aankopen, rechten), zodat zelfs een gecompromitteerd applicatiepad de gegevens van een andere gebruiker niet kan kruislezen.
- Invoervalidatie op de servicelaag gebruikt Zod-schema's; databasebeperkingen ondersteunen dit met check-constraints en gegenereerde kolommen waar passend.
- Beschermingen tegen manipulatie omvatten snelheidsbeperking, vingerafdrukclustering voor detectie van verdachte patronen, en een verdachtmarkering die herhaald misbruikgedrag vertraagt of blokkeert.
- Geheimen worden beheerd in een speciale geheimenopslag, nooit in versiebeheer, en geroteerd volgens een vastgestelde cadans.
- Productiedeployments vereisen een geslaagde CI-pijplijn, inclusief typecontroles, linting, unittests, validatie van de itembank en een axe-core-toegankelijkheidsgate op P0-routes.
De technische details zijn samengevat in onze interne specificaties voor architectuur en operaties. Wij publiceren die documenten niet, maar wij delen op verzoek een architectuuroverzichtsdeck met potentiële B2B-klanten en beveiligingsbeoordelaars onder NDA.
3Subverwerkers
Een live-lijst van elke subverwerker die namens ons persoonsgegevens verwerkt, wordt gepubliceerd op /subprocessors, inclusief informatie over rol, rechtsgebied en gegevensresidentie. Elke subverwerker is gebonden door een verwerkersovereenkomst in overeenstemming met artikel 28 van de AVG. Wij maken nieuwe subverwerkers ten minste 30 dagen voordat zij live gaan voor de verwerking van identificeerbare persoonsgegevens bekend, waar redelijkerwijs haalbaar.
4Meld een beveiligingsbezorgdheid
Iets gevonden? Vertel het ons privé en wij werken met u samen om het op te lossen.
- E-mail: security@fluentry.be
- Vindbare metadata: /.well-known/security.txt (RFC 9116)
- Bevestiging: binnen 3 werkdagen.
- Openbaarmaking: geef ons alstublieft een redelijke gelegenheid om te onderzoeken en te verhelpen vóór openbare bekendmaking. Wij verbinden ons tot een standaard openbaarmakingsvenster van 90 dagen, verlengbaar bij wederzijdse overeenstemming voor complexe of gecoördineerde kwesties.
- Onderzoek te goeder trouw: wij zullen geen juridische stappen tegen u ondernemen voor beveiligingsonderzoek te goeder trouw dat binnen een redelijke reikwijdte wordt uitgevoerd (geen exfiltratie van gegevens van andere gebruikers, geen degradatie van de dienst, geen social engineering van personeel).
Wij exploiteren momenteel geen betaald bug-bountyprogramma. Melders die wezenlijk nuttige bevindingen aanleveren, worden publiekelijk erkend (met toestemming) en kunnen een coulance-abonnementskrediet ontvangen.
5Kennisgeving van incidenten
In geval van een inbreuk in verband met persoonsgegevens zoals gedefinieerd in artikel 4(12) van de AVG, zullen wij de leidende toezichthoudende autoriteit (de IDPC in Malta) binnen 72 uur na kennisname van de inbreuk op de hoogte brengen, zoals vereist door artikel 33. Waar de inbreuk waarschijnlijk een hoog risico inhoudt voor de rechten en vrijheden van getroffen personen, zullen wij ook die personen zonder onnodige vertraging op de hoogte brengen, zoals vereist door artikel 34.
6Nalevingshouding
- AVG: volledige naleving van EU 2016/679, inclusief de rechten op inzage, gegevenswissing, overdraagbaarheid, beperking en bezwaar. Inzage, gegevenswissing en toestemmingsbeheer zijn beschikbaar via zelfbediening op /account/data; alle andere rechten zijn uit te oefenen via privacy@fluentry.be.
- UK GDPR: equivalente rechten gerespecteerd voor inwoners van het VK.
- EU AI-verordening: het product van Fluëntry is gepositioneerd om organisaties te helpen teamgeletterdheid aan te tonen onder artikel 4 van de EU AI-verordening (geletterdheidsverplichting, van kracht op 2 februari 2025). Ons eigen gebruik van AI bij contentcreatie wordt bekendgemaakt op de pagina itemgezondheid.
- e-Privacy: toestemming verkregen voor niet strikt noodzakelijke cookies via /cookie-preferences.
- Toegankelijkheid: streven naar WCAG 2.2 AA op consumentgerichte P0-routes, zelf beoordeeld ten opzichte van een axe-core-CI-gate in de deploymentpijplijn (externe audit uitgesteld tot vóór de eerste B2B).
7Voor B2B- en inkoopbeoordelaars
Als u Fluëntry beoordeelt voor een B2B-geletterdheidsbenchmark, een beveiligingsvragenlijst of een nalevingsregeling voor artikel 4, neem dan contact op met hello@fluentry.be. Wij kunnen het volgende verstrekken, onder NDA:
- Een architectuuroverzichtsdeck.
- Onze interne nalevingsspecificatie.
- Standaard op SCC gebaseerde DPA's en onze subcontracten met verwerkers.
- Een DPIA afgestemd op de gegevensstromen die u van plan bent in te schrijven.
- Standaardantwoorden op gangbare beveiligingsvragenlijsten (CAIQ-stijl).