Veiligheid & AVG-compliance

Hoe we je data beschermen — en eerlijk: wat we wel en niet doen als startup. Voor klanten, partners en testers.

Laatst bijgewerkt: 5 mei 2026

Volledig in de EU

Hosting, functions en database draaien in Europa (België + EU multi-region). Geen US-overdracht buiten sub-processors onder SCC.

AES-256 op je tokens

OAuth-tokens van Google, Microsoft, Zoom en Mollie worden versleuteld voor ze in de database landen — met een sleutel die de browser nooit ziet.

TLS 1.3 + HSTS

Alle verkeer over HTTPS, automatische certificaatrotatie, HSTS afgedwongen.

Per-rol scheiding

Owner / admin / member / viewer. Server-side gevalideerd via Firestore Security Rules én API-middleware — niet alleen verstopt in de UI.

AVG-rechten in dashboard

Inzage, dataportabiliteit en verwijdering doe je zelf — geen wachtrij, geen ticket.

Audit-log 2 jaar

Iedere admin-handeling wordt 2 jaar bewaard met IP, gebruikersagent en doel — voor onszelf én voor jou bij een datalek-onderzoek.

Hoe we je data beschermen

Versleuteling onderweg

TLS 1.3 voor al het browser-server-verkeer. HSTS afgedwongen. Certificaten automatisch geroteerd door Google.

Versleuteling at-rest

Firestore versleutelt alles by-default. Daarnaast leggen we AES-256-GCM bovenop OAuth refresh-tokens (Google, Microsoft, Zoom, Mollie) — een database-dump levert geen werkende kalender-toegang op.

Authenticatie

Firebase Auth met JWT ID-tokens. Iedere protected API-route verifieert de token server-side voor er één byte data wordt geretourneerd.

Autorisatie (twee lagen)

API-middleware controleert je rol; Firestore Security Rules dwingen het óók af bij directe SDK-toegang. Cross-tenant data-leak is structureel onmogelijk.

Rate-limiting

Sliding-window per IP/key op contact-form, publieke boekingen, promo-validatie, account-export en -delete. Brute-force op promo-codes wordt na 20 pogingen per minuut geblokkeerd.

Webhook-signaturen

Stripe-webhooks worden cryptografisch geverifieerd met een runtime-roteerbare signing-secret. Mollie wordt gevalideerd via een terug-fetch naar hun API — body-trust bestaat niet.

Logging zonder PII

Sentry registreert alleen technische stack-traces. E-mailadressen worden via een beforeSend-hook gestript voor verzending. Authorization-headers, cookies en request-bodies worden niet meegestuurd.

Hosting & dataopslag

Pleney draait volledig op Google Cloud / Firebase, met de hoofdcomponenten in de EU.

ComponentLocatieBijzonderheden
Static + SSR (Firebase Hosting)EU multi-region CDNTLS 1.3, HSTS, auto cert
Cloud Functions (Node 20)europe-west1 (België)Container-geïsoleerd
Cloud Firestoreeur3 (EU multi-region)Encrypted at-rest, TLS in transit
Firebase AuthenticationGoogle identity-infraJWT-tokens, server-side verified
Firebase Storageeurope-west1Logo's, uploads — content-type filter

Sub-verwerkers

Voor onderdelen die we niet zelf bouwen schakelen we deze partijen in. Allemaal AVG-conform; sub-processor-wijzigingen worden vooraf aangekondigd.

PartnerDoelLocatie
Google Cloud / FirebaseHosting, authenticatie, Firestore, Storage, FunctionsEU (Frankfurt + multi-region)
StripeAbonnementsbetalingenEU / VS (onder SCC)
MollieBoekingsbetalingen (iDEAL, creditcard)Nederland (EU)
ResendTransactionele e-mails (bevestiging, reminder)EU
SentryFoutmonitoring (alleen technische traces, geen PII)EU (Frankfurt)
Google Analytics 4Geanonimiseerde gebruiksstatistieken (alleen na consent)EU / VS (onder SCC)
Google Calendar / Microsoft 365 / ZoomOptionele agenda-koppelingen (alleen na expliciete koppeling door gebruiker)EU / VS (onder SCC)

Jouw AVG-rechten

De meeste rechten zijn self-service in het dashboard. Voor de rest reageren we binnen 24 uur op werkdagen.

Inzage (Art. 15)

Vraag op elk moment een kopie op van al je data via Dashboard → Account → Exporteer data. JSON-formaat, OAuth-tokens worden geredigeerd.

Rectificatie (Art. 16)

Wijzig je profiel, bedrijfsgegevens en contact-info zelf via Settings.

Verwijdering (Art. 17)

Klik 'Verwijder account' in Dashboard → Account. We revoken direct je OAuth-koppelingen, anonimiseren je naam in boekingen, en de daadwerkelijke purge volgt binnen 30 dagen.

Dataportabiliteit (Art. 20)

De export uit Inzage is direct herbruikbaar — JSON met machine-leesbare structuur.

Bezwaar / beperking (Art. 21 / 18)

Mail info@sharpcreations.nl — we reageren binnen 24 uur op werkdagen.

Klacht bij toezichthouder

Niet tevreden? Je kunt een klacht indienen bij de Autoriteit Persoonsgegevens (autoriteitpersoonsgegevens.nl).

Wat we wel & niet (kunnen) doen

Eerlijk over wat een micro-SaaS in beta wel en niet biedt. Voor enterprise-klanten zijn de niet-items gespreksstof.

Wat we doen

  • Hosten in de EU (Firebase Hosting, Cloud Functions, Firestore)
  • OAuth-tokens versleutelen met AES-256-GCM
  • Server-side validatie met Zod-schemas op iedere kritieke API-route
  • Rate-limiting op brute-force-gevoelige endpoints
  • Firestore Security Rules + API-middleware (twee onafhankelijke lagen)
  • Webhook-signaturen verifiëren (Stripe + Mollie)
  • Sentry zonder PII (e-mails worden gestript)
  • Audit-log met 2-jaar bewaartermijn voor admin-acties
  • Account-deletion met directe OAuth-revoke en 30-dagen purge
  • Sub-processors transparant publiceren

Wat we (nog) niet doen

  • Geen SOC 2 Type II — niet gecertificeerd
  • Geen ISO 27001 — niet gecertificeerd
  • Geen externe pen-test op productie (alleen interne code-review)
  • Geen actief bug-bounty programma (responsible disclosure wel — zie hieronder)
  • Geen 24/7 menselijke on-call rotatie (we zijn een micro-team; Sentry alarmeert wel automatisch)
  • Geen end-to-end encryptie van booking-content (server moet bookings kunnen renderen)

Verwerkersovereenkomst (DPA)

Zet je Pleney in voor je eigen klanten? Dan ben jij verwerkingsverantwoordelijke en wij verwerker. Voor zo'n samenwerking bieden we een standaard verwerkersovereenkomst aan op basis van de EU-modeltekst.

Vraag DPA aan

Datalekken — AVG art. 33

Bij een datalek met risico voor jouw rechten en vrijheden melden we dit binnen 72 uur aan de Autoriteit Persoonsgegevens en, als nodig, aan jou via e-mail én een banner in het dashboard. Detectie via Sentry / audit-log → scope-bepaling → notificatie.

Vermoeden of gevonden? security@pleney.net

Verantwoorde melding

Heb je een kwetsbaarheid gevonden? Dank — meld 'm en we lossen het op.

Spelregels

  • Geef ons redelijke tijd om het op te lossen voor je publiceert (we mikken op ≤ 90 dagen).
  • Test alleen op je eigen account of accounts waarvoor je toestemming hebt.
  • Geen denial-of-service, social engineering of fysieke aanvallen.
  • Raak geen klantdata aan; als je per ongeluk data ziet, stop direct en vermeld het in je rapport.
security@pleney.net

Bevestiging binnen 48 uur, status-update wekelijks tot opgelost. Geen bug-bounty (nog), wel een hall-of-fame-vermelding op verzoek.

Of bekijk /.well-known/security.txt

Status & roadmap

Pleney is in publieke beta. De technische beveiliging is solide; formele certificeringen volgen op klantvraag.

Op de roadmap

  • DPA-document voor business-klanten
  • Externe pen-test (na productie-stabilisatie)
  • Bug-bounty programma — onderzocht
  • ISO 27001 — afhankelijk van klantvraag