Vertrouwen & Beveiliging

1. Beveiligingsarchitectuur

• Versleuteling in rust

  Alle gevoelige gegevens, inclusief connectorgeloofwaardigheden en identiteitsprovider-certificaten, worden in rust versleuteld met AES-256-GCM.

• Versleuteling in transit

  Al het verkeer wordt bediend via TLS 1.3 (HTTPS), met HSTS afgedwongen zodat browsers weigeren onveilig verbinding te maken.

• Verificatie & MFA

  Meld u aan met Google, of met een e-mailadres en wachtwoord — minstens 12 tekens, opgeslagen alleen als gesloten scrypt-hashes, met geldtarief-beperkte aanmeldpogingen. Tweeledige verificatie (TOTP plus back-upcodes) is beschikbaar voor iedereen en kan organisatiewijd verplicht worden; Enterprise voegt SAML (binnenkort) single sign-on (Okta, Azure AD, Google Workspace, OneLogin) toe met just-in-time-provisioning en beheersing van herhaalde beweringen.

• Op rollen gebaseerde toegangscontrole

  Ingebouwde rollen voor eigenaar, beheerder en viewer plus fijnmazig aangepaste rollen stellen u in staat minimale bevoegdheden toe te kennen. Machtigingen worden op elk verzoek afgedwongen.

• Sessie- en netwerkbesturingselementen

  Configureerbaar beleid voor maximale sessieduur en inactiviteitstijd, plus IP-whitelisting dat de toegang beperkt tot bereiken die u vertrouwt (Enterprise).

• Randbeveiliging

  Cloudflare biedt een Web Application Firewall en DDoS-bescherming voor de applicatie, met beveiligingsheaders (CSP, HSTS, frame-deny) op elk antwoord.

2. Gegevensverwerking

Monitoring is alleen-lezen. Het platform maakt verbinding met de meest beperkte bereiken waarmee het uw positie kan beoordelen, het heeft nooit de inhoud van uw bestanden nodig, en het verandert niets in uw bronnen tenzij u auto-herstel inschakelt.

• Alleen-lezen monitoring

  Connectors bewaken via alleen-lezen bereiken. Voor Google Workspace wordt de scan uitgevoerd op drive.metadata.readonly — het kan metagegevens over delen lezen, niet de inhoud van bestanden. Schrijftoegang bestaat alleen voor auto-herstel: standaard uit, afzonderlijk per connector verleend, en beperkt tot het intrekken of verminderen van toegang.

• Alleen metagegevens en bevindingen

  We slaan permissiemetagegevens, de toegangsgrafiek en de bevindingen die we ervan afleiden op. We slaan de inhoud van uw documenten niet op, indexeren of verzenden deze.

• Configureerbare bewaarperiode

  Operationele gegevens volgen uw bewaarbeleid — bijvoorbeeld tot 24 maanden auditgeschiedenis en een venster van 90 dagen voor voorbijgaande gegevens — met een veiligheidsvloer zodat er niets per ongeluk wordt verwijderd.

• Zelf-serve export en verwijdering

  Eigenaars kunnen de gegevens van hun organisatie exporteren en zelf accountverwijdering aanvragen. Verwijdering wordt uitgevoerd in een respijtperiode en verwijdert vervolgens de gegevens.

• AI Exposure Check (alleen openbare gegevens)

  De gratis AI Exposure Check leest alleen de openbare DNS-records van een domeinnaam die u invoert, via openbare DNS-resolvers (Cloudflare, met Googles openbare DNS-resolver als terugval). Het maakt geen verbinding met de servers of website van het domein zelf (de openbare resolver kan de naamservers van het domein opvragen, zoals normale DNS-resolutie doet), en retourneert alleen een score, aantallen en statusvlaggen: geen servicenamen, subdomeinen of recordwaarden. Een opgeslagen resultaat wordt na 24 uur verwijderd en een gedeelde kaart na 30 dagen; kopieën kunnen tot ongeveer 56 dagen in onze versleutelde back-ups blijven. Het item dat een e-mailadres bevat dat u hebt gekozen op te geven, wordt binnen 48 uur verwijderd, tenzij u dit bevestigt via een koppeling, en uiterlijk na 12 maanden; de e-mails die we verzenden, worden tot 30 dagen als afleveringsregistratie bewaard.

3. Compliance

We koppelen onze controles en het bewijs dat het product genereert aan de belangrijkste frameworks. Dit zijn toewijzingen om u bij uw eigen audit te helpen — 8200.dev is niet gecertificeerd tegen deze normen, en we zullen dit nooit anders beweren.

• Frameworkmapping

  Controles en productbewijzen zijn gekoppeld aan SOC 2, ISO 27001, GDPR, HIPAA en NIST CSF 2.0. Het in-app compliancedashboard volgt alle vijf gelijk met gapanalyse en een exporteerbare bewijspakket.

• Google API Beperkt gebruik

  Het gebruik van ruwe of afgeleide gebruikersgegevens ontvangen van Workspace-API's zal voldoen aan het Google User Data Policy, inclusief de vereisten voor beperkt gebruik. Workspace-gegevens worden alleen gebruikt om de beveiligingsfuncties die u inschakelt te leveren en te verbeteren — we gebruiken ze nooit om gegeneraliseerde AI of machine-learningmodellen te ontwikkelen, te verbeteren of te trainen, en we sturen ze nooit naar tools of services van derden voor AI of ML voor trainingsdoeleinden.

• Google OAuth-verificatie

  Google keurde de OAuth-verificatie van 8200.dev goed op 2026-08-23 voor de drie bereiken die het aanvraagt: drive.metadata.readonly voor de scan, en admin.directory.user.readonly en admin.directory.user.security voor de optionele audit van derde-partij-apps. Elk nieuw bereik — inclusief het schrijfbereik dat auto-herstel op Google Workspace nodig zou hebben — vereist een nieuwe verificatie voordat we het gebruiken. Op 2026-09-21 keurde Google ook de afzonderlijke, optionele app 8200.dev Admin Insights goed voor de twee alleen-lezen bereiken ervan: cloud-identity.policies.readonly en admin.directory.domain.readonly.

4. AI-agentverantwoordelijkheid

De aansprakelijkheidsverschuiving van 2026 maakt het bedrijf dat AI inzet verantwoordelijk voor wat de agenten doen. 8200.dev produceert het bewijs dat u die toegang hebt geregeld. Dit ondersteunt uw nalevingspositie; het is geen juridisch advies en garandeert geen uitkomst.

• Volledige agentinventaris

  Agent Guard houdt een live-inventaris bij van elke AI-agent en serviceaccount die uw gegevens kan bereiken, plus de OAuth-toewijzingen van derden achter schaduw-AI — u kunt niet regelen wat u niet kunt zien.

• Onveranderbare toegangsregistratie

  Elke toegangsbeslissing en wijziging wordt vastgelegd in een exporteerbare audittrail (CSV / JSON / CEF / SIEM), zodat u kunt reconstrueren wat een AI-agent kon bereiken, en wanneer.

• Aantoonbare governance

  Preventieregels, toegangshandhaving en een gedocumenteerde risicotijdlijn tonen actieve controle en respons — het bewijs achter een verdedigbaar AI-governanceprogramma.

5. Operationele Beveiliging

• Voortdurende gezondheidscontroles

  Geautomatiseerde gezondheidscontroles worden elke vijf minuten uitgevoerd op het platform, de database en connectors, waarbij automatisch een incident wordt geopend wanneer iets verslechtert.

• Openbare statuspagina

  Een openbare statuspagina publiceert uptime-geschiedenis en incidentupdates zodat u altijd de huidige status weet.

• Geautomatiseerde testen

  De codebase wordt gedekt door meer dan 4.000 geautomatiseerde tests die op elke wijziging worden uitgevoerd, zodat regressies vóór release worden opgemerkt.

• Controlelogboekregistratie en SIEM-export

  Veiligheidsgerelateerde acties worden geregistreerd in een onveranderbare audittrail per organisatie die u kunt exporteren als CSV, JSON of CEF, en streamen naar uw SIEM (Enterprise).

6. Onderaannemers

We gebruiken een kleine set gescreende onderaannemers. Elk ontvangt alleen de gegevens die nodig zijn om zijn functie uit te voeren.

7. Contact

Heeft u beveiligingsdocumentatie, een onderaannemerlijst of antwoorden voor een leveranciersbeoordeling nodig? E-mail [email protected].