Veiligheid en kwaliteit

U vertrouwt ons de persoonsgegevens van uw leden, vrijwilligers of medewerkers toe. Op deze pagina leest u hoe we die gegevens beschermen en hoe we de kwaliteit van onze software bewaken.

Laatst bijgewerkt: 11 november 2026

Waar uw gegevens staan

De software, de database en de bestanden die u uploadt staan op servers in de Europese Unie.
Voor enkele diensten, zoals het verzenden van e-mail, werken we met partijen buiten de EU. Welke dat zijn en welke afspraken daarvoor gelden, staat in de verwerkersovereenkomst.

Hoe we uw gegevens beschermen

Elke organisatie heeft een eigen, afgeschermd deel van de database.
De verbinding met onze software is altijd versleuteld (https).
Gevoelige gegevens, zoals de sleutels voor koppelingen met andere systemen, slaan we versleuteld op.
Wachtwoorden slaan we niet leesbaar op, maar uitsluitend als onomkeerbare hash.
Herhaalde inlogpogingen worden tijdelijk geblokkeerd. Dat beschermt tegen het raden van wachtwoorden.
Beheerders kunnen tweestapsverificatie gebruiken: naast het wachtwoord een code uit een authenticator-app.
Wijzigingen in persoonsgegevens worden vastgelegd in een auditlog: wie wat wanneer heeft gewijzigd.
De database wordt beheerd door onze hostingpartij en heeft automatische back-ups.

Controle op bekende kwetsbaarheden

Onze software maakt gebruik van externe softwarecomponenten. Die controleren we elke nacht automatisch op bekende kwetsbaarheden, aan de hand van openbare registers zoals de CVE-lijst.
Daarnaast wordt onze eigen broncode automatisch gescand op bekende typen beveiligingsfouten.
Bij risicovolle wijzigingen en tijdens beveiligingsaudits laten we de broncode bovendien controleren door AI, die gericht zoekt naar kwetsbaarheden. Die controle kijkt alleen naar de code, nooit naar de gegevens van uw organisatie.
Ook de systeemsoftware van onze servers controleren we op ernstige kwetsbaarheden.
Levert een controle een nieuwe bevinding op, dan gaat er een alarm af. Lossen we een bevinding bewust niet op, dan leggen we de reden vast.
Wekelijks zet Dependabot (een dienst van GitHub) updates van deze componenten klaar, voor zowel onze software als onze apps.

Zorgvuldig ontwikkelen

Bij elke wijziging in de software draait automatisch een reeks tests en controles.
Wijzigingen met een risico voor privacy of beveiliging krijgen een aparte beveiligingsreview, getoetst aan de OWASP Top 10: de gangbare lijst van de meest voorkomende beveiligingsrisico's in webapplicaties.
Voor nieuwe functionaliteit met een privacyrisico voeren we vooraf een DPIA uit, de gegevensbeschermingseffectbeoordeling die de AVG voorschrijft.
Voor onze eigen AI-functies hebben we vastgelegd welke regels uit de Europese AI-verordening (AI Act) gelden en in welke risicocategorie ze vallen.
We meten periodiek de onderhoudbaarheid van onze code.
We beschikken niet over een keurmerk of certificaat van een externe partij.

Als er iets misgaat

In de verwerkersovereenkomst staat dat we een datalek binnen 48 uur na ontdekking aan u melden.
Heeft u een beveiligingslek gevonden? Op Kwetsbaarheid melden leest u hoe u dat aan ons doorgeeft. We behandelen meldingen volgens de leidraad van het Nationaal Cyber Security Centrum (NCSC).