Beveiliging, in gewone taal

01Waar je data staat

De primaire hosting van CustomerEagle staat in de EU. Verwerkt een subverwerker noodzakelijkerwijs data buiten de Europese Economische Ruimte, dan loopt die doorgifte via een passend mechanisme — vooral de modelcontractbepalingen van de Europese Commissie, samen met het UK International Data Transfer Addendum waar dat van toepassing is.

• Primaire hosting in de EU.
• AI-subverwerkers vallen onder EU-modelcontractbepalingen.
• Elke subverwerker staat met doel en verwerkingslocatie in de verwerkersovereenkomst — ook die buiten de EU.

02Versleuteling onderweg en in rust

Data die tussen de widget, je dashboard, onze dienst en aangesloten integraties beweegt, gaat over TLS. Opgeslagen inloggegevens en gevoelige persoonsgegevens worden in rust versleuteld met AES-256-GCM, en back-ups zijn eveneens versleuteld.

• TLS voor gegevens die tussen clients, de dienst en integraties worden verzonden.
• AES-256-GCM-versleuteling voor opgeslagen inloggegevens en gevoelige persoonsgegevens.
• Versleutelde back-ups, met maatregelen om beschikbaarheid en toegang tot persoonsgegevens na een incident te herstellen.

03Hoe de ene werkruimte gescheiden blijft van de andere

CustomerEagle is multi-tenant, en de scheiding wordt in de applicatie afgedwongen: elke query die klantdata raakt, is expliciet beperkt tot één werkruimte. PostgreSQL row-level security staat daarachter als extra beschermingslaag — een tweede vangnet, niet waar we op leunen.

• Scoping per werkruimte op elke query is de maatregel waar we op vertrouwen.
• Row-level security in de database zit daarachter als extra laag.
• Toegang van medewerkers is rolgebaseerd, en accounts van platformmedewerkers vereisen multifactorauthenticatie.
• Beveiligingsrelevante en administratieve gebeurtenissen worden gelogd voor monitoring en onderzoek.

04AVG: de documenten, geen samenvatting

Je kunt lezen waar je mee akkoord gaat vóórdat je akkoord gaat. De verwerkersovereenkomst bevat de artikel 28-bepalingen, de lijst met subverwerkers en de doorgiftebepalingen; het privacybeleid beschrijft wat we verwerken en waarom; verwijderen doe je zelf en is gedocumenteerd.

• Zelfbediening voor export en verwijdering, plus ondersteuning bij verzoeken van betrokkenen onder de artikelen 12–23 AVG.
• We melden je zonder onnodige vertraging een datalek dat jouw persoonsgegevens raakt — een eerste melding waar mogelijk binnen 24 uur.
• Nieuwe of vervangende subverwerkers kondigen we minstens 30 dagen vooraf aan, met een recht van bezwaar op redelijke gegevensbeschermingsgronden.

05Wat de AI met je data mag doen

De assistent antwoordt uit bronnen die jij hebt goedgekeurd en verwijst ernaar; is hij niet zeker, dan geeft hij het gesprek door aan je team in plaats van te gokken. Je supportdata wordt nooit gebruikt om algemene modellen te trainen.

• Antwoorden komen alleen uit content die jij hebt goedgekeurd, elk met bronvermelding.
• Ordergegevens worden standaard alleen getoond aan de klant van wie het e-mailadres bij de bestelling hoort — een verkeerd e-mailadres en een niet-bestaande bestelling geven exact hetzelfde antwoord.
• De AI geeft nooit zelf geld terug en past nooit zelf een bestelling aan: schrijfacties worden voorbereid en wachten op goedkeuring van een mens.
• Je supportdata wordt nooit gebruikt om algemene modellen te trainen.

06Wat we zwart op wit toezeggen

Onze technische en organisatorische beveiligingsmaatregelen liggen contractueel vast in een openbare verwerkersovereenkomst — gepubliceerd vóór je tekent, niet 'op aanvraag beschikbaar'. De verwerkersovereenkomst noemt elke subverwerker met doel en verwerkingslocatie, en mag alleen worden gewijzigd als het beschermingsniveau niet wezenlijk daalt. Loopt je inkoopproces via een security-vragenlijst, dan beantwoorden de gepubliceerde documenten het grootste deel — en de rest beantwoorden we rechtstreeks.

• Beveiligingsmaatregelen contractueel vastgelegd in de openbare verwerkersovereenkomst.
• Wijzigingen in de verwerkersovereenkomst mogen het beschermingsniveau niet wezenlijk verlagen.
• Security-vragenlijsten welkom — de meeste antwoorden staan al in de gepubliceerde documenten.

07Een kwetsbaarheid melden

Denk je dat je een beveiligingsprobleem hebt gevonden, meld het dan eerst bij ons. Gebruik het contactformulier en zet in de eerste regel dat het een beveiligingsmelding is — ons team reageert binnen één werkdag. Onze voorwaarden vragen schriftelijk om dezelfde beleefdheid: een redelijke gelegenheid om te onderzoeken en op te lossen voordat er iets openbaar wordt gemaakt.

• Stuur het via het contactformulier, gemarkeerd als beveiligingsmelding.
• Test niet op echte klantdata, en scan of pentest niet op productie zonder schriftelijke toestemming.
• Geen enkele dienst is volledig te garanderen — we horen het liever vroeg.

Lees de documenten

We publiceren de juridische teksten liever dan dat we ze samenvatten. De verwerkersovereenkomst bevat de artikel 28-bepalingen, de volledige tabel met subverwerkers en verwerkingslocaties, en de doorgiftebepalingen.