Beveiliging

Infrastructuur

• Beheerde database: Applicatiegegevens staan in een beheerde PostgreSQL-database (Supabase) met versleutelde, automatische back-ups.
• Versleuteling bij opslag: Databasevolumes worden standaard met AES-256 versleuteld.
• Versleuteling bij overdracht: Al het verkeer gebruikt TLS 1.2+, afgedwongen op de CDN-laag (Cloudflare). HTTP wordt omgeleid naar HTTPS.
• Edge-netwerk: De dienst wordt via Cloudflare aangeboden, met DDoS-mitigatie en WAF-bescherming.

Authenticatie en toegangsbeheer

• Inloggen zonder wachtwoord: We gebruiken inloglinks en WebAuthn-passkeys. Er zijn geen wachtwoorden die kunnen uitlekken.
• Sessiecookies: HttpOnly, Secure, SameSite=Lax. Sessies worden cryptografisch ondertekend met een geheim dat wordt geroteerd.
• Interne toegang: Productiesystemen vereisen MFA. Databasetoegang is via rolgebaseerde rechten beperkt tot aangewezen engineers.

Betalingen

Betalingen worden uitsluitend verwerkt door Stripe (PCI-DSS Level 1-conform). Papigrows ziet, bewaart of verstuurt nooit kaartnummers. Stripe-tokens zijn de enige betalingsgegevens die we bewaren.

Integraties met derden

OAuth-tokens voor CMS-verbindingen (Webflow, Shopify) worden met AES-256-GCM versleuteld voordat ze in de database worden opgeslagen. We vragen alleen de noodzakelijke OAuth-rechten aan.

Verantwoord melden van kwetsbaarheden

Ontdek je een beveiligingslek, meld dit dan via [email protected]. We streven ernaar meldingen binnen 24 uur te bevestigen en kritieke problemen binnen 72 uur op te lossen. We ondernemen geen juridische stappen tegen onderzoekers die te goeder trouw handelen.

GDPR en gegevensverwerking

Bekijk ons privacybeleid voor alle informatie over gegevensverzameling, bewaartermijnen, je rechten onder de GDPR en onze gegevensverwerkingsovereenkomst (DPA), die op verzoek beschikbaar is.

Neem contact op

Beveiligingsvragen: [email protected]
Algemeen contact: [email protected]