Onze beveiliging

Alle gegevensoverdrachten zijn TLS-versleuteld (minimaal TLS 1.2, bij voorkeur TLS 1.3) tussen browser, applicatie, database en transcriptie-engine. HSTS is actief op alle openbare endpoints; HTTP-verzoeken worden omgeleid naar HTTPS en cipher suites zijn geconfigureerd volgens het "Modern"-profiel van Mozilla.

Gegevens zijn versleuteld in rust: back-ups zijn beveiligd met AES-256 en databasevolumes zijn volledig schijfversleuteld. Wachtwoorden worden uitsluitend opgeslagen met bcrypt (cost ≥ 10). API-sleutels worden gehasht opgeslagen en slechts één keer, bij het aanmaken, in platte tekst getoond.

Administratieve toegang tot productiesystemen verloopt uitsluitend via SSH met asymmetrische sleutelauthenticatie – inloggen met wachtwoord is uitgeschakeld. Alle medewerkersaccounts op platform- en cloudconsoles zijn beschermd met TOTP-gebaseerde tweefactorauthenticatie.

• Rolgebaseerde toegangscontrole (RBAC) volgens het principe van minimale rechten
• Driemaandelijkse beoordeling van alle toegangsrechten
• Volledig auditlog van alle administratieve toegang (wie, wanneer, wat, vanwaar)
• In normaal bedrijf hebben Aliru-medewerkers geen leestoegang tot transcriptie-inhoud
• Aan de klantkant: optionele TOTP-2FA, back-upcodes, een apart auditlog per account

Elke workspace (intern een "Directory") is via een UUID logisch gescheiden van alle andere. Elke databasequery controleert de Directory-context van het huidige verzoek – cross-tenant leestoegang is technisch onmogelijk, omdat de applicatielaag nooit een ongecontroleerde query tegen de database toestaat. Back-ups, auditlogs en caches volgen dezelfde scheiding.

• Dagelijkse geautomatiseerde back-ups; doorlopende bewaring van 14 dagen
• Back-ups versleuteld (AES-256) en op aparte hardware in een tweede datacenter
• Halfjaarlijks gedocumenteerde hersteltests
• RTO (Recovery Time Objective): 4 uur bij volledige uitval
• RPO (Recovery Point Objective): maximaal 24 uur gegevensverlies
• Statuspagina op deepscript.com/status met meting per minuut en 90 dagen incidentgeschiedenis

We hanteren een gedocumenteerd incident-responseproces met een duidelijke escalatieketen: detectie → indamming → analyse → herstel → klantmelding → post-mortem.

• Melding van datalekken aan klanten binnen 24 uur na bekendwording
• Inhoud van de melding: aard van de inbreuk, categorieën en bij benadering aantal betrokken gegevens, getroffen maatregelen, contactpersoon
• De melding aan de toezichthouder op grond van art. 33 AVG (termijn van 72 uur) ligt bij de verwerkingsverantwoordelijke – wij ondersteunen met alle benodigde informatie
• Een post-mortem voor elk incident met analyse van de hoofdoorzaak en maatregelen om herhaling te voorkomen

Jaarlijks schakelen we een onafhankelijke externe beveiligingsdienstverlener in voor een penetratietest tegen de webapplicatie en de openbare REST-API. Bevindingen worden geprioriteerd op basis van risicoweging; kritieke bevindingen worden binnen 14 dagen verholpen. We stellen op verzoek een executive summary beschikbaar aan zakelijke klanten onder NDA.

Intern voeren we elk kwartaal een TOM-effectiviteitstoets uit – de huidige versie is gedocumenteerd in bijlage 1 van de verwerkersovereenkomst (DPA).

• Verplichte code review voor alle wijzigingen aan productiecode
• Dependency-scanning bij elke build (pnpm audit) – geen bekende kritieke CVE's in productie
• Geautomatiseerde CI met typecontrole, unittests en E2E-tests vóór elke deployment
• Strikte scheiding van ontwikkel-, staging- en productieomgevingen – geen echte data in niet-productiesystemen
• Secrets in productieconfiguraties via versleutelde omgevingsvariabelen; geen secrets in de code-repository

Onze speech-to-text-engine valt onder de categorie "beperkt risico" van de EU-AI-verordening (verordening (EU) 2024/1689). Er vindt geen biometrische identificatie, geen social scoring en geen geautomatiseerde besluitvorming met rechtsgevolg plaats. Details staan in de AI-complianceverklaring (bijlage 4 bij de DPA).

• Geheimhoudingsplicht voor alle medewerkers op grond van art. 28 lid 3 sub b AVG
• Verplichte jaarlijkse training over gegevensbescherming en informatiebeveiliging
• Onboardingtraining voor elke nieuwe medewerker met toegang tot productiesystemen
• Off-boardingproces met onmiddellijke intrekking van alle toegang bij beëindiging van het dienstverband