Security & GDPR — hoe Koldwerk omgaat met je data.

1. Architectuur

Multi-tenant isolatie

Iedere werkruimte (tenant) heeft een eigen tenantId. Alle queries naar tenant-data lopen door een tenantClient(tenantId)-wrapper die de tenant-scope op rij-niveau afdwingt. Cross-tenant data-toegang is structureel onmogelijk — niet door code-review, maar door query-design. Er is geen "admin override"-knop die deze isolatie omzeilt.

Encryptie at-rest

Persoonsgegevens worden geëncrypteerd vóór ze de database raken via AES-256-GCM met server-side key (PII_KEY env-var). De encrypted ciphertext + authentication-tag + IV worden opgeslagen, niet de plain-text. Bij key-rotation worden bestaande records re-encrypted via een batch-job.

Encryptie in-transit

TLS 1.3 enforced via HSTS-header (max-age=63072000; includeSubDomains; preload). Alle subdomeinen redirect 301 naar HTTPS. Mixed-content geblokkeerd door Content-Security-Policy.

Wachtwoord-hashing

Argon2id met memory-cost 64MB en time-cost 3 iteraties (OWASP-aanbeveling 2024). Géén MD5/SHA-1/bcrypt-only legacy. Per-user random salt. Bij een datalek zijn de hashes praktisch onbrute-forceable.

Audit-trail (append-only)

Iedere kritieke handeling (werkbon-aftekening, koudemiddel-mutatie, user-rolwijziging, lekcontrole, etc.) wordt geschreven naar een AuditLog-tabel met:

• Actor: user-id, IP-hash, user-agent fingerprint
• Action: type + entity-id + before/after JSON
• Hash-chain: SHA-256(prevHash + payload) — wijzigen vereist hele chain herschrijven
• INSERT-only constraint — geen UPDATE/DELETE mogelijk via applicatie-laag

Bij een Kiwa-audit kunnen we de hash-chain valideren in real-time. Tampering wordt direct gedetecteerd.

2. Operationele security

Back-ups

Dagelijkse versleutelde back-ups via de managed Postgres-provider (point-in-time-recovery binnen 7 dagen). Wekelijkse snapshot extern opgeslagen. RPO (Recovery Point Objective): max. 24 uur. RTO (Recovery Time Objective): 4 uur voor catastrofale infrastructuur-uitval.

Incident-response

Sentry (EU-region) monitort runtime-errors. Bij security-incidenten:

• Detectie + initial-triage binnen 1 uur tijdens kantooruren.
• Verwerkingsverantwoordelijke (tenant-owner) informeren binnen 24 uur.
• AP (Autoriteit Persoonsgegevens) melding binnen 72 uur indien meldingsplichtig.
• Post-mortem schriftelijk binnen 7 werkdagen.

Rate-limiting + brute-force-bescherming

Login: 5 pogingen / 15 min per IP+email-combinatie. Wachtwoord-reset: 3 / uur. Magic-link: 3 / 15 min. Diensten-aanvragen: 5 / uur. Contact-form: 3 / uur. Bot-detectie via honeypot-velden + User-Agent-fingerprinting.

Security headers

Strict-Transport-Security, Content-Security-Policy (met nonce per response), X-Content-Type-Options, Referrer-Policy: strict-origin-when-cross-origin, Permissions-Policy beperkt tot strikt minimum. Cross-Origin-Opener-Policy en Cross-Origin-Embedder-Policy actief.

security.txt

Responsible-disclosure via /.well-known/security.txt. Reactie binnen 48 uur. Géén bug-bounty-budget op dit moment — wel erkenning + hall-of-fame na publicatie.

3. AVG-compliance

Rolverdeling

Verwerker: Koldwerk. Verwerkingsverantwoordelijke: jouw bedrijf. Volledige verwerkersovereenkomst onder /verwerkersovereenkomst — conform AVG art. 28, sub-processors expliciet benoemd.

Data-locatie

Alle persoonsgegevens worden verwerkt binnen de EER. Geen Schrems-II-risico via US-providers. Indien een sub-processor in de toekomst data buiten de EER zou verwerken, krijgt elke verwerkingsverantwoordelijke 30 dagen vooraf bericht.

Betrokkenenrechten

Inzage, correctie, verwijdering, dataportabiliteit — alles binnen 30 dagen. OWNER kan via /instellingen zelf user-data en klant-data verwijderen of corrigeren. Voor formele verzoeken: privacy@koldwerk.nl.

Bewaartermijnen

• Actieve werkruimte-data: zolang abonnement loopt.
• Na opzegging: 30 dagen grace-period voor export, daarna anonimisering.
• Audit-records (zonder identificeerbare PII): 7 jaar conform BRL-100 / Wet milieubeheer.

5. Roadmap — wat we nog niet doen

Koldwerk is een nieuw product. Sommige zaken die enterprise-buyers verwachten, doen we nog niet. We benoemen ze hier expliciet zodat je geen verrassingen krijgt na een offerte.