Vaksy
Naar start

Veilig werken aan je administratie

Veiligheid en gegevensbescherming

Hoe Vaksy accounts, klantgegevens, documenten en bestanden beschermt — en wat nog wordt versterkt.

Beveiliging is geen eenmalig vinkje. Deze pagina beschrijft de huidige beveiligingsmaatregelen. Nieuwe functies worden pas beschikbaar wanneer dezelfde gegevensscheiding en toegangscontroles consequent zijn toegepast.

Accounts gescheiden

Databasebeleid koppelt bedrijfs-, klant- en projectgegevens aan het ingelogde gebruikersaccount.

Privébestanden

Projectfoto’s, documenten en bedrijfslogo’s staan in niet-openbare opslag en zijn per account afgeschermd.

Beveiligde toegang

Privébestanden worden alleen via tijdelijke links getoond. Sessies zijn nodig voor toegang tot de applicatie.

Geheimen op de server

Beheersleutels en e-mailcodes worden niet meegestuurd naar de browser en blijven in de serveromgeving.

Controle op eigenaarschap

Gevoelige serverhandelingen controleren niet alleen of iemand is ingelogd, maar ook of de gegevens bij dat account horen.

Beperkte uploads

Voor uploads gelden waar passend beperkingen op bestandstype en bestandsgrootte; projectfoto’s worden vóór opslag verkleind.

Gecontroleerde wijzigingen

Wijzigingen worden via versiebeheer, bouwcontroles, previews en afzonderlijke productiedeployments doorgevoerd.

Verdediging in lagen

Beveiliging vindt plaats in de browser, serverfuncties, database en bestandsopslag, zodat één controle niet de enige verdedigingslaag is.

1. Ons uitgangspunt

Vaksy verwerkt zakelijke gegevens die belangrijk kunnen zijn voor de gebruiker en diens klanten. Daarom beperken we toegang tot wat voor de gekozen functie nodig is, scheiden we gegevens per account en verbeteren we de beveiliging stapsgewijs. Geen online dienst is volledig zonder risico; deze pagina beschrijft de huidige maatregelen en maakt geen absolute veiligheidsgarantie.

2. Accounts en toegang

Een gebruiker heeft een persoonlijk account nodig voor de afgeschermde omgeving. De browser bewaart een beveiligde Supabase-sessie om de gebruiker ingelogd te houden. Serverfuncties controleren het toegangstoken voordat zij namens een gebruiker handelen.

Gebruikers moeten een sterk, uniek wachtwoord gebruiken, hun account niet delen, apparaten vergrendelen en verdachte toegang direct melden via het bekende testcontact.

3. Scheiding tussen gebruikers

De belangrijkste databasetabellen gebruiken toegangsregels op rijniveau. Een ingelogde gebruiker kan daardoor alleen regels benaderen waarvan het gebruikersnummer overeenkomt met het eigen account. Bij relaties tussen bijvoorbeeld klant, project, offerte en factuur wordt ook gecontroleerd of de gekoppelde onderdelen van dezelfde gebruiker zijn.

Deze accountscheiding is eerder gericht getest met verschillende gebruikers. Beveiliging blijft echter een doorlopend proces; nieuwe tabellen en functies moeten dezelfde controles krijgen voordat ze in productie gaan.

4. Documenten en bestanden

Opslag voor projectfoto’s, offertes, facturen, inkomende bijlagen en bedrijfslogo’s is niet openbaar. Bestanden worden opgeslagen in een mapstructuur die begint met het gebruikersnummer. Alleen de eigenaar kan via de applicatie toegang krijgen. Voor weergave worden tijdelijke beveiligde links gebruikt die automatisch verlopen.

5. Transport, hosting en leveranciers

Gegevens worden via versleutelde HTTPS-verbindingen verzonden. Vaksy gebruikt Supabase voor authenticatie, database en opslag, Vercel voor hosting en Resend voor functionele e-mail. Hun rol staat verder beschreven in deverwerkersovereenkomst.

Het Vaksy-lettertype wordt lokaal vanaf vaksy.nl aangeboden. Daarvoor wordt dus geen afzonderlijk verzoek meer naar Google Fonts gestuurd.

6. Ontwikkelen zonder klantgegevens te bekijken

Normale ontwikkeling gebeurt in broncode, lokale omgevingen en afzonderlijke previews. Daarvoor hoort geen inzage in echte klantinhoud nodig te zijn. Productiegeheimen staan buiten de broncode in afgeschermde omgevingsvariabelen.

Als onderzoek naar een storing uitzonderlijk toegang tot productiegegevens vereist, moet die toegang noodzakelijk, zo beperkt mogelijk, vertrouwelijk en aantoonbaar zijn.

7. Incidenten en datalekken

Bij een mogelijk beveiligingsincident wordt eerst de situatie begrensd en onderzocht. Getroffen gebruikers worden zonder onredelijke vertraging geïnformeerd wanneer dat nodig is. Vaksy registreert relevante informatie en ondersteunt zakelijke gebruikers bij hun beoordeling. De gebruiker blijft zelf verantwoordelijk voor een eventuele melding over klantgegevens waarvan hij verwerkingsverantwoordelijke is. Meer afspraken staan in deverwerkersovereenkomst.

8. Doorlopende verbeterpunten

  • Een formeel informatiebeveiligings- en toegangsbeleid vaststellen.
  • Back-upherstel en verwijderprocedures documenteren en periodiek testen.
  • Multifactorauthenticatie voor beheerders en waar passend voor gebruikers afdwingen.
  • Beveiligingsupdates, afhankelijkheden en waarschuwingen structureel opvolgen.
  • Een externe beveiligingstest laten uitvoeren en bevindingen oplossen.
  • Een zakelijke meldroute voor kwetsbaarheden en incidenten publiceren.
  • De leveranciersafspraken, bewaartermijnen en internationale doorgiften definitief vastleggen.

9. Een probleem melden

Gebruikers kunnen een mogelijk beveiligingsprobleem melden via info@vaksy.nl. Deel geen wachtwoorden, volledige klantbestanden of andere gevoelige informatie in een eerste melding. Omschrijf wat je zag en wanneer het gebeurde.

Meld beveiligingsproblemen via info@vaksy.nl. Een beleid voor verantwoorde melding wordt later toegevoegd. Deze pagina is voor het laatst bijgewerkt op6 september 2026.