Beveiliging

Wat de assistent mag, en wat niet

• ✓Lezen, aanmaken en concepten bijwerken. Niet verwijderen. De AI krijgt alleen een vaste lijst opdrachten mee, en daar zit geen enkele verwijderopdracht bij. Hij kan ook geen programma's draaien of bestanden openen; alleen die lijst.
• ✓Niets zonder jouw ja. Een factuur, offerte of boeking staat eerst als concept klaar. Pas na jouw akkoord gaat hij de deur uit of de boeken in.
• ✓Nooit je wachtwoord. Je geeft ons een API-sleutel die je zelf in Jortt of e-Boekhouden aanmaakt. Die trek je daar met één klik weer in, en dan kunnen wij nergens meer bij.

Je sleutels

• In onze database staat je API-sleutel versleuteld (AES-256). Wie de database in handen krijgt, ziet alleen onleesbare tekst.
• We tonen hem nooit terug op het scherm, ook niet aan jou. Je kunt hem alleen vervangen of verwijderen.
• De AI krijgt je sleutel niet te zien. Die gebruikt alleen onze eigen koppelcode.
• Kies je een ander pakket, dan gooien we de oude sleutel direct weg. Zelf verwijderen kan onder Instellingen → Koppeling.

Je account

• Wachtwoorden van minimaal 12 tekens, en we weigeren wachtwoorden die al eens bij een datalek op straat lagen.
• Tweestapsverificatie of een passkey zet je zelf aan onder Instellingen → Beveiliging. Voor onze eigen beheerders is dat verplicht.
• Inlogpogingen zijn begrensd, en het aanmeldformulier is beschermd tegen bots.
• De site is alleen via een versleutelde verbinding (HTTPS) bereikbaar, en een andere website kan hem niet onzichtbaar in een frame laden.

Wie erbij kan

Alleen d-labs it. Soms moeten we in je account meekijken om je te helpen, bijvoorbeeld bij een storing. Dan geldt:

• Het wordt altijd vastgelegd: wie, wanneer, en wanneer het stopte.
• Het stopt vanzelf na 30 minuten.
• Jij ziet het terug in je eigen account, onder Instellingen → Activiteit, samen met alles wat er verder met je account is gebeurd.
• Ook dan staat je API-sleutel nergens in beeld.

Er zitten geen advertentie- of trackingpartijen op de site of in de app. De enige cookies zijn de twee die nodig zijn om ingelogd te blijven en formulieren te beveiligen.

Waar je gegevens langs gaan

Geen lange keten. Dit is hem, van begin tot eind:

1. Signal. Je bericht is end-to-end versleuteld tot het bij onze server aankomt. Daar wordt het ontsleuteld, want anders kan de assistent het niet lezen.
2. Onze server in Frankfurt (Duitsland), gehuurd bij Strato, onderdeel van IONOS. Elke klant heeft er een eigen, gescheiden opslag.
3. Anthropic, de maker van de AI. Om je vraag te begrijpen gaat de tekst van je bericht, en een bonnetje als je dat stuurt, naar Anthropic in de Verenigde Staten.
4. Je eigen boekhoudpakket. Jortt of e-Boekhouden, waar de factuur uiteindelijk terechtkomt.

Wie we verder inschakelen (betalen, botcontrole) en hoe lang we wat bewaren, staat in de privacyverklaring. Komt er een partij bij, dan hoor je dat vooraf.

Als het toch misgaat

Merken we dat iemand bij gegevens is gekomen die daar niet hoort, dan laten we het je zo snel mogelijk weten en melden we het, zoals de wet vraagt, bij de Autoriteit Persoonsgegevens. Je hoort het van ons, niet uit de krant.

Van de server maken we meerdere keren per dag een reservekopie. Die gaat over een versleutelde verbinding naar onze eigen opslag in Nederland.

Een zwakke plek gevonden?

Mail support@dlabsit.nl met als onderwerp "Beveiliging". We reageren binnen twee werkdagen en vertellen je eerlijk wat we ermee doen. Voor onderzoekers staat hetzelfde adres in security.txt.