Probeer GRATIS

Beveiliging bij ERPFlow

Hieronder staat wat vandaag daadwerkelijk is gebouwd – geen roadmap en geen lijst met dingen die we van plan zijn.

Onze verwerkersovereenkomst neemt deze pagina op als Bijlage II — de actuele openbare beschrijving van de technische en organisatorische maatregelen van ERPFlow. (2026-07-27)

  • Uw gegevens zijn gescheiden in de database zelf

    Op elke tabel gelden beveiligingsregels op rijniveau, standaard geen toegang, zodat een query alleen rijen van uw eigen organisatie kan teruggeven. Die grens wordt afgedwongen door PostgreSQL en niet door applicatiecode: een fout in een handler kan er geen gegevens van een ander bedrijf langs lekken.

  • Gehost in de EU

    Uw gegevens staan op servers in Duitsland. Bij het normale draaien van de dienst verlaten ze de EU niet, en elke subverwerker die we inzetten staat openbaar vermeld, met wat die doet en waar.

  • Versleuteld onderweg en in rust

    Al het verkeer loopt over TLS. Gegevens in rust – ook back-ups van de database en geüploade bestanden – zijn versleuteld op schijf. Back-ups worden apart versleuteld, dus een kopie is waardeloos zonder de bijbehorende sleutel.

  • Mensen zien alleen wat hun rol toelaat

    Toegang op basis van rollen regelt elk onderdeel, per handeling. U bepaalt wie facturen mag inzien, wie personeelsgegevens mag wijzigen en wie niets ziet behalve de eigen reserveringen. Rechten worden bij elk verzoek op de server gecontroleerd, niet weggestopt in de interface.

  • Elke wijziging wordt gelogd

    Aanmaken, wijzigen en verwijderen komen terecht in een activiteitenlog dat u kunt doorzoeken op gebruiker, record en handeling. Mutaties in voorraad en activa hebben hun eigen onveranderlijke spoor. Klopt een getal niet, dan ziet u precies wat het heeft veranderd en wie daarachter zat.

  • Automatische, versleutelde back-ups

    Van de database worden volgens een vast schema automatisch versleutelde back-ups gemaakt, en de herstelprocedures zijn gedocumenteerd en geoefend in plaats van aangenomen.

  • U kunt alles meenemen

    Download wanneer u wilt uw hele organisatie: één archief met elk record als CSV dat zo weer te importeren is, plus een apart archief met elk bestand dat u heeft geüpload. Geen exportkosten, geen supportticket, geen dichtgetimmerd formaat. Vertrekken is een knop, geen onderhandeling.

  • De AVG (GDPR) in de praktijk, niet alleen op papier

    We publiceren ons register van subverwerkers, honoreren inzage- en verwijderverzoeken en houden analytics achter uitdrukkelijke toestemming: er laadt geen enkele trackingcookie voordat u die accepteert. Onze privacyverklaring vertelt in gewone taal wat we verzamelen.

  • Geheimen blijven op de server

    Databasereferenties, API-sleutels en ondertekeningsgeheimen leven op de server, beperkt tot de diensten die ze nodig hebben — niet in de code, niet in tickets, niet op laptops. Bij een rolwissel of vertrek worden toegang en referenties direct ingetrokken.

  • Het team is gebonden aan vertrouwelijkheid en getraind

    Iedereen die bij klantdata mag, heeft zich schriftelijk tot vertrouwelijkheid verplicht en wordt voor zijn rol getraind in gegevensbescherming en informatiebeveiliging, met ten minste jaarlijkse opfrissing. Onze verwerkersovereenkomst maakt beide toezeggingen contractueel (clausules 5.1 en 5.2).

  • Datalekken melden we binnen 72 uur

    Raakt een inbreuk op persoonsgegevens uw data, dan informeren wij u zonder onredelijke vertraging — uiterlijk 72 uur nadat we ervan weten — met wat er is gebeurd, welke data het raakt en wat we eraan doen. Die termijn is een contractuele toezegging in onze verwerkersovereenkomst (clausule 10), geen streven.

Meer details: Register van subverwerkers · Privacyverklaring

Wat wij niet beweren

Wij hebben geen SOC 2- of ISO 27001-certificering en hebben geen externe penetratietest laten uitvoeren. Buiten Enterprise-afspraken publiceren wij geen uptime-SLA. Liever hoort u dat hier dan dat u er tijdens een inkooptraject achter komt – en als iets daarvan voor u een blokkade is, zeg het, dan geven wij u een eerlijke termijn in plaats van een verkooppraatje.

Wat kopers ons vragen

Is ERPFlow SOC 2- of ISO 27001-gecertificeerd?
Nee. We hebben geen enkele formele certificering en we zeggen dat liever hardop dan dat we iets anders suggereren. De maatregelen hierboven zijn geïmplementeerd en in gebruik. Is een certificering voor u een harde eis, laat het weten – dan praten we eerlijk over de termijn.
Waar staan mijn gegevens precies?
Op servers in Duitsland, binnen de EU. Ons register van subverwerkers noemt elke derde partij die bij het draaien van de dienst betrokken is, wat die doet en waar die werkt.
Wie bij ERPFlow kan mijn gegevens zien?
Alleen de engineers die de dienst draaiende houden hebben toegang tot de productieomgeving, en die toegang wordt uitsluitend gebruikt voor support en incidenten. We verkopen geen gegevens, delen ze niet met adverteerders en gebruiken uw records niet om modellen te trainen.
Wat gebeurt er als ik mijn organisatie verwijder?
Het verwijderscherm biedt eerst allebei de exports aan – records en bestanden – zodat u met een kopie vertrekt. Na het verwijderen worden de gegevens uit de actieve systemen gehaald; versleutelde back-ups verlopen volgens de normale bewaartermijn.
Hoe meld ik een kwetsbaarheid?
Mail ons de details, dan bevestigen we de ontvangst. We horen een probleem veel liever van u dan van een incident.
Pseudonimiseren jullie opgeslagen data?
Nee. Bedrijfssoftware moet echte namen tonen aan wie daartoe bevoegd is, dus beschermen we actieve records met isolatie op rijniveau per organisatie, versleuteling onderweg en in rust en rolgebaseerde toegang, in plaats van pseudonimisering. Onze verwerkersovereenkomst neemt deze pagina op als Bijlage II — wat u hier leest, is precies wat is ingericht.

Twijfelt u nog? Plan een demo

Start gratis. Groei in uw eigen tempo.

Draai uw hele bedrijf op één plek – en betaal ervoor als ondernemer, niet als multinational.

Probeer GRATISPlan een demo

Geen creditcard · Geen aflopende proefperiode · Exporteer alles · Altijd opzegbaar