Juridisch

Beveiliging en gegevensopslag

Versie 1.1 · laatst bijgewerkt op 9 november 2026

Je zet certificaten, keuringen en persoonsgegevens van je mensen in Certly. Dan wil je weten waar dat staat en wie erbij kan. Op deze pagina lees je precies hoe we dat geregeld hebben: nuchter en zonder marketingtaal.

In het kort

• Je gegevens en bestanden staan in de EU (Frankfurt en Dublin).
• Alles is versleuteld, onderweg (TLS) en in opslag (AES-256).
• Elke organisatie is strikt gescheiden; niemand buiten je eigen team kan bij je documenten.
• Bestanden staan in een niet-publieke opslag en zijn alleen te openen via tijdelijke links.
• We gebruiken een klein aantal leveranciers die zelf SOC 2 of ISO 27001 gecertificeerd zijn.
• Een verwerkersovereenkomst is onderdeel van onze voorwaarden; een ondertekend exemplaar krijg je op verzoek.

Waar staan je gegevens?

Je gegevens verlaten de EU alleen in de twee gevallen die hieronder bij leveranciers staan: de supportchat en de optionele AI-uitlezing.

Versleuteling

• Onderweg: al het verkeer loopt over HTTPS (TLS). Onversleutelde verbindingen worden geweigerd en browsers onthouden dat (HSTS, preload).
• In opslag: database en bestandsopslag zijn bij Supabase/AWS standaard versleuteld met AES-256.
• Wachtwoorden: we slaan nooit een wachtwoord op, alleen een bcrypt-hash. Ook wij kunnen je wachtwoord niet lezen.
• Koppelsleutels van externe systemen (zoals AFAS) worden apart versleuteld (AES-256-GCM) voordat ze de database ingaan.

Scheiding tussen klanten

Certly is een gedeelde dienst waarin elke organisatie een eigen, afgeschermde omgeving heeft. Elke opvraging in de code is gebonden aan de organisatie van de ingelogde gebruiker; een verzoek zonder die koppeling komt niet door. Bestanden worden opgeslagen onder een pad dat met je organisatie begint, en een downloadlink wordt pas gemaakt nadat is vastgesteld dat het document bij jouw organisatie hoort. Bij de laatste beoordeling van de code (oktober 2026) is geen enkele weg gevonden waarmee een gebruiker van organisatie A gegevens van organisatie B kon zien of wijzigen.

Toegang en inloggen

• Rollen: eigenaar, beheerder en kijker. Kijkers kunnen niets wijzigen en zien geen koppelingen of deel-links.
• Externe adviseurs: je kunt een KAM-coördinator of veiligheidskundige van buiten je bedrijf toegang geven met een eigen login. Jij kiest de rol (beheerder of kijker); een adviseur wordt nooit eigenaar en kan abonnement, team en instellingen niet wijzigen. Bij elk verzoek wordt opnieuw gecontroleerd of de toegang nog geldt, dus intrekken werkt direct. Een adviseur ziet alleen de organisaties die hem zelf hebben uitgenodigd.
• Inloggen met e-mail en wachtwoord, of met je Google- of Microsoft-werkaccount. Gebruik je dat laatste, dan geldt automatisch de tweestapsverificatie van je eigen bedrijf. Een eigen tweestapsverificatie voor wachtwoordaccounts staat op onze planning.
• Bescherming tegen raden: mislukte inlogpogingen worden per account en per IP-adres beperkt. Wachtwoord-resetlinks zijn een uur geldig en eenmalig bruikbaar.
• Sessies lopen via beveiligde cookies die alleen over HTTPS gaan en niet door scripts uit te lezen zijn.
• Toegang bij Certly zelf: alleen het team dat de dienst beheert kan bij productiesystemen, uitsluitend voor beheer en support. We kijken nooit zonder jouw vraag in je gegevens.

Geüploade bestanden

• De opslag is niet publiek. Een bestand is alleen te openen via een link die na een uur verloopt en alleen wordt uitgegeven aan een ingelogd teamlid van jouw organisatie.
• We accepteren pdf, jpeg, png, webp en heic tot 10 MB. Het bestandstype wordt gecontroleerd op inhoud, niet alleen op de extensie, zodat er geen uitvoerbare of scriptbestanden binnenkomen.
• Verwijder je een document, houder of onderaannemer, dan gaan de bijbehorende bestanden direct mee.

Bewaren, exporteren en verwijderen

• Je gegevens zijn van jou. Je kunt op elk moment een volledige audit-export maken: een overzicht van alle houders en documenten plus alle bijlagen.
• Zeg je op, dan verwijderen we alle gegevens en bestanden van je organisatie binnen 30 dagen. Dat gebeurt automatisch en is onomkeerbaar.
• Houders die je zelf verwijdert, verdwijnen direct uit de actieve dienst.

Leveranciers en hun certificeringen

Certly is een klein team. We bouwen de dienst zelf, maar de infrastructuur eronder laten we over aan partijen die daar onafhankelijk op worden getoetst. Dit zijn alle partijen die klantgegevens kunnen verwerken:

Met al deze partijen hebben we een verwerkersovereenkomst. Voor de partijen buiten de EU gelden EU-standaardcontractbepalingen (SCC's) of het EU-U.S. Data Privacy Framework. Certificeringen zijn zoals de leveranciers die zelf publiceren op hun trust-pagina's.

Is Certly zelf gecertificeerd?

Nee. Certly heeft geen eigen ISO 27001- of SOC 2-certificaat. We zijn daar eerlijk over: zo'n traject is voor een klein team een grote investering die nu niet in een betere beveiliging voor jou zou zitten, maar in papierwerk. Wat we wel doen:

• Bouwen op leveranciers die wél gecertificeerd zijn (zie hierboven).
• De volledige code periodiek laten beoordelen op beveiliging. De laatste beoordeling was op 30 oktober 2026; de bevindingen zijn dezelfde dag verholpen.
• Afhankelijkheden (softwarebibliotheken) bijhouden en kwetsbare versies direct vervangen.
• Geheime sleutels buiten de code houden; alle webhooks en achtergrondtaken controleren een handtekening of geheim voordat ze iets doen.
• Beveiligingsvragenlijsten van klanten invullen. Stuur je lijst naar support@gocertly.com.

Vraagt een aanbesteding of een grote opdrachtgever om een formele certificering, laat het ons weten. Dan bespreken we wat haalbaar is.

Datalekken en incidenten

Ontdekken we een inbreuk die jouw gegevens raakt, dan informeren we je zonder onredelijke vertraging met wat er is gebeurd, wat de gevolgen zijn en wat we hebben gedaan. Zo kun jij als verwerkingsverantwoordelijke op tijd melden bij de Autoriteit Persoonsgegevens. De volledige afspraken staan op de pagina AVG / GDPR.

Kwetsbaarheid gevonden?

Heb je iets gezien dat niet klopt, meld het dan via support@gocertly.com. We bevestigen je melding, lossen het zo snel mogelijk op en ondernemen geen juridische stappen tegen onderzoekers die te goeder trouw melden en geen gegevens van anderen inzien of wijzigen.

Vragen?

Wil je meer detail, een ondertekende verwerkersovereenkomst of hulp bij een vragenlijst van je opdrachtgever? Mail naar support@gocertly.com.