Beveiligingsoverzicht

Inhoudsopgave

1. 1. In het kort
2. 2. Waar uw gegevens worden bewaard
3. 3. Versleuteling
4. 4. De gegevens van elke onderneming gescheiden houden
5. 5. Beveiliging van het inloggen
6. 6. Auditspoor en detectie van manipulatie
7. 7. Back-ups en herstel
8. 8. Betalingen en geld
9. 9. Kunstmatige intelligentie
10. 10. Toegang door ons team
11. 11. Monitoring en incidentrespons
12. 12. Certificeringen
13. 13. Wat u kunt doen
14. 14. Een kwetsbaarheid melden

Versie: 1.2 · Gepubliceerd: 16 oktober 2026 · Van kracht: bij aanvaarding voor nieuwe Werkruimten; voor Werkruimten die een eerdere Versie hebben aanvaard, op de datum die STAK noemt in haar kennisgeving op grond van artikel 20 van de Servicevoorwaarden voor Klanten · Maatgevende tekst: Engels (artikel 23.9 van de Servicevoorwaarden voor Klanten)

Uitgegeven door: STAK Global, LLC, een vennootschap met beperkte aansprakelijkheid, opgericht in de staat Delaware, Verenigde Staten van Amerika (dossiernummer 10798493), die eigenaar is van STAK (ستاك) en de Diensten. Contact: [email protected].

Dit Beveiligingsoverzicht legt in eenvoudige taal uit hoe wij de gegevens van uw onderneming beschermen en er kopieën van bewaren, zoals de situatie is op de Ingangsdatum van deze Versie. Wij werken het bij wanneer dat verandert. Het is uitsluitend ter informatie. Onze contractuele verplichtingen staan in de Verwerkersovereenkomst. Termen die in de STAK Servicevoorwaarden voor Klanten zijn gedefinieerd, hebben in dit Beveiligingsoverzicht dezelfde betekenis.

1. In het kort

• Uw gegevens worden versleuteld terwijl ze worden verzonden en terwijl ze in onze systemen zijn opgeslagen.
• De gegevens van elke onderneming worden in de database zelf gescheiden gehouden van alle andere.
• Wij maken continu Back-ups en bewaren dagelijkse en maandelijkse kopieën in een ander land, beschermd tegen voortijdige verwijdering.
• Wij slaan geen kaartnummers op, en wij ontvangen of bewaren nooit uw geld.
• Elke belangrijke wijziging wordt vastgelegd in een auditspoor dat geen Gebruiker kan wijzigen.
• Wij beschikken momenteel niet over een ISO 27001-certificering of een SOC 2-rapport. Wij zullen dit hier vermelden wanneer wij ze verkrijgen.

2. Waar uw gegevens worden bewaard

2.1 De Diensten draaien op de cloudinfrastructuur van Amazon Web Services in de regio Frankfurt, in de Bondsrepubliek Duitsland. Back-ups worden gekopieerd naar een afzonderlijke regio van Amazon Web Services in de Republiek Ierland. Deze scheiding betekent dat een kopie van uw gegevens kan worden bewaard, zelfs als de gehele primaire hostingregio uitvalt.

2.2 Wij kunnen de hosting in de toekomst naar een andere regio verplaatsen. Wij stellen u daarvan ten minste 30 dagen van tevoren in kennis. Het tijdelijk draaien van de Diensten vanuit de Back-ups in de Republiek Ierland na het verlies van de primaire hostingregio is geen verplaatsing, en wij zullen u daarover onverwijld informeren.

2.3 STAK wordt geleverd door STAK Global, LLC, een vennootschap opgericht in de Verenigde Staten van Amerika. Onze hostingaanbieder en enkele van onze dienstverleners zijn eveneens onderworpen aan het recht van de Verenigde Staten. Wij beschermen uw gegevens tegen onrechtmatige toegang door enige overheid zoals bepaald in artikel 13 van de Verwerkersovereenkomst: wij verstrekken gegevens alleen op een bindend verzoek, stellen u daarvan in kennis tenzij de wet dit verbiedt, beperken de verstrekking tot het minimum en verzetten ons tegen verzoeken die wij redelijkerwijs onrechtmatig achten. Uw gegevens worden versleuteld terwijl ze zijn opgeslagen en terwijl ze worden verzonden.

3. Versleuteling

3.1 Elke verbinding met de Diensten wordt versleuteld met TLS versie 1.2 of hoger, en de applicatie verifieert bij elke verbinding de identiteit van de databaseserver.

3.2 Databases, schijven, bestanden, Back-ups en de geheimenopslag worden bij opslag versleuteld met AES-256, met sleutels die worden beheerd via de sleutelbeheerdienst van Amazon of door de hostingaanbieder.

3.3 De dossiers van uw werknemers en klinische dossiers worden binnen de applicatie bovendien versleuteld met afzonderlijke sleutels, en de sleutels voor het verbinden met Betaaldienstverleners en andere aanbieders worden bewaard in een afzonderlijke geheimenopslag die met een afzonderlijke sleutel is versleuteld.

4. De gegevens van elke onderneming gescheiden houden

4.1 Elk record met gegevens van een onderneming in de database draagt de identificatiecode van de Onderneming waartoe het behoort. De database zelf dwingt beveiligingsregels op rijniveau af die voorkomen dat de applicatie records van een andere Onderneming leest of schrijft. Dit is een onafhankelijke beschermingslaag onder de eigen controles van de applicatie.

4.2 Het databaseaccount dat de applicatie gebruikt, heeft geen machtiging om deze regels te omzeilen.

5. Beveiliging van het inloggen

5.1 U kunt inloggen met:

• een verificatiecode die via WhatsApp naar een geverifieerd nummer wordt gestuurd;
• een passkey, met gezichts- of vingerafdrukherkenning;
• een Google-, Apple- of Microsoft-account.

Na het inloggen kan een authenticator-app worden gebruikt als tweede stap. Wij gebruiken geen wachtwoorden.

5.2 U kunt inloggen in twee stappen verplicht stellen voor bepaalde rollen, en Eigenaren en Beheerders worden gewaarschuwd wanneer iemand zijn of haar verificatiemethoden wijzigt. Elke persoon wordt gewaarschuwd wanneer zijn of haar eigen Account vanaf een nieuw apparaat wordt gebruikt. In de Abonnementen die ze bevatten, kunt u ook een time-out voor inactieve sessies instellen, en worden Eigenaren gewaarschuwd wanneer iemand inlogt vanaf een nieuw apparaat.

5.3 Elke Medewerker krijgt een gedefinieerde rol en rechten, en de toegang van de Medewerker kan worden beperkt tot bepaalde Vestigingen. Personeel op gedeelde Apparaten gebruikt een zescijferig persoonlijk identificatienummer (PIN), en inloggen met die code wordt na vijf onjuiste pogingen vergrendeld.

6. Auditspoor en detectie van manipulatie

6.1 Elke belangrijke wijziging wordt vastgelegd in een auditspoor, met vermelding van wie de wijziging heeft aangebracht, wanneer, vanaf waar en vanaf welk IP-adres. Geen Gebruiker kan dit spoor wijzigen of verwijderen, behalve dat bij het uitvoeren van een verzoek om de gegevens van een Eindklant te wissen de identiteit van die persoon uit de vermeldingen wordt verwijderd, terwijl behouden blijft wat is gedaan, door wie en wanneer. Het spoor wordt samen met de Klantgegevens verwijderd bij beëindiging op grond van de Voorwaarden.

6.2 Boekhoudkundige boekingen zijn in een keten aan elkaar gekoppeld die elke latere wijziging ervan zichtbaar maakt, en u kunt de integriteit ervan controleren op de pagina Beveiliging.

7. Back-ups en herstel

7.1 Wij maken continu Back-ups van de databases, waarmee ze kunnen worden hersteld naar elk moment in de afgelopen 35 dagen. Wij maken ook:

• dagelijkse Back-ups, 35 dagen bewaard;
• maandelijkse Back-ups, 12 maanden bewaard;
• elke nacht een logische Back-up van de database (een database-dump), die 35 dagen wordt bewaard in vergrendelde opslag.

7.2 Dagelijkse en maandelijkse Back-ups worden naar Ierland gekopieerd. Het beleid van de back-upkluizen in Frankfurt en Ierland voorkomt dat iemand, ook ons eigen team, een Back-up verwijdert voordat de bewaartermijn eindigt of die termijn wijzigt. De kluizen zijn bovendien vergrendeld in de compliancemodus van de hostingaanbieder, die zo is ontworpen dat niemand, ook niet iemand die een van onze accounts bij de hostingaanbieder zou overnemen, een Back-up in de eerste 35 dagen ervan kan verwijderen.

7.3 Elke maand testen wij het herstel van de database vanuit Back-ups. Wij streven ernaar om bij uitval van een database niet meer dan 15 minuten aan gegevens te verliezen, en niet meer dan 24 uur als de gehele hostingregio verloren gaat, in lijn met de hersteldoelstellingen in de Service Level Agreement.

7.4 Wij bewaren Back-ups om de dienst te herstellen, niet als archief voor u. Exporteer uw gegevens daarom regelmatig vanaf de pagina Abonnement en facturering of vanuit elke App.

8. Betalingen en geld

8.1 De Diensten zijn zo ontworpen dat kaartnummers niet door onze systemen lopen en daarin niet worden opgeslagen: de betaling vindt plaats op de eigen pagina’s van de Betaaldienstverleners of op hun gecertificeerde kaartacceptatieterminals en -apps. De schermen van de Diensten bevatten geen veld voor kaartnummers of de beveiligingscodes ervan, en u kunt via de pagina Beveiliging vragen om tekstvelden te laten scannen op per ongeluk ingevoerde kaartnummers.

8.2 Uw geld wordt rechtstreeks door de Betaaldienstverlener uitbetaald op uw bankrekening. Wij ontvangen of bewaren het nooit.

8.3 Voor het wijzigen van de in STAK geregistreerde bankrekening voor het ontvangen van uitbetalingen is een extra verificatiestap nodig en de wijziging gaat pas na 48 uur in. Eigenaren worden onmiddellijk gewaarschuwd, zodat zij de wijziging kunnen annuleren.

9. Kunstmatige intelligentie

9.1 Gegevens worden alleen naar de AI-aanbieder gestuurd wanneer een Gebruiker een AI-functie aanvraagt, een document uploadt om door een AI-functie te laten uitlezen, zoals een bon, of wanneer een automatisering die een Gebruiker heeft ingesteld een AI-stap uitvoert, en er worden alleen gegevens verzonden die nodig zijn voor dat verzoek of die stap.

9.2 Uw gegevens worden niet gebruikt om modellen voor kunstmatige intelligentie te trainen. AI-functies wijzigen een record pas na uw uitdrukkelijke bevestiging, of via een automatisering die een bevoegde Gebruiker heeft ingesteld en ingeschakeld.

10. Toegang door ons team

Toegang tot de Productieomgeving is beperkt tot een beperkt aantal met naam genoemde medewerkers en vereist meerfactorauthenticatie, en het begin van elke toegangssessie wordt vastgelegd. Beheertoegang tot servers verloopt uitsluitend via de systeembeheerdienst van Amazon, zonder rechtstreekse aanmelding op servers.

Wij bekijken uw gegevens alleen in de volgende gevallen:

• om de ondersteuning te verlenen waarom u verzoekt;
• om de Diensten te beheren, te onderhouden en te herstellen;
• om een Beveiligingsincident of een vermoedelijke schending van het Beleid voor Aanvaardbaar Gebruik te onderzoeken;
• indien de wet dit vereist.

11. Monitoring en incidentrespons

11.1 Wij monitoren de cloudinfrastructuur automatisch dag en nacht, met onmiddellijke waarschuwingen aan ons team. Elke beheerhandeling op de cloudinfrastructuur wordt vastgelegd in een log, en bedreigingen en overmatige rechten worden automatisch gedetecteerd.

11.2 Indien een Inbreuk in verband met persoonsgegevens uw gegevens betreft, stellen wij u zonder onnodige vertraging in kennis: waar mogelijk binnen 24 uur nadat wij ervan op de hoogte zijn geraakt, en in ieder geval binnen 48 uur. Wij vertellen u wat er is gebeurd en wat wij eraan hebben gedaan.

12. Certificeringen

Wij beschikken momenteel niet over een ISO 27001-certificering of een SOC 2-rapport. Wij beschikken evenmin over een PCI DSS-certificering, omdat de Diensten zo zijn ontworpen dat kaartgegevens niet door onze systemen lopen: ze worden verwerkt op de eigen pagina’s van de Betaaldienstverleners of op hun gecertificeerde terminals en apps. De Betaaldienstverleners die u met de Diensten verbindt, beschikken over hun eigen certificeringen. Wij zullen hier elke certificering vermelden die wij in de toekomst verkrijgen.

Als u kaartbetalingen accepteert via uw STAK-pagina’s, wordt de koper doorgestuurd naar de eigen pagina van uw Betaaldienstverlener, of gebruikt u de gecertificeerde terminals en apps daarvan, zodat de pagina’s van STAK nooit kaartgegevens verzamelen. Controleer uw eigen PCI DSS-verplichtingen bij uw Betaaldienstverlener; een onderneming die zo’n doorverwijzing gebruikt, vult doorgaans de kortste zelfbeoordelingsvragenlijst in (SAQ A). STAK beweert niet PCI DSS-gecertificeerd te zijn.

13. Wat u kunt doen

• Schakel inloggen in twee stappen in voor Eigenaren en Beheerders.
• Geef elke Medewerker alleen de rechten die het werk van die persoon vereist, en trek de toegang van iedereen die vertrekt onmiddellijk in.
• Exporteer uw gegevens regelmatig, ten minste eenmaal per maand.
• Houd kassa-Apparaten verbonden totdat offline geregistreerde verkopen volledig zijn gesynchroniseerd, voordat u een Apparaat wist of ervan uitlogt.
• Houd de systemen en browsers van uw apparaten bijgewerkt.
• Meld ons onmiddellijk elke verdachte activiteit.

14. Een kwetsbaarheid melden

Indien u een beveiligingskwetsbaarheid ontdekt, stuur ons dan een e-mail op [email protected]. Wij behandelen meldingen vertrouwelijk. Wij staan beveiligingstests te goeder trouw toe binnen de grenzen van artikel 10 van het Beleid voor Aanvaardbaar Gebruik, en wij stellen geen klacht of vordering in tegen iedereen die binnen die grenzen blijft en de kwetsbaarheid onverwijld aan ons meldt.