Beveiliging

Laatst bijgewerkt op 14 oktober 2026.

Bij verschillen tussen de Nederlandse en de Engelse tekst geldt de Nederlandse tekst.

Waar uw gegevens staan

• Alle applicatiegegevens worden gehost op onze eigen servers in Nederland. Ze worden niet buiten de EU opgeslagen.
• Gegevens worden tijdens transport beveiligd met TLS-versleuteling. Het verkeer bereikt onze servers via Cloudflare.
• Gewoon HTTP wordt doorgestuurd naar HTTPS, en HSTS vertelt browsers dat ze alleen HTTPS mogen gebruiken.
• Elke pagina wordt geleverd met een Content-Security-Policy die beperkt waarvandaan scripts, stijlen en andere inhoud mogen worden geladen.

Toegangsbeheer in het product

• Goedkeuring is de kern van het product: wijzigingen in gegevens doorlopen concept → in afwachting → goedgekeurd. Staat het vier-ogenprincipe voor een tabel aan, dan kan de auteur van een wijziging die nooit zelf goedkeuren; staat het uit, dan wordt de eigen invoer van een goedkeurder direct goedgekeurd en als zodanig vastgelegd.
• Rollen per tabel scheiden wie gegevens mag invoeren, wie ze mag goedkeuren en wie ze alleen mag bekijken; de structuur van een tabel ontwerpen is weer een apart recht.
• Bij elke rij wordt vastgelegd wie hem heeft aangemaakt en wie hem heeft goedgekeurd, en wanneer — de audittrail is het product, geen extraatje.
• Bedrijven zijn van elkaar afgeschermd: gebruikers zien altijd alleen de gegevens van hun eigen bedrijf.
• Demo-omgevingen zijn per bezoeker afgeschermd en worden na 48 uur automatisch verwijderd.

Applicatiebeveiliging

• Gebouwd op Django met de standaardbeveiligingen daarvan: CSRF-tokens op elk formulier, geparametriseerde query's via de ORM (tegen SQL-injectie) en automatische escaping in templates (tegen XSS).
• Wachtwoorden worden gehasht en gesalt opgeslagen (PBKDF2); wij kunnen ze niet lezen.
• Sessiecookies gaan alleen over HTTPS en zijn beschermd tegen cross-site request forgery.
• De REST API staat standaard uit voor klanten; waar hij voor een pilot is ingeschakeld, gebruikt hij tokenauthenticatie per gebruiker met dezelfde rechten per tabel.
• Het contactformulier en het aanmeldformulier hebben een limiet op het aantal verzoeken en zijn beschermd tegen spam.

Beheer

• De productieomgeving draait met de debugmodus uit; geheimen staan in de omgeving, niet in de code.
• Interne beheertools zijn alleen toegankelijk voor accounts van medewerkers van Matso.

Consulting in uw omgeving

Als wij consultingwerkzaamheden voor u uitvoeren, werken wij binnen uw eigen omgeving via een gastaccount op naam dat u zelf aanmaakt en beheert, en dat u op elk moment kunt blokkeren of verwijderen. Wij kopiëren geen gegevens uit uw omgeving, tenzij u ons daar schriftelijk om vraagt, en het gastaccount wordt aan het einde van de opdracht teruggegeven en verwijderd. De formele afspraken staan in de verwerkersovereenkomst voor consulting.

Wat we nog niet bieden

Eerlijkheid boven glans: Normly is een product in de pilotfase, gebouwd door een klein team. Er is vandaag geen single sign-on (SSO/SAML), geen tweestapsverificatie, geen SOC 2- of ISO 27001-certificering en geen openbare statuspagina. Deze staan op de roadmap en de feedback uit de pilot bepaalt de volgorde. Is een ervan voor u een harde eis, laat het ons dan weten — juist voor dat signaal is de pilot er.

Een kwetsbaarheid melden

Denkt u een beveiligingsprobleem te hebben gevonden, mail dan naar [email protected] met genoeg details om het te reproduceren. We reageren binnen 3 werkdagen, houden u op de hoogte en ondernemen geen juridische stappen tegen onderzoek te goeder trouw dat de gegevens van onze gebruikers respecteert.

Vragen over beveiliging, of hebt u deze informatie nodig voor een leveranciersbeoordeling? Gebruik de contactpagina — de verwerkersovereenkomst legt de formele afspraken vast.