Beveiliging en vertrouwen

Van kracht vanaf 2026-10-06 · Nederlandse vertaling; de Tsjechische versie is doorslaggevend

Bedrijven op het platform Negotiq vertrouwen hun prijzen, voorwaarden en zakelijke beslissingen toe aan agenten. Dit document beschrijft hoe wij het Platform beveiligen, hoe u zelf de integriteit van vastleggingen kunt verifiëren, hoe wij met incidenten omgaan en hoe u een kwetsbaarheid bij ons kunt melden. Het is informatief van aard; de bindende maatregelen voor de verwerking van persoonsgegevens zijn vastgelegd in Bijlage 1 bij de Verwerkersovereenkomst. Begrippen met een hoofdletter hebben de betekenis die daaraan in de Algemene Voorwaarden wordt gegeven.

Certificeringen: De Exploitant beschikt nog niet over een ISO/IEC 27001-certificering, een SOC 2-rapport of een andere beveiligingscertificering. Beide zijn gepland. Tot die tijd verstrekken wij u op verzoek nadere informatie of vullen wij een redelijke beveiligingsvragenlijst in.

1. Wat het Platform niet doet

• Het houdt geen geld aan. De Exploitant ontvangt, houdt of maakt geen geldmiddelen van de partijen bij Transacties over en verleent geen betaaldiensten; betalingen gaan rechtstreeks van de rekening van de Koper naar de rekening van de Leverancier. Het Platform toont uitsluitend betalingsinstructies en houdt registraties bij (artikel 7 van de Algemene Voorwaarden).
• Het traint geen modellen met uw gegevens. Wij gebruiken Gebruikersinhoud niet voor het trainen van modellen voor artificiële intelligentie; ook de aanbieder van het generatieve model gebruikt deze volgens de overeenkomst niet voor training.
• Het laat generatieve AI niet onderhandelen. Agenten zijn deterministische regels; het generatieve model converteert uitsluitend ongestructureerde prijslijsten en het resultaat wordt altijd door een mens gecontroleerd (Beleid inzake het gebruik van artificiële intelligentie).
• Het volgt u niet. Noch de app, noch de juridische pagina’s laden analytische, advertentie- of trackingcode, of lettertypen of scripts van derden. De taal van de pagina kiezen wij op basis van de instellingen van uw browser, zonder een andere dienst te raadplegen.
• Het verkoopt geen gegevens. Wij verkopen noch persoonsgegevens, noch bedrijfsgegevens; marktvergelijkingen publiceren wij uitsluitend in geanonimiseerde en geaggregeerde vorm op basis van transacties van ten minste twee verschillende Leveranciers.

2. Toegang en accounts

• Alle communicatie met het Platform verloopt versleuteld via HTTPS (TLS).
• Wachtwoorden slaan wij uitsluitend op als Argon2id-hash. Herstelcodes, inlogsessies en API-sleutels slaan wij uitsluitend op als cryptografische hash; een API-sleutel wordt alleen bij het aanmaken weergegeven.
• De sessiecookie is HttpOnly, Secure en SameSite=Lax; bij verzoeken die gegevens wijzigen, controleren wij de Origin-header (bescherming tegen CSRF).
• Na 5 mislukte inlogpogingen wordt het account gedurende 15 minuten geblokkeerd; een wachtwoordwijziging logt alle apparaten uit. De API is onderworpen aan limieten voor het aantal verzoeken.
• Wie wat mag doen, wordt bepaald door rollen die de Beheerder van de Organisatie toekent (bijv. het recht om Offertes goed te keuren). De Beheerder van de Organisatie maakt API-sleutels aan, geeft ze een naam en trekt ze in, en ziet de auditgegevens van zijn Organisatie.

3. Scheiding van klanten

Elke toegang tot gegevens is beperkt tot de Organisatie van de ingelogde Gebruiker of van de API-sleutel; het Platform weigert elk verzoek om gegevens van een andere Organisatie. Deze scheiding wordt bij elke wijziging door geautomatiseerde tests gecontroleerd. Demogegevens worden gescheiden gehouden van de gegevens van echte bedrijven. Vóór het sluiten van een Transactie ziet de wederpartij noch de identiteit, noch de limieten van de andere partij.

4. Integriteit en verifieerbaarheid van vastleggingen

• Auditketen. Wezenlijke handelingen leggen wij vast in een keten waaraan vastleggingen alleen kunnen worden toegevoegd. Elke vastlegging bevat de hash van de voorgaande vastlegging en een databasetrigger blokkeert wijziging of verwijdering van vastleggingen, zodat elke manipulatie kan worden opgespoord.
• Ed25519-handtekeningen. Mandaten, Bevestigingen, AP2-records (IntentMandate, CartMandate, PaymentMandate) en exports van de Auditketen ondertekenen wij met de sleutel van het Platform. De openbare sleutel (algoritme, sleutel en sleutel-identificatiecode) is beschikbaar op https://app.negotiq.synqflows.com/api/trust/public-key en in JWKS-formaat op https://app.negotiq.synqflows.com/.well-known/jwks.json; AP2-records dragen handtekeningen in JWS-formaat (EdDSA). Handtekeningen van Mandaten, Bevestigingen en AP2-records kunnen ook rechtstreeks via de verificatie-eindpunten van de API worden gecontroleerd.
• Openbare controle. Op https://app.negotiq.synqflows.com/api/trust/chain kan iedereen nagaan of de Auditketen ongeschonden is, met inbegrip van de ondertekende laatste hash; https://app.negotiq.synqflows.com/api/trust/status toont dat de productieomgeving geen ontwikkelsleutels voor ondertekening of versleuteling gebruikt.
• Attestatie door de bewaarder (custodial attestation). Vastleggingen worden door de Exploitant met zijn eigen sleutel ondertekend, niet met sleutels van de partijen. De handtekening bewijst dat de vastlegging op het Platform is ontstaan en sinds de ondertekening niet is gewijzigd; op zichzelf bewijst zij niet dat een partij haar heeft ondertekend — de koppeling met de handelende persoon wordt verzekerd door het inloggen, de rollen en de Auditketen. Wanneer wij de sleutel vervangen, publiceren wij de nieuwe sleutel met een nieuwe identificatiecode en houden wij eerdere openbare sleutels beschikbaar voor de verificatie van oudere vastleggingen.
• Webhooks. Meldingen ondertekenen wij met HMAC-SHA256 volgens de specificatie Standard Webhooks (headers webhook-id, webhook-timestamp, webhook-signature). Verifieer zowel de handtekening als de ouderdom van het bericht en bewaar de geheime sleutel buiten de broncode.

5. Gegevensbescherming

• Versleuteling tijdens de overdracht (TLS) en in opgeslagen toestand bij de hostingprovider.
• Toegangsgegevens voor gekoppelde systemen (ERP) en geheime sleutels van Webhooks versleutelen wij met het algoritme AES-256-GCM. Toegangsgegevens gebruiken wij uitsluitend om op instructie van een Gebruiker de prijslijst op te halen; wij raden aan voor de koppeling een afzonderlijke gebruiker aan te maken met alleen leesrechten en de minimaal noodzakelijke machtigingen.
• Bijlagen aanvaarden wij uitsluitend in toegestane formaten en groottes, wij stellen ze uitsluitend ter beschikking aan bevoegde personen en altijd als download, nooit voor weergave in de browser.
• Berichten naar het Ontvangstadres importeren wij automatisch uitsluitend van Geverifieerde Afzenders; overige berichten wachten op bevestiging in de app. Afzender, onderwerp, tijdstip van ontvangst en bijlagen wissen wij na 90 dagen.
• Agenten behandelen de inhoud van prijslijsten, specificaties, bijlagen of e-mails niet als instructies (bescherming tegen het injecteren van instructies, zogenaamde prompt injection).
• Van potentiële leveranciers bewaren wij uitsluitend algemene bedrijfscontactgegevens.

6. Exploitatie, back-ups en logbestanden

• De applicatie en de database draaien bij de hostingprovider vermeld in punt 9. Van de database maken wij regelmatig back-ups; back-ups worden in de normale cyclus uiterlijk binnen 90 dagen overschreven.
• Operationele logbestanden (met inbegrip van IP-adressen) en registraties van de bezorging van Webhooks bewaren wij ten hoogste 90 dagen, vastleggingen in de Auditketen 10 jaar.
• Toegang tot de productieomgeving hebben uitsluitend gemachtigde personen van de Exploitant die tot geheimhouding zijn verplicht.
• Afhankelijkheden gebruiken wij in vastgezette versies. Bij elke wijziging testen wij automatisch de beveiligingsinvarianten: scheiding van Organisaties, naleving van de grenzen van Agenten en vertrouwelijkheid van plafonds en minima.

7. Incidenten en melding van inbreuken

1. Elk beveiligingsincident beoordelen wij, wij beperken de gevolgen ervan, nemen de oorzaak weg en documenteren het.
2. Klanten die door een incident worden getroffen, informeren wij zonder onredelijke vertraging. Een inbreuk in verband met persoonsgegevens die wij als verwerker verwerken, melden wij aan de Verwerkingsverantwoordelijke uiterlijk binnen 48 uur nadat wij er kennis van hebben genomen (artikel 5 van de Verwerkersovereenkomst).
3. Wanneer wij verwerkingsverantwoordelijke zijn, melden wij een inbreuk in verband met persoonsgegevens binnen 72 uur nadat wij er kennis van hebben genomen aan de Tsjechische Autoriteit voor de bescherming van persoonsgegevens, tenzij het niet waarschijnlijk is dat de inbreuk een risico inhoudt voor de rechten en vrijheden van natuurlijke personen (art. 33 AVG); bij een hoog risico informeren wij ook de betrokken personen zonder onredelijke vertraging (art. 34 AVG).
4. Na afsluiting van een incident verstrekken wij de getroffen klanten op verzoek een samenvatting van de oorzaken en de genomen maatregelen.

8. Melding van kwetsbaarheden

Meld kwetsbaarheden alstublieft bij inquiry@negotiq.synqflows.com. Contactgegevens en regels zijn ook beschikbaar in het machineleesbare bestand https://app.negotiq.synqflows.com/.well-known/security.txt.

• Vermeld een beschrijving van de kwetsbaarheid, het betrokken adres of de betrokken interface, de stappen om haar te reproduceren en de mogelijke gevolgen; communicatie is mogelijk in het Tsjechisch of het Engels.
• Wij bevestigen de ontvangst van uw melding zonder onredelijke vertraging, houden u op de hoogte van de voortgang en bedanken u na het herstel, met uw toestemming, publiekelijk. Wij betalen geen financiële beloningen (bug bounty).
• Regels: test uitsluitend met uw eigen accounts en gegevens; raadpleeg gegevens van andere personen alleen voor zover dat noodzakelijk is om de kwetsbaarheid aan te tonen, wijzig of verwijder niets en bewaar verkregen gegevens niet; voer geen aanvallen op de beschikbaarheid (DoS), social engineering, phishing of fysieke aanvallen uit; stuur geen bulkberichten naar Ontvangstadressen; maak de kwetsbaarheid niet openbaar totdat wij haar hebben verholpen of totdat 90 dagen na uw melding zijn verstreken, tenzij wij anders overeenkomen.
• Vrijwaring (safe harbour): Onderzoek dat te goeder trouw en in overeenstemming met deze regels wordt uitgevoerd, beschouwen wij als geoorloofd en voor toegang binnen die omvang verlenen wij toestemming. Wij zullen geen juridische stappen tegen u ondernemen of aangifte tegen u doen, en indien een derde dergelijke stappen onderneemt, zullen wij bevestigen dat u in overeenstemming met deze regels hebt gehandeld. Wij kunnen geen toestemming verlenen namens derden (bijv. de hostingprovider of Diensten van Derden).

9. Locatie van gegevens en subverwerkers

De bindende lijst en de regels voor wijzigingen (aankondiging ten minste 14 dagen van tevoren met de mogelijkheid van bezwaar) zijn opgenomen in de Verwerkersovereenkomst (artikel 4). Systemen die de Organisatie kiest (ERP, productfeeds, Webhook-eindpunten, agenten van derden), zijn niet onze verwerkers; wij geven gegevens aan hen door op haar instructie.

10. Bedrijfscontinuïteit

Wij streven naar een ononderbroken beschikbaarheid, maar zonder een schriftelijk overeengekomen service level agreement (SLA) garanderen wij geen enkel niveau van beschikbaarheid of hersteltijd. Van de database maken wij regelmatig back-ups en gepland onderhoud kondigen wij waar mogelijk van tevoren aan. U kunt de gegevens van uw Organisatie op elk moment kosteloos exporteren (JSON) en Bevestigingen en AP2-records downloaden en met de openbare sleutel verifiëren, ook zonder toegang tot het Platform.

11. Contact

• Beveiliging en kwetsbaarheden: inquiry@negotiq.synqflows.com
• Bescherming van persoonsgegevens: inquiry@negotiq.synqflows.com
• Overige vragen en contactpunt op grond van de DSA: inquiry@negotiq.synqflows.com