Beveiliging bij SKØØLSKILL

Beveiliging is bij SKØØLSKILL een eersterangsbelang, geen bijzaak. De meeste van onze gebruikers zijn studenten die ons hun notities, studiegewoonten en een groeiend overzicht van wat ze moeilijk vinden toevertrouwen. Wij nemen die verantwoordelijkheid serieus en ontwerpen de Dienst zo dat de veilige standaardkeuze ook de gemakkelijke standaardkeuze is.

We volgen de beginselen van minimale bevoegdheden, verdediging in de diepte en gegevensminimalisatie: we verzamelen alleen wat de Dienst nodig heeft, we beperken wie en wat erbij kan, en we gaan ervan uit dat elke afzonderlijke maatregel kan falen en plaatsen er andere achter.

SKØØLSKILL draait op geharde Linux-servers die binnen de Europese Unie worden gehost. Productiesystemen zijn geïsoleerd van ontwikkel- en stagingomgevingen, en administratieve toegang is beperkt tot een netwerkperimeter die wordt beschermd door een authenticerende proxy.

• Productiedatabases zijn niet blootgesteld aan het publieke internet.
• Achtergrondworkers (notities scannen, AI-verwerking, e-mail) draaien in afzonderlijke lagen, zodat een piek in de ene de andere niet kan uithongeren.
• Geheimen en inloggegevens worden buiten de broncode opgeslagen en tijdens runtime ingevoegd.

Al het verkeer tussen uw apparaat en SKØØLSKILL wordt versleuteld met TLS 1.2+. We forceren overal HTTPS en stellen een strikte Content-Security-Policy in om te beperken wat er in uw browser kan draaien.

Gegevens worden in rust versleuteld, waaronder uw accountrecord, de notities die u scant en bestandsbijlagen die in onze objectopslag worden bewaard. Wachtwoorden worden nooit in platte tekst opgeslagen — ze worden gehasht met een modern, gezouten algoritme.

Toegang tot productiegegevens is beperkt tot een klein aantal bevoegde medewerkers en wordt strikt op basis van noodzaak verleend. We gebruiken rolgebaseerde toegangscontroles binnen de applicatie, en op databaseniveau row-level security, zodat het ene account nooit de gegevens van een ander account kan lezen.

• Administratieve handelingen worden gelogd en zijn controleerbaar.
• Toegang door personeel maakt gebruik van sterke authenticatie en wordt onmiddellijk ingetrokken zodra deze niet langer nodig is.
• We scheiden de gegevens van elk leeraccount op databaseniveau.

We bouwen op een moderne, actief onderhouden stack en houden afhankelijkheden gepatcht. Onze ontwikkelpraktijken omvatten codereview, geautomatiseerde controles en bescherming tegen veelvoorkomende webkwetsbaarheden zoals cross-site scripting (XSS), cross-site request forgery (CSRF) en injectie.

Authenticatie en sessiebeheer worden afgehandeld door een doorgelicht framework in plaats van zelfgemaakte code, en gevoelige handelingen vereisen herverificatie.

SKØØLSKILL gebruikt AI om uw notities te lezen, oefeningen te genereren en onze tutor Nova aan te drijven. Deze verwerking gebeurt om de Dienst aan u te leveren — en alleen daarvoor.

• We gebruiken uw inhoud niet om AI-modellen te trainen, niet die van ons en niet die van iemand anders.
• Onze AI-leveranciers zijn contractueel gebonden om gegevens die via hun API's worden verzonden niet te bewaren of erop te trainen.
• U kunt uw notities en inhoud op elk moment verwijderen, en wij verwijderen de bijbehorende gegevens.

We maken regelmatig versleutelde back-ups, zodat we kunnen herstellen van hardwarestoringen of onbedoeld verlies. Back-ups worden gedurende een beperkte periode bewaard en zijn onderworpen aan dezelfde toegangscontroles als productiegegevens. We testen periodiek of we ervan kunnen herstellen.

We monitoren onze systemen continu op fouten, afwijkingen en misbruik. Applicatiefouten en beveiligingsrelevante gebeurtenissen worden vastgelegd en beoordeeld.

Als we ons bewust worden van een beveiligingsincident dat uw persoonsgegevens treft, zullen we het onderzoeken, indammen en de getroffen gebruikers en de relevante autoriteiten op de hoogte brengen waar de wet dit vereist, in lijn met ons privacybeleid.

Betalingen worden verwerkt door Stripe, een PCI-DSS Level 1-gecertificeerde aanbieder. We zien of bewaren nooit uw volledige kaartnummer — kaartgegevens worden rechtstreeks naar Stripe verzonden en getokeniseerd. SKØØLSKILL bewaart alleen een verwijzing en de minimale factureringsmetadata die nodig is om uw abonnement te beheren.

We zijn dankbaar voor beveiligingsonderzoekers die SKØØLSKILL helpen veilig te houden. Als u meent een kwetsbaarheid te hebben gevonden, mail dan naar [email protected] met voldoende details zodat wij deze kunnen reproduceren.

Als u te goeder trouw handelt onder dit beleid, zullen wij geen rechtsvordering tegen u instellen voor uw onderzoek.

4cs BV is gevestigd in België en verwerkt persoonsgegevens in overeenstemming met de Algemene Verordening Gegevensbescherming (AVG) van de EU. Voor details over wat we verzamelen, waarom, en uw rechten, zie ons privacybeleid. We kiezen subverwerkers die sterke beveiligings- en gegevensbeschermingsgaranties bieden.

Voor beveiligingsvragen of om een kwetsbaarheid te melden: