Vertrouwen
Wat er al staat, en wat nog moet
Een beveiligingspagina die alles in de tegenwoordige tijd zet terwijl er nog gebouwd wordt, is precies het soort belofte waar inkopers op afknappen. Daarom staat achter elke maatregel of hij nu al geldt, bij oplevering geldt, of in voorbereiding is.
Deze pagina gaat over twee dingen: de website die je nu bekijkt, en de module erachter. De website zelf verwerkt niets — geen cookies, geen meting, geen opslag. Alleen het aanmeldformulier stuurt gegevens door, en wat daarmee gebeurt staat bij het formulier.
Technische en organisatorische maatregelen
Versleutelde verbinding
TLS voor al het verkeer, naar de site en naar de module. Versleuteling in rust voor database en back-ups.
geldt nu
Hosting in Europa
De database staat in Parijs. Persoonsgegevens en documenten blijven binnen de Europese Unie.
geldt nu
Scheiding op rijniveau
De scheiding tussen kantoren zit in de database zelf, niet in de applicatiecode. Een fout in een scherm kan geen dossier van een ander kantoor tonen.
geldt nu
Auditspoor
Elke gebeurtenis met tijdstempel, actor en onderwerp, niet achteraf te wijzigen. Dit is het product, geen bijproduct.
geldt nu
Rekeningnummers versleuteld
Een IBAN gaat via een aparte functie de kluis in en komt nergens in een antwoord van de server terug — je ziet alleen de laatste vier cijfers.
geldt nu
Privé-opslag met korte links
Documenten staan niet publiek; een deellink verloopt na dertig minuten.
geldt nu
Bevestigen vóór verzenden
Elke verzending naar buiten gaat langs een scherm dat toont wat de ander ontvangt, en is daarna twintig seconden terug te draaien.
geldt nu
Geen tracking op deze site
Geen analytics, geen advertentiepixels, geen externe scripts, geen lettertypen van een andere server. Daarom ook geen toestemmingsbanner.
geldt nu
Kwetsbaarheid melden
Contactadres en beleid staan in /.well-known/security.txt, zoals RFC 9116 voorschrijft.
geldt nu
Tweefactor-inloggen
Verplicht voor elke beheerdersrol, zonder uitzondering voor eigen medewerkers. Inloggen gaat nu met een eenmalige link per e-mail of met Google.
bij oplevering
Reden bij inzage
Opent een medewerker een huurdersdossier zonder lopend ticket, dan vraagt het systeem waarom en komt dat antwoord in het log. De functie staat in de database; het scherm eromheen nog niet.
bij oplevering
Eigenaarsportaal
Eigenaren krijgen hun afrekeningen nu via hun beheerder. Het eigen portaal is in aanbouw.
bij oplevering
Pentest
Extern uitgevoerd, rapport deelbaar onder geheimhouding. Staat gepland vóór het eerste grote kantoor. In de praktijk vaker gevraagd dan een certificaat.
in voorbereiding
ISO 27001
Niet wettelijk verplicht, wel de toegangskaart tot elke grote beheerder en elke bank. Er is nog geen certificaat; reken op zes tot twaalf maanden.
in voorbereiding
Subverwerkers
Wie er nog meer aan zit.
Zodra een partij is gekozen staat hij hier met naam, en krijg je bericht vóórdat er iets wijzigt. Waar nog niets staat, is er ook nog niets aangesloten.
| Categorie | Waarvoor | Partij |
|---|---|---|
| Hosting en database | de module en het dossier | Supabase (EU, Parijs) |
| Hosting van deze site | de pagina's die je nu leest | Netlify |
| nota's, herinneringen, uitnodigingen en de aanmeldingen op deze site | Resend | |
| Betaalinstelling | betaallinks en iDEAL | Mollie |
| Berichtenplatform | WhatsApp en sms in de aanmaanladder | nog niet aangesloten |
| Elektronische handtekening | huurovereenkomsten | nog niet gekozen |
| Print en verzending | de 14-dagenbrief per post | nog niet gekozen |
Twee privacyverklaringen, niet één
De meeste privacyverklaringen falen doordat ze twee doelgroepen in één tekst proppen. Een huurder en een verhuurder hebben een andere relatie tot dezelfde gegevens: de verhuurder is opdrachtgever, de huurder is dat nadrukkelijk niet. Er komen dus twee gescheiden verklaringen, plus gebruiksvoorwaarden voor het huurdersportaal die uitsluitend over portaalgebruik gaan en de huurrelatie ongemoeid laten.
Wat er bij een formulier hoort te staan, staat er ook echt bij — niet als link naar twaalf pagina’s.
- Privacyverklaring van deze website — staat er nu, op /privacy.
- Privacyverklaring klanten (verhuurders, beheerkantoren, beleggers) — bij oplevering.
- Privacyverklaring huurders: wat er met hun gegevens gebeurt en wie het ziet — bij oplevering.
- Verwerkersovereenkomst met subverwerkerslijst en meldtermijnen, als download — bij oplevering.
- Gebruiksvoorwaarden huurdersportaal, alleen over portaalgebruik — bij oplevering.
Een kwetsbaarheid gevonden?
Meld het op security@maxbo.nl. Wij bevestigen binnen twee werkdagen, houden je op de hoogte tot het verholpen is, en ondernemen geen juridische stappen tegen wie zich aan het beleid houdt in /.well-known/security.txt.