Juridisch · Compliance

Informatiebeveiligingsstatement

Laatst bijgewerkt: 19 mei 2026 Download dit document (Markdown)

Versie: 1.0 Laatst bijgewerkt: 19 mei 2026 Status: Feitelijk — beschrijft de maatregelen die Fynqo daadwerkelijk treft

Fynqo verwerkt gevoelige gegevens van mensen in kwetsbare situaties: financiële gegevens, schuldendossiers en in sommige portals zorggerelateerde gegevens. Dit statement beschrijft hoe Fynqo die gegevens beveiligt. Het beschrijft de maatregelen zoals ze in het platform zijn ingebouwd. Het is geen certificering en geen audituitspraak.

1. Uitgangspunten

Privacy by design. Gegevensbescherming is onderdeel van het ontwerp- en ontwikkelproces, niet iets dat achteraf wordt toegevoegd.
Dataminimalisatie. Fynqo verwerkt alleen wat nodig is voor het doel.
Least privilege. Iedereen ziet alleen de gegevens die bij zijn of haar rol horen.
EU-first. Het zwaartepunt van de verwerking ligt binnen de EER.

2. Versleuteling

Laag	Maatregel
In transit	TLS op alle verbindingen; verkeer wordt afgedwongen via security-headers
In rust	Versleutelde opslag van de database bij de hostingpartij
Veldniveau	Gevoelige velden, waaronder bijzondere categorieën (art. 9 AVG) en identiteitsgegevens, worden apart versleuteld met Fernet (zie `backend/services/crypto.py`, sleutel via `FYNQO_CRYPTO_KEY`)

Voorbeelden van veldniveau-versleuteling: BSN en identiteitsattributen, zorggerelateerde gegevens in het GGZ-portaal.

3. Toegangscontrole

Role-based access control (RBAC). Toegang verloopt via rollen en rechten. Een coach, bewindvoerder, gemeentemedewerker of GGZ-professional ziet alleen de gegevens die bij die rol horen. De controle zit in elke API-endpoint (backend/api_rbac.py).
Tenant-scheiding. Gegevens van verschillende organisaties zijn van elkaar gescheiden; elke endpoint controleert de scope.
Toegang met reden. Inzage in clientdata wordt vastgelegd, inclusief wie, wanneer en met welke reden.
Toestemming per onderdeel. Delen van gegevens met een professional verloopt via een tijdgebonden, intrekbare toegangsverlening (AccessGrant met scope en expires_at).

4. Authenticatie en multi-factor

Multi-factor authenticatie (MFA) is beschikbaar en wordt afgedwongen voor rollen met toegang tot productie- en clientdata (backend/routes/auth_mfa.py).
Authenticatie-endpoints zijn voorzien van rate-limiting tegen brute-force-pogingen.
Wachtwoorden worden gehasht opgeslagen, nooit in platte tekst.

5. Audit-logging

Mutaties en inzage in clientdata worden vastgelegd in een audit-log (AuditLog-model).
Het audit-log legt vast wie welke handeling heeft uitgevoerd en wanneer.
Hoog-risico-handelingen, zoals het klaarzetten van betalingen, lopen via een vier-ogen-principe boven een ingestelde drempel.

6. Veilige verwerking van AI

Gevoelige casus-context gaat niet standaard naar een externe cloud-AI. Voor zorg-, bewind-, gemeente- en organisatieverkeer geldt een lokale of EU-first route.
Gebruikersinvoer wordt in promptsjablonen apart gehouden van instructies, om prompt-injectie tegen te gaan.
Persoonsgegevens worden uit logbestanden geredacteerd (e-mail, IBAN, telefoonnummer, BSN — zie backend/services/structured_log.py).
AI-output is informatief en geen financieel advies. Bij hoog-risico-suggesties is een mens betrokken.

7. Privacy-rechten in techniek

Inzage en export. Een betrokkene kan zijn of haar gegevens exporteren via het privacy-overzicht (routes/gdpr.py).
Verwijdering. Het recht op vergetelheid is technisch ondersteund via een cascade-verwijdering over alle gegevenscategorieën.
Bewaartermijnen. Verlopen gegevens worden automatisch verwijderd; zie het bewaartermijnen-overzicht.

8. Ontwikkel- en kwetsbaarhedenbeheer

Afhankelijkheden worden bij releases gescand op bekende kwetsbaarheden.
Kritieke beveiligingsupdates worden met voorrang doorgevoerd.
Geheimen en sleutels staan niet in de broncode; ze worden via omgevingsvariabelen en een credential-store beheerd.
Fouten worden gemonitord via Sentry, met redactie van persoonsgegevens.

9. Organisatorische maatregelen

Medewerkers met toegang tot persoonsgegevens zijn gehouden aan geheimhouding.
Toegangsrechten worden periodiek herzien.
Er is een gedocumenteerde datalek-procedure; zie de datalek-procedure- samenvatting.

10. Een kwetsbaarheid melden

Vermoed u een beveiligingsprobleem? Meld dit via security@fynqo.app. Fynqo behandelt meldingen vertrouwelijk en vraagt de melder het probleem niet openbaar te maken voordat het is verholpen.

Verantwoording

Dit statement beschrijft de actuele situatie en wordt bijgewerkt wanneer de maatregelen veranderen. Fynqo claimt hiermee geen formele certificering. Voor vragen: privacy@fynqo.app.