# Informatiebeveiligingsstatement

**Versie:** 1.0
**Laatst bijgewerkt:** 19 mei 2026
**Status:** Feitelijk — beschrijft de maatregelen die Fynqo daadwerkelijk treft

Fynqo verwerkt gevoelige gegevens van mensen in kwetsbare situaties: financiële
gegevens, schuldendossiers en in sommige portals zorggerelateerde gegevens. Dit
statement beschrijft hoe Fynqo die gegevens beveiligt. Het beschrijft de
maatregelen zoals ze in het platform zijn ingebouwd. Het is geen certificering
en geen audituitspraak.

## 1. Uitgangspunten

- **Privacy by design.** Gegevensbescherming is onderdeel van het ontwerp- en
  ontwikkelproces, niet iets dat achteraf wordt toegevoegd.
- **Dataminimalisatie.** Fynqo verwerkt alleen wat nodig is voor het doel.
- **Least privilege.** Iedereen ziet alleen de gegevens die bij zijn of haar rol
  horen.
- **EU-first.** Het zwaartepunt van de verwerking ligt binnen de EER.

## 2. Versleuteling

| Laag | Maatregel |
|---|---|
| In transit | TLS op alle verbindingen; verkeer wordt afgedwongen via security-headers |
| In rust | Versleutelde opslag van de database bij de hostingpartij |
| Veldniveau | Gevoelige velden, waaronder bijzondere categorieën (art. 9 AVG) en identiteitsgegevens, worden apart versleuteld met Fernet (zie `backend/services/crypto.py`, sleutel via `FYNQO_CRYPTO_KEY`) |

Voorbeelden van veldniveau-versleuteling: BSN en identiteitsattributen,
zorggerelateerde gegevens in het GGZ-portaal.

## 3. Toegangscontrole

- **Role-based access control (RBAC).** Toegang verloopt via rollen en rechten.
  Een coach, bewindvoerder, gemeentemedewerker of GGZ-professional ziet alleen
  de gegevens die bij die rol horen. De controle zit in elke API-endpoint
  (`backend/api_rbac.py`).
- **Tenant-scheiding.** Gegevens van verschillende organisaties zijn van elkaar
  gescheiden; elke endpoint controleert de scope.
- **Toegang met reden.** Inzage in clientdata wordt vastgelegd, inclusief wie,
  wanneer en met welke reden.
- **Toestemming per onderdeel.** Delen van gegevens met een professional
  verloopt via een tijdgebonden, intrekbare toegangsverlening (`AccessGrant`
  met scope en `expires_at`).

## 4. Authenticatie en multi-factor

- Multi-factor authenticatie (MFA) is beschikbaar en wordt afgedwongen voor
  rollen met toegang tot productie- en clientdata (`backend/routes/auth_mfa.py`).
- Authenticatie-endpoints zijn voorzien van rate-limiting tegen
  brute-force-pogingen.
- Wachtwoorden worden gehasht opgeslagen, nooit in platte tekst.

## 5. Audit-logging

- Mutaties en inzage in clientdata worden vastgelegd in een audit-log
  (`AuditLog`-model).
- Het audit-log legt vast wie welke handeling heeft uitgevoerd en wanneer.
- Hoog-risico-handelingen, zoals het klaarzetten van betalingen, lopen via een
  vier-ogen-principe boven een ingestelde drempel.

## 6. Veilige verwerking van AI

- Gevoelige casus-context gaat niet standaard naar een externe cloud-AI. Voor
  zorg-, bewind-, gemeente- en organisatieverkeer geldt een lokale of EU-first
  route.
- Gebruikersinvoer wordt in promptsjablonen apart gehouden van instructies, om
  prompt-injectie tegen te gaan.
- Persoonsgegevens worden uit logbestanden geredacteerd (e-mail, IBAN,
  telefoonnummer, BSN — zie `backend/services/structured_log.py`).
- AI-output is informatief en geen financieel advies. Bij hoog-risico-suggesties
  is een mens betrokken.

## 7. Privacy-rechten in techniek

- **Inzage en export.** Een betrokkene kan zijn of haar gegevens exporteren via
  het privacy-overzicht (`routes/gdpr.py`).
- **Verwijdering.** Het recht op vergetelheid is technisch ondersteund via een
  cascade-verwijdering over alle gegevenscategorieën.
- **Bewaartermijnen.** Verlopen gegevens worden automatisch verwijderd; zie het
  bewaartermijnen-overzicht.

## 8. Ontwikkel- en kwetsbaarhedenbeheer

- Afhankelijkheden worden bij releases gescand op bekende kwetsbaarheden.
- Kritieke beveiligingsupdates worden met voorrang doorgevoerd.
- Geheimen en sleutels staan niet in de broncode; ze worden via
  omgevingsvariabelen en een credential-store beheerd.
- Fouten worden gemonitord via Sentry, met redactie van persoonsgegevens.

## 9. Organisatorische maatregelen

- Medewerkers met toegang tot persoonsgegevens zijn gehouden aan geheimhouding.
- Toegangsrechten worden periodiek herzien.
- Er is een gedocumenteerde datalek-procedure; zie de datalek-procedure-
  samenvatting.

## 10. Een kwetsbaarheid melden

Vermoed u een beveiligingsprobleem? Meld dit via security@fynqo.app. Fynqo
behandelt meldingen vertrouwelijk en vraagt de melder het probleem niet openbaar
te maken voordat het is verholpen.

## Verantwoording

Dit statement beschrijft de actuele situatie en wordt bijgewerkt wanneer de
maatregelen veranderen. Fynqo claimt hiermee geen formele certificering. Voor
vragen: privacy@fynqo.app.