Beveiliging

Waar je gegevens staan

• Database en bestanden: bij Supabase, in Stockholm (Zweden).
• Applicatie en achtergrondtaken: bij Vercel, in Stockholm (Zweden).
• E-mail: via Resend, verstuurd vanuit Ierland.
• AI-analyses: via de Vercel AI Gateway naar Anthropic, OpenAI, Google en Perplexity. Deze providers kunnen gegevens buiten de EU verwerken; daarvoor gelden de waarborgen uit ons privacybeleid.

Versleuteling

Al het verkeer tussen jou en Recommendable loopt versleuteld via HTTPS. Supabase en Vercel versleutelen ook de gegevens die ze opslaan.

Wie erbij kan

• Recommendable werkt alleen op uitnodiging. Je logt in met Google, Microsoft of een e-mailadres met wachtwoord.
• Wachtwoorden zijn minimaal twaalf tekens en worden gecontroleerd op bekende gelekte wachtwoorden.
• Alle klantgegevens in de database zijn afgeschermd per organisatie, met beveiliging op elke tabel. Een account ziet alleen de merken en gegevens van de eigen organisatie.
• Alleen de twee oprichters hebben toegang tot de productiesystemen, allebei met tweestapsverificatie.

AI-verwerking

Naar de AI-modellen gaat alleen wat een analyse nodig heeft: vooral openbare webpagina's en het merkprofiel dat je aanlevert. Dat loopt via betaalde zakelijke API-accounts. De Vercel AI Gateway bewaart prompts en antwoorden niet na afloop van een aanroep.

Back-ups

De database wordt elke dag geback-upt, en we kunnen tot zeven dagen terug herstellen. Geüploade bestanden zitten niet in die back-ups.

Bewaren en verwijderen

We bewaren je gegevens en uploads zolang je account en je merk bestaan. Verwijder je zelf een bestand, dan halen we het direct uit de opslag.

Wil je je account of organisatie laten verwijderen, mail dan info@recommendable.co. We verwijderen alles binnen zeven dagen en bevestigen dat per mail. In de dagelijkse back-ups van de database staat het daarna nog uiterlijk zeven dagen.

Hoe we testen

We testen de beveiliging zelf, minimaal elk kwartaal en voor elke grote release. We kijken dan onder meer naar de afscherming tussen organisaties, de rechten van accounts en de toegang tot databasefuncties en achtergrondtaken. Wat we vinden, lossen we op.

Certificeringen van onze partners

Recommendable heeft zelf geen SOC 2- of ISO 27001-certificering. Onze infrastructuur draait bij partijen die dat wel hebben: Supabase heeft een SOC 2 Type 2-attestatie, Vercel een SOC 2 Type 2-attestatie en een ISO 27001-certificering.

Als er iets misgaat

Ontdekken we een datalek dat jouw gegevens raakt, dan laten we het je binnen 48 uur weten. Waar de wet dat vraagt, melden we het ook bij de Autoriteit Persoonsgegevens.

Een kwetsbaarheid melden

Denk je een beveiligingsprobleem te hebben gevonden, mail dan info@recommendable.co. We reageren binnen twee werkdagen. Test alleen met je eigen account en maak niets openbaar voordat het is opgelost. Onze contactgegevens staan ook in security.txt.

Leveranciers

Welke partijen gegevens voor ons verwerken, staat in ons privacybeleid.