Beveiliging
Wat je gegevens en documenten beschermt
Deze pagina beschrijft wat vandaag werkt op Batizzy, zonder beloftes voor later. Elk punt komt overeen met een regel in de code van het platform of in de database.
Je gegevens
Gehost in de Europese Unie
De database staat in de Europese Unie en de applicatie draait in de regio Dublin. Vercel, dat de applicatie host, is een Amerikaans bedrijf, en enkele dienstverleners (e-mail, artificiële intelligentie, meldingen) zijn buiten de EU gevestigd: de lijst en de waarborgen staan in het privacybeleid.
Elk account leest alleen wat het aangaat
De toegangsregels staan in de database zelf (Row Level Security): ze gelden ook als een pagina een controle zou vergeten. Een automatische test weigert elke tabel die een bezoeker of een account zonder die regels zou kunnen wijzigen.
Geheimen worden versleuteld
SMTP-wachtwoorden, Peppyrus-sleutels en toegang tot Google Agenda die je aan Batizzy toevertrouwt, worden versleuteld (AES-256-GCM) voor ze worden opgeslagen.
Je kan je gegevens meenemen
Via je instellingen download je je gegevens in een JSON-bestand en vraag je de verwijdering van je account aan. Het account wordt dan uiterlijk binnen de maand geanonimiseerd.
Je toegang
Herhaalde pogingen worden afgeremd
Inloggen, registreren, codes per e-mail en wachtwoordherstel zijn beperkt per IP-adres, en per e-mailadres bij herhaalde mislukkingen.
Wachtwoorden die niemand leest
Ze worden beheerd door de authenticatiedienst (Supabase Auth), die ze alleen gehasht bewaart: niemand bij Batizzy kan ze lezen.
Een geblokkeerd account wordt afgesloten
Blokkeert de moderatie een account, dan worden zijn sessies gesloten, kan het niet meer inloggen en weigert de database zijn schrijfacties.
De site zelf
Alleen HTTPS
De site vraagt je browser om twee jaar lang alleen HTTPS te gebruiken (HSTS).
Geen scripts van derden
Een contentbeveiligingsbeleid (CSP) laat alleen scripts van Batizzy toe, met een unieke sleutel bij elke paginaweergave. Er worden geen advertentietrackers of tools voor bezoekersstatistieken geladen.
Geen weergave binnen een andere site
Batizzy weigert getoond te worden in een frame van een andere pagina: zo kan niemand een klik onderscheppen met een valse knop erbovenop.
Publieke bestanden onder controle
Elke publieke opslagruimte heeft een maximale grootte en een lijst van toegelaten types, zonder SVG of HTML, die code kunnen bevatten. Een via Peppol ontvangen factuur wordt getoond in een kader dat los staat van de rest van de site.
Je berichten en documenten
Berichten die niet meer veranderen
Een verstuurd bericht kan niet gewijzigd of verwijderd worden, en het tijdstip komt van de server.
Vergrendelde offerte, vastgelegde aanvaarding
Na verzending verandert een offerte niet meer. Bij de aanvaarding bewaart Batizzy de datum, de methode, een SHA-256-vingerafdruk van het aanvaarde document, de versie van de algemene voorwaarden en een vingerafdruk van het IP-adres, nooit het adres zelf.
Beschermde deellinks
Van de links naar facturen en werkbonnen die naar klanten gaan, bewaart de database alleen een vingerafdruk: met een kopie van de database open je ze niet.
Meldingen zonder externe links
Een link in een melding van Batizzy leidt altijd naar een pagina van Batizzy.
De technische logs
Persoonsgegevens gemaskeerd in de logs
Het serverlog maskeert de gekende velden met persoonsgegevens: e-mail, telefoon, naam, adres, inhoud van berichten, IBAN, IP-adres. Verzonden sms'en worden gelogd zonder nummer of tekst.
Veelgestelde vragen
Wie kan mijn berichten lezen?
De deelnemers aan het gesprek. Voor moderatie en bemiddeling kunnen ook de beheerders van Batizzy ze lezen: de gesprekken zijn niet end-to-end versleuteld. Een verstuurd bericht kan niet gewijzigd of verwijderd worden.
Kan Batizzy mij om een betaling vragen?
Niet voor werken: het geld van de werken gaat nooit via Batizzy, en een particulier betaalt Batizzy niets. Alleen vakmensen die een abonnement kiezen, betalen Batizzy, vanuit hun account. Elk ander betaalverzoek in naam van Batizzy is een poging tot fraude: meld het.
Wat garandeert de badge "KBO gecontroleerd"?
Dat het ondernemingsnummer van de vakman herkend werd door VIES, de dienst van de Europese Commissie. Over de kwaliteit van het werk of de verzekeringen zegt hij niets: vraag een gedetailleerde schriftelijke offerte en lees de reviews.
Hoe verwijder ik mijn account?
Via je instellingen. De aanvraag wordt geregistreerd en het account wordt uiterlijk binnen de maand geanonimiseerd. Je kan eerst je gegevens downloaden.
Een lek of misbruik melden
Een beveiligingslek
Schrijf ons met "Beveiliging" in het onderwerp en de stappen om het probleem te reproduceren. Geef ons de tijd om het op te lossen voor je iets publiceert.
contact@batizzy.be
Ongepaste accounts of inhoud
Gebruik de knop "Melden" op het profiel, het bericht of de werf, of het meldingsformulier, dat zonder account werkt.
De juridische details
Wie je gegevens verwerkt, waarvoor en hoe lang: het staat allemaal in het privacybeleid.