Beveiliging en vertrouwen.

Wat er vandaag staat, zonder claims die er niet zijn. Elke regel hieronder is live en controleerbaar. Wat hier niet staat, hebben we niet.

Publiek staat alleen een wiskundig bewijs dat uw register niet herschreven is. Wie u bent, wat u vastlegt en met wie, blijft binnen uw organisatie en wie u zelf een link geeft.

Sleutels blijven bij u.

Tekenen gebeurt op het toestel. Elke medewerker en elke tegenpartij tekent met een Ed25519-sleutel die op zijn eigen telefoon wordt aangemaakt en die het toestel nooit verlaat. Wij kunnen niet in uw naam tekenen, ook niet als iemand ons daartoe zou dwingen.
Biometrie is optioneel, nooit verplicht. Wie Face ID of Touch ID inschakelt, koppelt een passkey aan de sleutel. Zonder biometrie werkt het toestel gewoon met zijn sleutel; iOS vraagt dan de toegangscode.
Intrekken is één klik. Verloren telefoon of vertrek: het bureau trekt de sleutel in. Wat eerder getekend werd, blijft geldig en verankerd.

Wat wij verankeren, en hoe.

Vingerafdruk per registratie: SHA-256 over de canonieke inhoud én de hash van elke bijlage. Eén teken anders geeft een andere vingerafdruk. Hoe een deskundige dit nareekent zonder ons: verificatiehandleiding.
Anker elke vijf minuten: alle nieuwe vingerafdrukken in één Merkle-wortel, getekend door Vidimus en extern getijdstempeld. Binnen zes uur krijgen alle nieuwe wortels samen een gekwalificeerde tijdstempel (eIDAS) van een erkende vertrouwensdienst op de EU-vertrouwenslijst. De klok is dus niet de onze.
Publiek anker in Bitcoin: elke wortel wordt ook ingediend bij OpenTimestamps en binnen enkele uren opgenomen in een Bitcoin-blok. Dat register kan niemand wijzigen of wissen, ook Vidimus niet; het bewijs (.ots) zit in elke bundel en is na te rekenen met ots (opentimestamps-client) en een publieke blockexplorer.
Append-only grootboek: elk record verwijst naar het vorige; een tussenvoeging of wijziging achteraf breekt de keten zichtbaar.
Alles zelf narekenbaar: de bewijsbundel (zip) bevat inhoud, handtekeningen, Merkle-pad en tijdstempeltoken. Met openssl en een SHA-256-tool controleert u het zonder Vidimus. Hoe het werkt →

Waar uw gegevens staan.

Hosting: Hetzner Online GmbH, datacenter Neurenberg, Duitsland (EU). Geen gegevens buiten de EU.
De kluis: originelen en foto's staan versleuteld (AES-256-GCM) met een eigen sleutel per document, gewikkeld onder de sleutel van uw organisatie; wie de schijf steelt, leest niets, en elke ontsleuteling door onze server staat in een logboek dat u zelf ziet. Voor een vertrouwelijke stroom gaat het verder: elk toestel versleutelt met uw bedrijfssleutel, en alleen uw browser met de private sleutel leest mee. Die sleutel wordt bij u gemaakt en komt nooit bij ons; een herstelbestand met wachtzin bewaart u zelf. Wij zien dan alleen de envelop en de vingerafdrukken.
Object lock: elke versleutelde foto en registratie staat ook in Hetzner Object Storage (Neurenberg) met Object Lock in compliance-modus: tot de bewaartermijn van de stroom verstrijkt kan niemand het bestand wissen of overschrijven. Ook wij niet, ook de hoster niet op ons verzoek. Wissen na de termijn gebeurt door de sleutel te vernietigen; het bestand blijft ruis.
Back-ups en herstel: elke nacht een versleutelde kopie van databank, grootboek en sleutels naar Hetzner Object Storage met Object Lock, dertig dagen bewaard, op dezelfde EU-locatie; de herstelprocedure staat op papier en wordt elk kwartaal op een tijdelijke server getest.
Bewaartermijn: standaard tien jaar per stroom, instelbaar per organisatie. Een stroom afsluiten geeft een slotwortel; daarna is registreren onmogelijk, raadplegen en verifiëren blijft.

Toegang en verbinding.

Versleuteld transport met TLS, HSTS ingeschakeld; koppen tegen clickjacking en content-sniffing; camera en locatie alleen voor de app zelf.
Sessies van twaalf uur, getekende cookies, tweestapsverificatie beschikbaar onder Account.
API-sleutels per organisatie, intrekbaar; systemen tekenen met een eigen systeemsleutel en meetbronnen met hun eigen sleutel, nooit met een persoonlijke.
Geen trackers. Geen advertentienetwerken, geen analysediensten. Lettertypen worden geladen van Google Fonts; dat is het enige externe verzoek van uw browser.

Een kwetsbaarheid melden.

Mail naar security@vo-initiatives.com. U krijgt binnen twee werkdagen antwoord van de mensen die de code schreven, niet van een helpdesk.
Wij publiceren security.txt (RFC 9116) en nemen te goeder trouw gemelde onderzoekers niets kwalijk.
Bij een incident dat uw gegevens raakt, verwittigen wij u binnen 72 uur, met wat er gebeurd is en wat wij deden.

Wat wij niet hebben, en wanneer wel.

Geen ISO 27001-certificaat. Wij werken naar het Belgische CyberFundamentals-kader (CCB) toe; de zelfbeoordeling volgt in 2026. ISO 27001 plannen we zodra een klant het contractueel vraagt.
Geen gekwalificeerde handtekening per registratie in de zin van eIDAS; wel geavanceerde handtekeningen, telkens met een gekwalificeerde tijdstempel van een erkende vertrouwensdienst. Alleen het mandaat van de bestuurder is gekwalificeerd getekend, met zijn eID.
Geen blockchain-netwerk. Het grootboek is een hash-keten op onze infrastructuur, getekend en gekwalificeerd getijdstempeld. Sinds 7 september 2026 gaat elke Merkle-wortel bovendien via OpenTimestamps naar Bitcoin: een publieke, onwisbare tweede getuige, na te rekenen tegen Bitcoin zelf.