De vijftien moeilijkste vragen. Eerlijk beantwoord.

Vidimus levert bewijsmateriaal, geen oordeel. Tussen ondernemingen is het bewijs in België vrij (BW boek 8, art. 8.11): alle bewijsmiddelen zijn toegelaten en de rechter weegt. Een elektronische handtekening, een elektronisch tijdstempel en een elektronisch document mogen niet geweigerd worden louter omdat ze elektronisch zijn (eIDAS art. 25, 41 en 46). Wat Vidimus daarbovenop geeft: elke schakel is zonder ons na te rekenen — de tegenpartij, haar deskundige of de rechter hoeft ons niet te geloven. Het tijdstempel is gekwalificeerd: dat geeft het wettelijk vermoeden van de juistheid van datum en tijd en van de integriteit van de gegevens waaraan het verbonden is (eIDAS art. 41 lid 2, zie 2). Meer op juridisch & audit.

Het tijdstempel wel. De handtekening van het toestel is geavanceerd. De toestelsleutels zijn ontworpen naar de vereisten van een geavanceerde elektronische handtekening (eIDAS art. 26): uniek verbonden met de persoon, sleutel onder zijn uitsluitende controle op zijn toestel, elke wijziging achteraf traceerbaar. Het mandaat waarmee de bestuurder zijn organisatie identificeert, tekent hij met zijn Belgische eID: dát is een gekwalificeerde handtekening. Het tijdstempel is een gekwalificeerde elektronische tijdstempel van een erkende vertrouwensdienst op de EU-vertrouwenslijst (eIDAS art. 42), inbegrepen bij elke registratie. Vidimus is zelf geen gekwalificeerde vertrouwensdienstverlener en geen notaris.

Niet zonder dat het opvalt. De handtekening komt van een sleutel die het toestel van de indiener nooit verlaat; wij hebben ze niet. Het tijdstip komt van een gekwalificeerde tijdstempeldienst en van een Bitcoin-blok, niet van onze klok. Het grootboek is een hash-keten: één record wijzigen breekt alles erna. En de bewijsbundel staat bij de klant, met script en handleiding. Om één registratie te vervalsen zouden wij een toestelsleutel, een tijdstempelautoriteit én een Bitcoin-blok moeten vervalsen — en de bundel die de klant al heeft, zou het verraden. Wissen kunnen wij evenmin: originelen worden één keer geschreven en gaan naar opslag met Object Lock.

De klant is verwerkingsverantwoordelijke, Vidimus verwerker; de verwerkersovereenkomst staat in de voorwaarden. Publiek staat nooit inhoud, alleen het wiskundige bewijs. Bij stromen met persoonsgegevens zit er een geheim zout per registratie in de vingerafdruk, zodat niemand namen of nummers kan raden; het zout zit alleen in de bundel van die ene registratie. Inhoud en bijlagen liggen versleuteld in de kluis (AES-256-GCM, eigen sleutel per document, sleutel per organisatie); elke ontsleuteling door onze server staat in een logboek dat de klant zelf ziet. Toegang tot systemen is beperkt tot de zaakvoerder en gelogd.

Door de sleutel te wissen, niet het bestand. Het versleutelde origineel blijft staan (Object Lock laat niet toe dat iemand het overschrijft), maar zonder zijn documentsleutel is het voorgoed ruis — ook voor ons. Dat heet crypto-shredding. De vingerafdruk, het tijdstempel en het grootboekrecord bevatten geen persoonsgegevens en blijven bewijzen dát er iets was, wanneer en door wie. Na de bewaartermijn van de stroom gebeurt hetzelfde automatisch.

Het bewijs hangt niet aan ons. De bundel is van de klant: open formaten, standaardcryptografie, het referentiescript en de handleiding zitten erin. Het tijdstempeltoken is te controleren tot een rootcertificaat dat al op elke computer staat; het Bitcoin-bewijs tegen Bitcoin zelf. Stopt Vidimus, dan melden we dat minstens negentig dagen vooraf, blijft exporteren die hele periode mogelijk en blijven de publieke sleutels om bundels te controleren gepubliceerd. Elke nacht gaat een versleutelde kopie van databank, grootboek en sleutels naar opslag met Object Lock; de herstelprocedure is gedocumenteerd.

Altijd: de vingerafdruk, de handtekening, het tijdstip, het Merkle-pad, het grootboekrecord en de "envelop" (bron, stroom, referentie, moment) die nodig is voor de factuur en om iets terug te vinden. Alleen als de klant het meestuurt: de inhoud en de bijlagen zelf — foto's, pdf's, CMR's — versleuteld per document in de kluis. Wie alleen de hash stuurt (bijvoorbeeld een hele map via het manifest), houdt de originelen bij zich. Wat wij nooit hebben: de privésleutel van een toestel en biometrische gegevens. Het geheime zout van een registratie met persoonsgegevens komt nooit op een publieke pagina; het zit alleen in de bundel van die ene registratie.

Server en Object Storage bij Hetzner Online GmbH in Neurenberg, Duitsland (EU). Geen gegevens buiten de EU. Subverwerkers: Hetzner (hosting, opslag), de gekwalificeerde tijdstempeldienst en Sectigo (tijdstempels; ontvangen alleen hashes), de publieke OpenTimestamps-kalenders (alleen hashes), Stripe (betalingen; bedrijfs- en contactgegevens, nooit registratie-inhoud), Recommand (Peppol-e-facturen; factuurgegevens), Google (verzending van e-mails; naam en adres van de ontvanger). Wijzigingen worden dertig dagen vooraf gemeld.

Elke partner krijgt meteen een sandbox-eindklant met eigen sleutel en teststroom; elke organisatie kan gratis tot 100 registraties per maand testen, zonder betaalgegevens. Registraties aanvaarden een idempotency_key: dezelfde sleutel twee keer sturen geeft dezelfde registratie, geen dubbel. Eindklanten aanmaken via de partner-API is idempotent op uw klantnummer. Metingen komen alleen van een meetbron die u aanmaakt met een eenheid en een bereik: hoogstens één per tien seconden per bron, in oplopende tijd en niet ouder dan 24 uur. Te snel krijgt een nette 429, geen stil verlies; een waarde buiten eenheid of bereik wordt geweigerd. Registreren stopt bij een geschorste aansluiting; lezen en verifiëren blijven altijd werken.

Toestelsleutels worden op de telefoon aangemaakt en verlaten die nooit; wij ontvangen de publieke helft. Systeemsleutels van organisaties en de kluissleutels (per document, per organisatie, hoofdsleutel) staan op de server met beperkte rechten, en elke ontsleuteling wordt gelogd. Wat er wél en níét is, staat zonder opsmuk op de beveiligingspagina: geen ISO 27001-certificaat (we werken naar het CyberFundamentals-kader van het CCB toe), responsible disclosure staat open, toegang beperkt en gelogd, TLS met HSTS. Wie een certificaat of onafhankelijke test contractueel nodig heeft, zegt het bij de start; dan plannen we het.

Reseller en integrator: de partner factureert zijn klant onder eigen naam en is eerste lijn; Vidimus factureert de partner en is tweede lijn. Referral: Vidimus factureert de klant rechtstreeks en doet de support; de partner krijgt zijn aandeel. In alle gevallen: de eindklant is eigenaar van zijn registraties, kan alles exporteren, en zijn inhoud is versleuteld met een sleutel die de partner niet heeft. Zie partners.

Dan gaat hij rechtstreeks verder bij Vidimus, of naar een andere partner, met behoud van registraties, sleutels en verificatielinks. Vidimus en de partner werken mee aan de overdracht; dat staat in de voorwaarden (hoofdstuk 5) en in de partnerovereenkomst (art. 7). Niets van het bewijs zit vast aan de partner.

Zonder aparte afspraak: streven naar 99,5 % beschikbaarheid per maand, antwoord binnen één werkdag door wie het gebouwd heeft, een storing die verankeren blokkeert binnen vier werkuren opgepakt, nachtelijke back-up en een getest herstelplan. De app werkt zonder verbinding en verstuurt later; het tijdstip van tekenen op het toestel wordt mee vastgelegd, dus een onderbreking kost geen bewijs. Hardere garanties, een creditregeling en een vaste contactpersoon: via een SLA bij jaarcontract.

Voor de correcte werking van de verankering zoals beschreven in de voorwaarden: vingerafdruk, handtekening, tijdstempel, grootboek, verificatie. Niet voor de inhoud van registraties, niet voor beslissingen die iemand daarop baseert, niet voor indirecte schade. De totale aansprakelijkheid is beperkt tot de vergoedingen van de voorbije twaalf maanden. Voor partners geldt dezelfde grens in de partnerovereenkomst (art. 8).

De vingerafdruk (SHA-256), het Merkle-pad, de Ed25519-handtekeningen en het grootboekrecord blijven na te rekenen zolang die standaarden bestaan — en ze zitten met script en handleiding in de bundel. Het Bitcoin-bewijs verloopt nooit. Eén eerlijke grens: het certificaat van de tijdstempelautoriteit heeft een looptijd; na afloop toont het token nog steeds de wortel en het tijdstip, maar de handtekening van de tijdstempeldienst is dan niet meer "geldig" in de strikte zin. Daarom raden we bij dossiers met een lange looptijd aan om de bundels periodiek opnieuw te verankeren (een hele map in één registratie): elk nieuw anker bewijst dat de oude bundel, inclusief het oude token, op dat moment ongewijzigd bestond.