Beveiliging en privacy
Vertrouwenscentrum
DutchDataroom bewaart stukken die onder het beroepsgeheim van de advocaat vallen. Op deze pagina staat feitelijk hoe wij die beschermen, met verwijzingen naar onze architectuurbesluiten (ADR’s).
Huidige status: DutchDataroom is in de bouwfase en draait nog niet in productie. Leveranciers met de status ‘gepland’ zijn gekozen maar nog niet gecontracteerd.
Hosting en datalocatie
Besluit: ADR-0002, ADR-0007, ADR-0009
Alle klantdata wordt verwerkt en opgeslagen in Nederland en de EU. Productie draait bij een Europese cloudpartij in Amsterdam; de offsite back-up staat bij een Duitse partij.
Geen Amerikaanse subverwerkers en geen diensten onder een niet-EU-moederbedrijf in de datastroom. Geen analytics, geen externe CDN’s en geen AI-diensten van derden.
De opslag (MinIO-compatibel), de database (PostgreSQL) en het inlogsysteem (Keycloak) beheren wij zelf.
Versleuteling
Besluit: ADR-0004, ADR-0014
Ieder document wordt versleuteld opgeslagen met een eigen sleutel per dataroom (age-formaat). De ruimtesleutels zijn zelf versleuteld met een hoofdsleutel in een sleutelbeheerdienst (KMS) in de EU.
Sleutels kunnen worden geroteerd; bij vernietiging van een dataroom wordt de sleutel vernietigd (crypto-shredding), zodat ook back-ups onleesbaar worden.
Al het verkeer gaat via TLS. Opgeslagen objecten worden nooit overschreven: iedere wijziging is een nieuwe versie.
Inloggen
Besluit: ADR-0003, ADR-0005, ADR-0026
Medewerkers van het kantoor loggen in via Keycloak met tweestapsverificatie (authenticator-app of passkey). Die staat voor elk kantoor standaard aan; een beheerder van het kantoor kan haar uitzetten voor de eigen medewerkers. Gevoelige handelingen vragen om opnieuw inloggen, met de tweede factor zodra het kantoor die verplicht.
Cliënten en andere gasten loggen in met een eenmalige code per e-mail; het kantoor kan een tweede code per sms verplichten.
Autorisatie wordt voor ieder verzoek op de server bepaald, met rijbeveiliging in de database als tweede slot.
Audittrail
Besluit: ADR-0006, ADR-0043
Iedere inzage, download, deelactie en rechtenwijziging wordt vastgelegd in een audittrail die alleen kan groeien: records worden nooit gewijzigd of verwijderd.
De gebeurtenissen zijn aan elkaar geketend met SHA-256-hashes. Dagelijks gaat een export naar onveranderbare opslag (WORM, Object Lock), zodat een auditor de keten onafhankelijk kan controleren.
De audittrail bevat id’s en codes, geen bestandsnamen of documentinhoud.
Back-ups
Besluit: ADR-0008, ADR-0046
Versleutelde databasedumps ieder uur en dagelijks, en replicatie van de documenten iedere vijf minuten naar een tweede locatie met Object Lock (COMPLIANCE-modus): ook een beheerder kan ze tijdens de bewaartermijn niet wissen.
Een geautomatiseerde hersteltest zet de back-up terug in een lege database en controleert tellingen, ontsleuteling van documenten en de audithashketen.
Laatste hersteltest:Nog geen gepubliceerd resultaat.
Bewaartermijnen en vernietiging
Besluit: ADR-0012, ADR-0035, ADR-0039
Per soort dataroom gelden bewaartermijnen. Een legal hold blokkeert iedere vernietiging.
Vernietiging gebeurt volgens het vier-ogen-principe en levert een vernietigingscertificaat op. Verwijderde documenten staan eerst minimaal 30 dagen in de prullenbak.
Bestandsgroottes, voorbeelden en opslag
Besluit: DOC-16, ADR-0007 D10
Wat het platform per bestand en per aanvraag afdwingt. Dit zijn servergrenzen, geen hints in de interface: de viewer past exact deze getallen toe.
| Grens | Waarde |
|---|---|
| Grootste bestand dat u kunt uploaden | 5 GB |
| Standaardgrens per aanvraagpunt | 100 MB |
| Bestanden per aanvraagpunt | 50 |
| Grootste bestand waarvan de viewer een voorbeeld maakt | 128 MB |
| Grootste pdf die de viewer pagineert | 32 MB |
| Maximaal aantal pagina’s dat de viewer pagineert | 100.000 |
| Grootste bestand in een procesdossier | 25 MB |
Boven de voorbeeldgrens heeft een bestand geen voorbeeld en is het alleen te downloaden door wie downloadrecht heeft; niets mislukt stil. De viewer maakt voorbeelden van pdf, png en jpeg; elk ander type is alleen te downloaden.
Opslag is een pool voor het hele kantoor: zitplaatsen maal de ruimte per zitplaats, plus eventuele extra blokken. De archiefruimte is tien keer de pool. Een upload wordt alleen geweigerd als de pool vol is, nooit door een enkele dataroom.
Subverwerkers
Besluit: ADR-0045
Deze lijst komt uit dezelfde bron als het compliancepakket voor de deken. Alleen bedrijven uit de EU/EER met verwerking in de EU komen in aanmerking.
| Partij | Diensten | Locatie | Status |
|---|---|---|---|
| Scaleway SAS | rekenkracht, beheerde PostgreSQL, objectopslag, sleutelbeheer (KMS), load balancer, monitoring | NL | Gepland |
| Scaleway SAS | transactionele e-mail | FR | Gepland |
| Hetzner Online GmbH | offsite back-upopslag met Object Lock | DE | Gepland |
| [Sms-aanbieder, nog te kiezen: alleen EU/EER] | sms-inlogcodes | – | Nog te kiezen (plaatshouder) |
| Eigen componenten (door ons beheerd) | PostgreSQL (database), MinIO-compatibele objectopslag, Keycloak (inloggen), beveiligingscontrole van uploads | NL | Zelf beheerd |
ISO 27001-roadmap
Besluit: OPS-07
Wij bereiden ISO/IEC 27001:2022-certificering voor. Er is nog geen certificaat. Hieronder de verklaring van toepasselijkheid per controlegroep en hoe ver wij zijn.
| Controlegroep | Wat er staat | Status |
|---|---|---|
| A.5 Organisatorische maatregelen | ISMS-scope, risicoregister, incidentdraaiboek, leveranciersbeoordeling | In uitvoering |
| A.6 Mensgerichte maatregelen | Toegangsgoedkeuring, geheimhouding, training en in-/door-/uitstroomregistratie | Gepland |
| A.7 Fysieke maatregelen | Zekerheid van de EU-hostingpartij en een beperkte ceremonie voor de herstelsleutel | Gepland |
| A.8 Technologische maatregelen | MFA, policy/RLS, versleuteling, onveranderbare opslag, back-ups, veilige ontwikkelstraat en monitoring | In uitvoering |
Volgende stappen: gap-analyse afronden, risicoregister vaststellen, interne audit en daarna de externe certificeringsaudit (ook ISO/IEC 27018).
API en webhooks
Besluit: ADR-0052
Kantoren koppelen hun praktijkmanagementsysteem via API-sleutels met beperkte rechten; een sleutel omzeilt nooit de rechten van een dataroom en ieder gebruik wordt gelogd.
Webhooks bevatten alleen id’s en typen, nooit titels of inhoud, en zijn ondertekend (HMAC-SHA256). Waar het kantoor de ontvanger host, valt onder de verantwoordelijkheid van het kantoor.
Hulpmiddelen die alleen lokaal draaien
Besluit: ADR-0023, ADR-0024, ADR-0028, ADR-0032
Voor de demo gebruiken wij een paar lokale hulpmiddelen. Ze worden bij het opstarten geweigerd zodra de omgeving staging of productie is:
Scan-bypass voor uploads, in-process pdf-renderer, lokale LibreOffice-conversie, lokale tekstextractie en OCR, sms naar een testmailbox en loopback-webhooks.
Wat dit platform niet doet
Een dataroom verzamelt, beveiligt en deelt documenten. Het volgende hoort daar bewust niet bij, zodat u de rest van uw proces erop kunt inrichten. Een regel verdwijnt hier alleen als de functie er werkelijk is.
- Geen automatische of AI-conclusies, risico-oordelen of documentbeoordelingen. Mensen lezen de documenten en leggen hun eigen bevindingen vast.
- Geen juridisch, fiscaal of financieel advies. De software verzamelt en beveiligt documenten; de professional adviseert.
- Geen gekwalificeerde elektronische ondertekening (QES). Een gescande ondertekende akte wordt als document bewaard; het ondertekenen zelf gebeurt buiten de dataroom.
- Geen iDIN, NFC-paspoortcontrole of eHerkenning. Een identiteitscontrole wordt vastgelegd als het bewijs dat u zelf hebt opgevraagd en beoordeeld.
- Geen indiening bij Mijn Rechtspraak. Het genummerde dossier en de index worden als zip geëxporteerd voor handmatige indiening.
- Geen koppeling met HDN, geldverstrekkers of adviessoftware. Het volledige pakket wordt geëxporteerd en handmatig doorgestuurd.
- Geen berekening van leencapaciteit of advies.
- Geen koppeling met boekhoudsoftware.
- Geen SBR- of Belastingdienst-indiening. Een aangiftepakket wordt hier voorbereid, niet hiervandaan ingediend.
- Geen automatische uitvraag bij het Kadaster of de notariële registers. De KvK-zoekfunctie vult alleen in wat u bij de cliënt opslaat.
- Geen koppeling met taxatiesoftware.
- Geen koppeling met vastgoedbeheersoftware; objectdossiers worden geëxporteerd voor handmatige import.
- Geen biedingsplatform. Biedingen lopen buiten de dataroom; gefaseerde vrijgave aan een biedersgroep is een rechtenwijziging.
- Geen deal-CRM of leadregistratie.
Een API-sleutel met beperkte rechten en ondertekende webhooks zijn beschikbaar, zodat u zelf een koppeling met deze systemen kunt bouwen. Dat is niet hetzelfde als een ingebouwde koppeling, en geen van bovenstaande bestaat als zodanig.
Kwetsbaarheid melden
Heeft u een kwetsbaarheid gevonden? Meld die volgens ons beleid voor verantwoorde melding.