Security bij NeemtOp

Security bij NeemtOp is geen bijzaak — het is bepalend voor onze architectuur. We werken volgens drie principes:

• Minimaal wat we niet nodig hebben — geen opslag zonder doel, geen rechten zonder reden.
• Kort wat we wel bewaren — 30 dagen voor gesprekken, langer alleen op expliciet verzoek.
• Transparant wat er gebeurt — dashboards, audit logs, incident notifications.

Onze primaire hostinglocatie is Neurenberg, Duitsland. Dit is een bewuste keuze: geen US-transfer, geen Schrems II-risico, onder Duitse BSI-regelgeving.

We werken met Hetzner Online GmbH als hostingprovider. Zij zijn ISO 27001-gecertificeerd en hebben een track record van 25+ jaar in datacenter-operations. Redundantie is ingebouwd via meerdere availability zones.

Voor AI-modellen is soms VS-processing nodig. We minimaliseren dit: standaard gebruiken we EU-endpoints waar beschikbaar (OpenAI Ireland, Google EU). Voor Pro-pakketten kunnen we volledig EU-only opereren.

Wie kan wat? Dat regelen we met role-based access control (RBAC):

• Client-admin: volledig toegang tot jouw configuratie en logs.
• Client-user: alleen lees-rechten op eigen configuratie.
• NeemtOp-ops: tijdelijke productie-toegang met audit trail. Elke actie gelogd.
• NeemtOp-support: alleen toegang met expliciete klanttoestemming per ticket.

MFA is verplicht voor alle medewerkers met productie-toegang. We gebruiken hardware-based keys (WebAuthn) waar mogelijk. Geen SMS-based 2FA vanwege SIM-swapping risico.

We loggen alles wat relevant is voor security:

• Access logs (wie benaderde wat, wanneer)
• Application logs (wat gebeurde er technisch)
• Audit logs (welke configuratie-wijzigingen werden gemaakt)
• Security events (failed login attempts, anomalieën)

Logs worden gemonitord met automatische alerts voor verdachte patronen (brute force, SQL injection-pogingen, DDoS). On-call rotatie 24/7 voor P0-incidenten.

Wanneer er iets fout gaat, werken we volgens een vast draaiboek:

Elk jaar laten we een externe penetratietest uitvoeren. Resultaten worden op aanvraag gedeeld met klanten op het Pro-pakket (onder NDA).

We werken volgens ISO 27001-principes. Formele certificering is gepland voor 2027. Voor klanten in zorg en overheid bieden we een aanvullende NEN 7510-afstemming.

Denk je dat je een kwetsbaarheid hebt gevonden? We waarderen dat enorm. Onze procedure:

• Meld het via security@neemtop.nl met een duidelijke beschrijving.
• We reageren binnen 48 uur en coördineren verder onderzoek.
• Geen juridische actie tegen personen die te goeder trouw melden.
• Na fix: credit in onze security hall of fame (op verzoek).