Gebouwd onder Europees recht
AVG en gegevensbescherming
Waar je gegevens staan, wat we ermee doen, en wat je eraan kunt doen.
Provibr is in Nederland gebouwd en wordt daar gedraaid, dus de AVG is de wet waaronder het is ontworpen en geen bijzaak die er later op is geschroefd. Deze pagina is de korte versie; de documenten waar hij naar verwijst zijn wat bindt.
- Servers in Nederland
- Inloggegevens blijven op je eigen host
- Knoppen voor exporteren en sluiten
De drie documenten
- PrivacyverklaringWat we verzamelen, waarom, wie het ontvangt en hoe lang we het bewaren, inclusief de volledige tabel met verwerkers en elke bewaartermijn.
- Algemene voorwaardenDe overeenkomst voor het gebruik van het platform: wat wij jou verschuldigd zijn, wat jij ons verschuldigd bent, en welk recht en welke rechter gelden.
- VerwerkersovereenkomstGeldt automatisch voor elk account, zonder handtekeningenronde. Dit is het document dat telt zodra de gegevens van je eigen klanten door Provibr gaan.
Alles wat bindt is opgeschreven en gepubliceerd. Ze gelden zoals ze er staan, en wijzigingen kondigen we aan voordat ze ingaan.
Waar je gegevens staan
Platformgegevens verlaten onze eigen machines niet. Provibr draait op de eigen servers van FullStack Studio in Nederland, zonder externe hostingprovider ertussen.
- Servers in Nederland, in ons eigen bezit en beheer
- Je inloggegevens voor je infrastructuur bereiken ze helemaal niet: ze blijven versleuteld op je eigen agent-host, met een sleutel die aan die machine gebonden is
- Zit een verwerker buiten de EER, dan loopt de doorgifte via een adequaatheidsbesluit of standaardcontractbepalingen
Je rechten
De AVG geeft je een reeks rechten over je persoonsgegevens. Ze gelden hier allemaal, en geen enkel recht kost iets.
- De persoonsgegevens inzien die we over je hebben
- Ze laten rectificeren als ze niet kloppen
- Ze laten wissen, behalve waar de wet ons verplicht ze te bewaren: facturen moeten zeven jaar blijven staan
- De verwerking die we op een gerechtvaardigd belang baseren beperken of daartegen bezwaar maken
- Je gegevens ontvangen in een overdraagbaar, machineleesbaar formaat
Twee ervan zijn een knop
Exporteren en opheffen staan in het paneel, onder je eigen instellingen. De export is een machineleesbaar bestand met de gegevens van je account; een account opheffen start een verwijdering die na een respijtperiode ingaat en alles weghaalt wat de wet ons niet verplicht te bewaren.
Voor al het andere mail je naar info@provibr.com en antwoorden we binnen een maand. Je kunt ook een klacht indienen bij de Autoriteit Persoonsgegevens.
Wat we bewust niet hebben
De goedkoopste manier om gegevens te beschermen is ze niet hebben. Deze vier zijn structureel: het platform zou ze niet kunnen lezen, al zou het willen.
Je inloggegevens voor je infrastructuur
Het token voor je hypervisor of controlepaneel zit verzegeld in een kluis op je eigen agent-host, versleuteld met een sleutel die met de identiteit van die machine is gemengd. Het bereikt het platform één keer, onderweg, en wordt nooit in onze database geschreven.
Je kaart- en bankgegevens
Betalingen lopen via Stripe's eigen checkout. Wij ontvangen de status, het bedrag, de methode en een kenmerk, nooit het nummer dat je intypte.
API-sleutels in leesbare vorm
Alleen een SHA-256-hash van een sleutel wordt opgeslagen. Een sleutel die je kwijtraakt is niet terug te lezen uit onze database, niet door ons en niet door iemand die er een kopie van nam.
De uitvoer van je scripts
Een uitvoering legt het sjabloon vast, de versies die het gebruikte en de namen van de geheimen die het las. De gerenderde tekst wordt nooit opgeslagen, zodat een wachtwoord niet in een tabel blijft liggen om gevonden te worden.
Wie het verder aanraakt
Een korte lijst, en elk daarvan heeft een rol die we kunnen benoemen: Stripe voor betalingen, Moneybird voor facturatie, Cloudflare vóór de websites, en (alleen als je ze accepteert) Google Analytics en YouTube. De hosting is van onszelf.
Onafhankelijke controles
We publiceren wat we hebben. CSA STAR Level 1 is een zelfbeoordeling aan de hand van de vragenlijst van de Cloud Security Alliance, ingediend in hun openbare register: onze eigen antwoorden, in de openbaarheid, door iedereen te controleren.
Wat we niet beweren
We hebben geen ISO 27001-certificaat. Het platform is langs die lijnen gebouwd (minimale rechten, strikte isolatie per organisatie, versleuteling onderweg en op schijf, dagelijkse back-ups), maar er heeft geen audit plaatsgevonden, en tot dat gebeurt suggereren we niet het tegendeel.
Deze pagina legt uit; hij regelt niets. Wijkt deze samenvatting af van een van de drie documenten, dan telt het document.
Begin met één host en één agent
Maak een account aan, installeer de agent met één commando en koppel je eerste Proxmox-host. De proefperiode loopt 14 dagen en vraagt geen betaalgegevens.