Invoer op je eigen apparaat
Bedrijfsomvang, regio, omzetband en ICT-keuzes blijven tijdens de verkenning in het geheugen van de browser. De app bewaart deze invoer niet in een eigen klantendatabase.
BOUW & BEVEILIGING
ISO-audit
Hoe de app is gebouwd, welke gegevens worden verwerkt en wat nog moet worden gecontroleerd.
Geen ISO-certificering of afgeronde audit.
Dit is een technisch controledossier voor een mogelijke toets volgens ISO 27001-principes. Een onafhankelijke audit, formele scope, risicobeoordeling en bewijs van alle maatregelen ontbreken nog.
6In code aangetroffen
3Nog controleren
2Niet ingericht
Wat gebeurt er met gegevens?
Wat wordt wél verwerkt?
De server haalt openbare subsidieregelingen op bij RVO en gebruikt hiervoor een cache. De hosting- en netwerkleveranciers kunnen technische logs maken, zoals tijdstippen en IP-adressen. Het ontbreken van eigen opslag is dus geen bewijs dat nergens gegevens worden verwerkt.
Wat is nog niet gekoppeld?
Er is geen actieve Salesbuildr-integratie, geen eigen accountregistratie en geen opgeslagen klantdossier. Deze functies vereisen opnieuw een gegevens- en beveiligingsbeoordeling voordat ze live mogen.
Waar draait de app?
De testomgeving draait op Vercel. De uiteindelijke eigen hosting, de regio van uitvoering, technische logs en verwerkersafspraken zijn nog niet aantoonbaar vastgelegd. Een EU-only-verklaring is daarom nog niet mogelijk.
Controlepunten en bewijs
‘Aanwezig’ betekent dat de maatregel in de huidige code is gezien, niet dat een externe auditor deze heeft goedgekeurd.
Geen eigen klantendatabase
AanwezigDe ingevulde bedrijfskenmerken staan tijdelijk in React-geheugen van de browser. Geen database of opslag van klantprofielen in de huidige applicatiecode.
Bewijs of controlevindplaats: app/page.tsxGeen bedrijfsnaam, KvK of contactvelden
AanwezigDe invoerstappen vragen alleen een anoniem profiel, ICT-thema's en een beschrijving zonder persoonsgegevens.
Bewijs of controlevindplaats: app/page.tsxGeen live Salesbuildr-toegang
AanwezigDe adapter herkent productgroepen in de browser. Er is geen actieve offerte-API of API-sleutel in de app.
Bewijs of controlevindplaats: lib/salesbuildr.tsOpenbare subsidiebron op de server
AanwezigAlleen publieke RVO-regelingen worden op de server opgevraagd en maximaal 24 uur gecachet. Ingevulde bedrijfsgegevens gaan niet mee.
Bewijs of controlevindplaats: lib/rvo-open-data.tsBeveiligingsheaders en niet indexeren
AanwezigBasisheaders tegen ongewenst insluiten, MIME-sniffing en zoekmachine-indexering. Dit is geen volledige beveiligingstest.
Bewijs of controlevindplaats: next.config.tsAutomatische regressietests
AanwezigTests richten zich op matching, deadlines, brondata en klantgegevensminimalisatie; end-to-end tests en penetratietests ontbreken nog.
Bewijs of controlevindplaats: tests/subsidies.test.mjsEigen login en rolrechten
OntbreektEr is nog geen eigen gebruikersauthenticatie of autorisatie. Deployment Protection is niet hetzelfde als een zakelijk rollenmodel.
Bewijs of controlevindplaats: docs/IMPLEMENTATION.mdHosting, logs en EU-verwerking
Nog toetsenZelf geen database gebruiken betekent niet dat host-, netwerk-, toegangs- en foutlogs ontbreken. Controleer datalocaties, verwerkers, bewaartermijnen en de toekomstige eigen hosting.
Bewijs of controlevindplaats: Vercel-projectconfiguratie en verwerkersafsprakenPrivacy en gegevensuitvoer
Nog toetsenDe gebruiker kan zelf een samenvatting kopiëren of printen. Daarna bepaalt de gebruiker zelf waar die gegevens terechtkomen. Controleer ook eventuele browserextensies en infrastructuurlogs.
Bewijs of controlevindplaats: app/page.tsxBronactualiteit en volledigheid
Nog toetsenRVO-import is alleen een brede zoekindex. Officiële openstelling, resterend budget, provinciale dekking en subsidiabiliteit zijn niet voor iedere regeling bevestigd.
Bewijs of controlevindplaats: lib/rvo-open-data.tsOnafhankelijke beveiligings- en privacyreview
OntbreektLaat vóór de zakelijke pilot een onafhankelijke beveiligings- en privacybeoordeling uitvoeren. Los kritieke bevindingen op en controleer ze opnieuw.
Bewijs of controlevindplaats: Nog geen ondertekend auditrapportWanneer een extra beveiligingscontrole?
Vóór eerste zakelijke pilot
Verplichte onafhankelijke code-, privacy- en securityreview, inclusief RVO-databetrouwbaarheid.
Vóór live Salesbuildr-integratie
Toets API-rechten, geheime sleutels, gegevensminimalisatie, serverroutes, logging en misbruikscenario's.
Vóór eigen login of rolbeheer
Toets sessies, toegangsscheiding, beveiliging van routes, herstel- en uitlogstromen.
Bij verhuizing naar eigen hosting of EU-only-claim
Controleer opslag, netwerkverkeer, fout- en toegangslogs, backups, toegangsbeheer en verwerkersovereenkomsten.
Na grote wijziging van subsidiebronnen of regels
Voer bron-/matchingreview uit, inclusief foutieve positieve uitkomsten en verlopen openstellingen.
Onafhankelijke controle vóór ingebruikname
Leg bevindingen, risico’s, herstelmaatregelen en de uitgevoerde hercontrole vast. Een technisch controledossier is geen formele ISO 27001-certificering.