We houden intern een volledig verwerkingsregister bij conform artikel 30 AVG: welke persoonsgegevens we verwerken, met welk doel, op welke grondslag en hoe lang.

Gepubliceerd en per versie bijgehouden; bij aanmelding van een bedrijf wordt acceptatie met tijdstempel vastgelegd.

Elke partij die namens ons gegevens verwerkt staat vermeld, met een aankondigingstermijn van 30 dagen bij een wezenlijke wijziging.

Voorwaarden, privacyverklaring en verwerkersovereenkomst worden per versie en tijdstip vastgelegd bij elke aanmelding.

Reisduurmetingen en klantnotificaties die niet langer nodig zijn, worden dagelijks automatisch verwijderd.

Bij het verwijderen van een medewerker worden naam, e-mailadres en telefoonnummer direct geanonimiseerd. Historische administratie zoals facturen en planningen blijft om wettelijke redenen bewaard.

Een verzoek tot inzage of verwijdering van persoonsgegevens komt rechtstreeks bij ons terecht en wordt persoonlijk afgehandeld.

Klanten zonder lopende relatie en verlopen offerte-leads worden na een per bedrijf instelbare termijn automatisch geanonimiseerd, zodat persoonsgegevens niet langer bewaard blijven dan nodig.

Een beheerder kan alle ingevoerde gegevens — bedrijf, medewerkers, klanten, planning, werkzaamheden, offertes en facturen — in één machineleesbaar bestand downloaden. Versleutelde geheimen en wachtwoorden blijven hierbij bewust buiten beschouwing.

Bij een verwijderverzoek worden de persoonsgegevens van alle medewerkers, gebruikersaccounts en klantcontacten daadwerkelijk geanonimiseerd, terwijl fiscaal verplichte administratie behouden blijft. De uitvoering is onomkeerbaar en wordt vastgelegd.

We hebben een vast draaiboek om een mogelijk datalek te herkennen, te beoordelen en binnen de wettelijke termijn te melden aan de betrokken partijen.

Voor de verwerkingen met het hoogste privacyprofiel — locatiebewijzen en personeelsplanning — is een DPIA uitgevoerd waaruit een laag restrisico volgt.

Eenmaal geboekte journaalregels kunnen niet meer worden gewijzigd of verwijderd. Deze bescherming zit op databaseniveau en geldt dus ook los van de applicatie zelf.

Het logboek van boekhoudkundige en persoonsgegevenshandelingen kan nooit worden aangepast of gewist, ook niet door ons.

Factuur- en journaalnummers worden per boekjaar uniek en zonder gaten uitgegeven.

Elke verzonden factuur-PDF wordt per versie bewaard. Opnieuw verzenden en betalingsherinneringen gebruiken exact dat document, ook als de huisstijl intussen is gewijzigd; een herziene factuur krijgt een eigen, eveneens vastgelegd document.

De volledige boekhouding is te exporteren als XAF 3.2-auditbestand, geverifieerd tegen de officiële specificatie.

Het grootboekschema is gekoppeld aan RGS (versie 3.8), met validatie tegen de actuele RGS-catalogus zodat er nooit een verouderde of ongeldige code wordt toegepast.

Verlegde btw wordt correct verwerkt in aangifte en facturen. Facturen voldoen aan de Europese e-facturatiestandaard (EN 16931 / UBL 2.1, NLCIUS).

Bij bedrijven met meerdere boekhoudgebruikers kan niemand een journaalpost boeken die hij zelf heeft opgesteld. We breiden dit principe verder uit naar meer financiële handelingen.

IBAN's, API-sleutels en vergelijkbare gevoelige gegevens worden versleuteld opgeslagen. Wachtwoorden worden nooit in leesbare vorm bewaard.

Inlogsessies worden alleen als niet-omkeerbare hash bewaard, niet als leesbare sleutel.

In de webapp verplicht voor platformbeheerders, voor eigenaar-/beheerdersaccounts en voor iedereen met facturatietoegang (wie facturen kan versturen en met de betaalgegevens werkt). Voor overige rollen is het beschikbaar en aan te raden. Herstelcodes zijn opnieuw te genereren met een verse set. De mobiele app is bewust zonder 2FA, zodat uitvoerende medewerkers met zo min mogelijk handelingen kunnen werken; daar gelden de aparte maatregelen hieronder.

Aanmeldpogingen worden per account en per netwerkadres beperkt om geautomatiseerd misbruik te voorkomen. Herhaald misbruik vanaf hetzelfde netwerkadres leidt tot een steeds langere blokkade.

Een sessie van de mobiele app geeft geen toegang tot de webapp. De app is alleen voor uitvoerende medewerkers: de eigen planning met klantnaam en adres, afspraken afronden en direct factureren. Platformaccounts van Orvela hebben geen toegang tot de app.

Ingrijpende acties in de app — facturen versturen, offertes aanmaken, afspraken verwijderen — en het opvragen van gegevens hebben een plafond per uur. Een overschrijding wordt gemeld en bij herhaling wordt het account vergrendeld. Elke aanmelding in de app levert een melding per e-mail op.

Servers en containers draaien met minimale rechten en grotendeels alleen-lezen bestandssystemen. Wachtwoorden en API-sleutels van externe diensten worden nooit als platte tekst in de configuratie opgeslagen.

Back-ups worden versleuteld voordat ze de productieomgeving verlaten.

Een wijziging van de uitbetaal-IBAN vereist een verse 2FA-code en wordt niet direct doorgevoerd: de oude IBAN blijft actief tot iemand de wijziging bevestigt via een aparte e-maillink. Zo kan een overgenomen account de betaalgegevens niet stilletjes omzetten.

Bij een wijziging van het e-mailadres krijgt het vorige adres een melding. Verandert een IBAN kort na een e-mailwijziging, dan wordt die aanvraag als extra risicovol behandeld en ook naar het oude adres en de overige beheerders gestuurd.

Een aanmelding vanaf een onbekend apparaat vraagt (voor accounts zonder 2FA) eerst een verificatiecode per e-mail; elke nieuw-apparaat-aanmelding levert een melding op.

Verdachte patronen — zoals een IBAN-wijziging kort na een e-mailwijziging — worden vastgelegd en gemeld aan het Orvela-beheer.

Een periodieke controle verifieert dat de uitbetaal-IBAN alleen via de bevestigingsflow is gewijzigd; een wijziging daarbuiten slaat alarm.

Security-gebeurtenissen worden periodiek verzegeld in een hash-keten. Verwijderen of wijzigen van reeds vastgelegde gebeurtenissen wordt daardoor aantoonbaar en gemeld.

Wordt er met het juiste wachtwoord ingelogd maar klopt de 2FA- of apparaatcode herhaaldelijk niet, dan krijgt de gebruiker direct een waarschuwing om het wachtwoord te wijzigen, en wordt het Orvela-beheer gealarmeerd.

Bij sterke signalen van misbruik — herhaald foute 2FA-codes, ongebruikelijk veel gegevens opvragen of exporteren — worden alle sessies van het account beëindigd, wordt het tijdelijk vergrendeld en krijgt de gebruiker een melding. Een wachtwoordreset heft de vergrendeling direct op.

Alle gegevens zijn per klant afgeschermd. Een poging om een gegeven van een andere klant te openen wordt herkend en gemeld, en leidt tot vergrendeling van het account. Een geautomatiseerde controle in de ontwikkelstraat bewaakt dat elke wijziging alleen gegevens van de eigen klant raakt.

Bekijkt een Orvela-medewerker de bedrijfsgegevens van een klant, dan verschijnt dat in het activiteitenlogboek van die klant.

Bij elke wijziging en daarnaast wekelijks scannen we de volledige stack automatisch op bekende kwetsbaarheden (CVE's), met twee onafhankelijke bronnen: de softwarebibliotheken én de besturingssysteemlaag van alle container-images. Daarnaast scant elke server wekelijks de images die er werkelijk draaien; bevindingen verschijnen in de beheermonitoring en leiden tot een melding. Een hoog of kritiek risico waarvoor een oplossing bestaat, blokkeert de uitrol naar productie: er wordt alleen uitgerold als deze scans en de geautomatiseerde tests groen zijn. Een uitzondering — bijvoorbeeld wanneer de uitrol zelf de oplossing is — kan alleen bewust en met vastgelegde reden.

Updates voor softwarebibliotheken, Docker-basisimages en build-onderdelen worden automatisch voorgesteld, waarbij beveiligingsupdates met voorrang binnenkomen.

Elke bevinding beoordelen we op relevantie voor onze omgeving en op ernst, met vaste doorlooptijden: kritiek of actief misbruikt binnen 48 uur, hoog binnen een week, en lagere ernst in de eerstvolgende geplande release.

Van elke beoordeelde kwetsbaarheid leggen we het besluit vast — opgelost, niet van toepassing met reden, of bewust geaccepteerd risico — zodat de afweging altijd herleidbaar is.

Gevoelige handelingen — van het aanpassen van persoonsgegevens tot het boeken van een journaalpost — worden vastgelegd met wie, wat en wanneer.

Ook ons eigen interne beheer — van klantaccounts tot de documentatie die wij publiceren — wordt vastgelegd met wie, wat en wanneer.

Wanneer een medewerker een aankomstbewijs vastlegt, wordt de locatie versleuteld met een eenmalige sleutel die direct na gebruik onherroepelijk wordt weggegooid. Niemand — ook Orvela niet — kan deze gegevens lezen totdat de medewerker zelf toestemming geeft om ze te delen.

Er wordt nooit een GPS-route bijgehouden. Alleen het moment van vertrek en aankomst wordt vastgelegd, voor een betrouwbaardere planning.

Bankgegevens worden opgehaald via een versleutelde koppeling waarbij wij de onderliggende gegevens niet kunnen inzien zonder de bijbehorende sleutel.

De bankgegevens van elk bedrijf worden versleuteld met een eigen sleutel, die op zijn beurt beschermd is met onze hoofdsleutel. Zo blijft een fout of lek bij één bedrijf beperkt tot dat bedrijf, en geeft het geen toegang tot de bankgegevens van andere klanten.

Iedere gebruiker krijgt alleen toegang tot de onderdelen die bij zijn rol en rechten horen.

Gegevens van het ene bedrijf zijn nooit zichtbaar voor een ander bedrijf.

Een boekhouder of accountantskantoor krijgt pas toegang na uitdrukkelijke goedkeuring, en uitsluitend tot facturatie en boekhouding. Toegang intrekken werkt onmiddellijk, niet pas bij een volgende keer inloggen.

Onze eigen medewerkers krijgen alleen toegang tot de onderdelen die bij hun taak horen — bijvoorbeeld uitsluitend support, of uitsluitend facturatie — en niet automatisch tot alles. Eén hoofdbeheerder behoudt het volledige overzicht.

Niemand kan zichzelf meer rechten geven: je eigen account pas je niet aan, en je kunt aan een ander nooit een recht toekennen dat je zelf niet hebt. Elke rechtentoekenning wordt bovendien vastgelegd.