Onze uitgangspunten
Security is een continu proces, geen vinkje op een lijst. Drie principes zitten in de architectuur ingebakken:
- Jouw data blijft van jou
- We trainen geen AI-modellen op klantcontent. We verkopen geen data. Alle gegevens blijven binnen jouw afgeschermde omgeving.
- Geen verzonnen antwoorden
- Guided Search werkt met vooraf gedefinieerde flows. Eindgebruikers krijgen alleen antwoorden die jouw redactieteam heeft goedgekeurd. Geen hallucinaties, geen verrassingen.
- Audit-ready van dag één
- Iedere wijziging aan content, iedere login, iedere rolwijziging wordt gelogd. Tot maximaal twaalf maanden, afhankelijk van je abonnement.
Compliance frameworks
We volgen de regels die ertoe doen voor klanten in Nederland en de bredere EU. Geen claims die we niet kunnen waarmaken.
GDPR / AVG
Volledig compliant. Verwerkersovereenkomsten met alle klanten, data binnen de EU, recht op inzage en verwijdering.
EU Data Residency
Alle klantdata wordt opgeslagen in AWS Frankfurt. Geen transfer naar de VS of andere derde landen.
EU AI Act
Onze AI-features vallen onder beperkt risico. Transparantie over AI-gebruik, geen profilering van eindgebruikers.
NIS2 (waar van toepassing)
Voor klanten in essentiële sectoren ondersteunen we de incident-rapportage en logging die NIS2 vereist.
Concrete security-features
Dit zijn de maatregelen die in het product zelf zitten en waar je als klant over kunt beschikken.
Encryptie
TLS 1.3 voor alle verbindingen. AES-256 voor data in opslag. Geen plain-text wachtwoorden, ergens.
Access Control
Rollen en rechten op individueel niveau. MFA verplicht voor beheerders. SSO via SAML of OAuth voor Enterprise-klanten.
Audit Trail
Iedere wijziging vastgelegd: wie, wat, wanneer, vanaf welk IP. Bewaartermijn afhankelijk van abonnement, tot twaalf maanden.
Data Isolatie
Iedere klant heeft een afgeschermde omgeving. Geen gedeelde databases, geen kruisbestuiving tussen klanten.
Monitoring
24/7 systeem-monitoring, automatische alerts bij afwijkend gedrag, en periodieke security-reviews.
Backup & Recovery
Dagelijkse versleutelde backups, point-in-time recovery beschikbaar, RPO van 24 uur en RTO van 4 uur.
Hosting en infrastructuur
DoReply draait volledig op AWS Frankfurt (regio eu-central-1). Daarmee blijft alle data binnen de EU en valt het onder Europese wetgeving.
- Locatie: AWS Frankfurt, Duitsland
- Subprocessors: uitsluitend partijen met EU-aanwezigheid en GDPR-compliance
- Geen US-transfers: we maken geen gebruik van diensten die data noodzakelijk naar de Verenigde Staten verplaatsen
- Private cloud-deployment: voor Enterprise-klanten met specifieke eisen leveren we een afgeschermde, dedicated omgeving binnen AWS, met eigen VPC en aparte resources
Hoe we omgaan met incidenten
Als er iets gebeurt, dan houden we ons aan een vaste procedure:
- Detectie binnen één uur via geautomatiseerde monitoring of klantmelding
- Triage en containment binnen vier uur na detectie
- Klantnotificatie binnen 72 uur bij datalekken die persoonsgegevens raken, conform GDPR
- Post-mortem rapportage binnen tien werkdagen, gedeeld met getroffen klanten
Voor security-meldingen of vermoedens van kwetsbaarheden: security@doreply.com. We reageren binnen 24 uur.
Veelgestelde vragen van inkopers
Hebben jullie een SOC 2-rapport?
Niet op dit moment. We focussen op GDPR-compliance en EU-frameworks die voor onze Europese klanten relevanter zijn. Voor specifieke audit-eisen kunnen we maatwerk-documentatie leveren.
Kunnen wij een Vendor Security Assessment uitvoeren?
Ja. We ondersteunen DDQ's, security-vragenlijsten en architectuur-reviews. Plan een gesprek voor de details, dan koppelen we je aan onze technisch verantwoordelijke.
Wat gebeurt er met onze data als we stoppen?
Op verzoek leveren we binnen vijftien werkdagen een volledige export van jouw content. Daarna worden alle gegevens binnen dertig dagen onomkeerbaar verwijderd, inclusief backups die binnen het reguliere backup-schema vallen.
Hoe weet ik of er ingebroken is geweest?
Naast onze eigen monitoring hebben Enterprise-klanten toegang tot een detail-Audit Trail waar ze zelf afwijkende patronen kunnen detecteren. Bij gedetecteerde incidenten volgt directe melding zoals beschreven onder Incident Response.
Werken jullie samen met onze CISO of DPO?
Graag. Voor security- en privacy-vragen schakelen we direct onze technisch verantwoordelijke en privacy-contact in. Geen account-managers als doorgeefluik.
Specifieke security-vraag?
Mail naar security@doreply.com voor security-meldingen, of plan een gesprek via de contactpagina voor een Vendor Assessment.
Meer over privacy?
Op de Privacy-pagina staat wat we precies verzamelen, hoe lang we het bewaren, en welke rechten jij of jouw eindgebruikers hebben.
Bekijk Privacybeleid