--- title: "Vertrouwenscentrum van Syba: data en beveiliging" description: "Hoe Syba gegevens verzamelt, bewaart en verwerkt: wat we bijhouden, waar het staat, welke derden erbij komen en hoe u een kwetsbaarheid meldt." canonical: https://sybainsurance.com/nl-BE/trust --- Vertrouwenscentrum # Hoe we de gegevens van de beschermers beschermen. Een bedrijf dat gezinnen beschermt, moet zijn eigen beveiliging kunnen tonen. Deze pagina beschrijft wat we bijhouden, waar het staat, welke derden erbij komen en welke grenzen we inbouwen. ## Wat we verzamelen, en waarom De lijst is bewust kort. We verzamelen wat een controle of een polis nodig heeft, en we zeggen dat in gewone taal. Wat we verzamelen, en waarom Categorie | wat we bijhouden | waarom Account | Uw naam, e-mailadres en een wachtwoord. | Om u aan te melden en u bij uw naam aan te spreken. Meer is niet nodig voor een account. Invoer voor scans en audits | Een e-mailadres of gebruikersnaam die u wilt laten controleren, of een bedrijfsdomein. | Alleen om de controle uit te voeren waar u om vroeg. Invoer wordt eerst gevalideerd; privéhosts en gereserveerde IP-bereiken worden geweigerd. Auditbewijs | DNS-records, TLS-certificaten, beveiligingsheaders, vermeldingen in certificate-transparency-logs, gegevens over datalekken. | Dat is allemaal openbaar. De audit raakt nooit aan uw privésystemen; ze leest wat het internet al toont. Kluisdocumenten | Bestanden die u zelf uploadt. Alleen PDF, PNG of JPEG. | Zodat uw polisgegevens en bewijsstukken voor schadeclaims op één plek staan, gekoppeld aan uw gezin. Berichten aan de concierge | Het gesprek dat u voert met de concierge-agent in het dashboard. | Bewaard bij uw account, zodat de agent de context tussen sessies behoudt. Betaling | De naam van uw formule en de status van uw abonnement. Kaartnummers bereiken onze servers nooit. | De betaling verloopt via de gehoste checkout van Stripe; wij ontvangen het resultaat, niet de kaart. ## Hoe het bewaard wordt Wachtwoorden worden nooit bewaard. We houden een `scrypt`-hash bij, afgeleid met een willekeurige salt per account, en we vergelijken die in constante tijd. Een wachtwoord telt minstens 12 tekens en bevat een cijfer en een symbool. Sessies zijn ondertekende httpOnly- en secure-cookies die na 30 dagen verlopen. In productie weigert de server te draaien zonder een echt ondertekeningsgeheim; er is geen ingebouwde terugvaloptie. De gegevens van de toepassing, accounts, polissen en aanvraagconcepten, staan in Netlify Blobs, de beheerde opslag die bij deze site hoort. Er is geen aparte database die verkeerd ingesteld kan worden. De documentenkluis aanvaardt PDF, PNG en JPEG, gecontroleerd aan de hand van de werkelijke eerste bytes van elk bestand in plaats van het opgegeven type. Elk gezinslid heeft een limiet van 50 documenten en 250 MiB in totaal, 4.5 MB per bestand. U kunt uw account op elk moment verwijderen vanuit het dashboard; de bewaarde gegevens worden gewist en uw sessie wordt beëindigd. Privacyverzoeken worden binnen 30 dagen behandeld, zoals beschreven in ons [privacybeleid](https://sybainsurance.com/nl-BE/privacy). ## Onze AI-stack De publieke audit en de dashboard-concierge draaien op de Claude-modellen van Anthropic, aangeroepen via de officiële `@anthropic-ai/sdk` en gerouteerd via OpenRouter. Nergens in de code staan zelfgeschreven aanroepen naar model-API's. De auditagent redeneert over bewijs dat we eerst verzamelen: DNS, TLS-certificaten, beveiligingsheaders, transparantielogs, gegevens over datalekken. Hij leest alleen openbaar bewijs en dringt nooit binnen in privésystemen. Zijn score is informatief en bepaalt nooit uw prijs; de formules zijn vaste prijsniveaus uit een gepubliceerde catalogus. Publieke auditrapporten blijven maximaal 30 minuten in de cache, gekoppeld aan een eenrichtingshash van het doelwit, en worden daarna opnieuw gegenereerd. Gesprekken met de concierge worden bij uw account bewaard; de agent leest uw recentste berichten als context en vat oudere geschiedenis geregeld samen. Elk verzoek aan de agent is per IP begrensd in aantal en in omvang: een vast maximum aan toolaanroepen en een harde tijdslimiet van minder dan een minuut. Persoonsgegevens van gebruikers in de EU gaan nooit naar een LLM-aanbieder uit een rechtsgebied zonder adequaatheidsbesluit van de EU. Dat wordt fail-closed afgedwongen in de code, vanuit één bron van waarheid, en door tests gecontroleerd. Het is een ondergrens per rechtsgebied, geen volledige beoordeling van doorgiften onder hoofdstuk V van de GDPR. **Auditmodel** `claude-haiku-4.5` **Conciergemodel** `claude-sonnet-4.6` **Toolaanroepen per beurt** Maximaal 10 **Tijdslimiet per verzoek** Minder dan 60 seconden **Cache van auditrapporten** 30 minuten, gekoppeld aan een gehashte sleutel **Gebruikt contextvenster** De laatste 40 berichten ## Subverwerkers 12 derde partijen kunnen vandaag aan het platform raken, via de site en de browserextensie. Elk van hen is er om één duidelijk benoemde reden. Nog 2 zijn gepland voor de 2.0-release en staan apart vermeld op de detailpagina. - Netlify, Inc. Host deze site en haar serverless functies; Netlify Blobs is de primaire key-value-opslag voor accounts, abonnementen, seat-rapportregisters, audits, polissen en kluisdocumenten. - Convex, Inc. Bronsysteem voor gebruikersaccounts, wachtwoordherstel en de tabellen van de org-backend v2 (organisaties, lidmaatschappen, uitnodigingen, seats, abonnementen, polissen, meldingen, audit, budgetten). - Stripe, Inc. Betalingsverwerking en facturatie van abonnementen. Gehoste checkout; kaartgegevens bereiken onze servers nooit. - OpenRouter, Inc. Stuurt AI-verzoeken (de redenering van de publieke audit, de dashboard-concierge en het AI-visieniveau voor escalatie van de extensie) door naar de onderliggende modelaanbieder. - Anthropic, PBC Claude-modellen achter de redeneeragent van de publieke audit en de dashboard-concierge, aangeroepen via @anthropic-ai/sdk met tool_use (nooit een kale fetch). - Google LLC Optioneel aanmelden met Google, en Google Web Risk als een van de aanbieders achter /api/extension/url-reputation. - IPQualityScore LLC (IPQS) Aanbieder van URL-reputatie achter /api/extension/url-reputation, aangeroepen als IPQS_API_KEY is ingesteld. - AgentMail, Inc. Transactionele e-mail: de link om het wachtwoord te herstellen naar een klant, het geplande Site Check-rapport naar het account dat het inplande, de uitnodiging van het seniorenfamilieplan naar elke persoon die een koper beschermt met de bevestiging voor de koper, een eenmalig bedankbericht naar elke koper ongeveer een week na de aankoop, en interne meldingen naar medewerkers van SYBA. SYBA verstuurt geen andere onboarding- of uitnodigingsmails, en geen verificatie- of marketingmails. - Have I Been Pwned (Troy Hunt) Opzoekingen naar blootstelling in datalekken voor het account-e-mailadres dat u ons laat controleren, en (v3, als HIBP_API_KEY is ingesteld) voor details per benoemd datalek; valt terug op een controle via Pwned Passwords met k-anonimiteit. - VirusTotal (Google) Uitlezing van URL-reputatie achter /api/extension/url-reputation als VIRUSTOTAL_API_KEY is ingesteld. Verwijdering goedgekeurd (O9); het stopt bij de volgende productie-uitrol. - urlscan.io Zoeken in bestaande scans achter /api/extension/url-reputation als URLSCAN_API_KEY is ingesteld. Verwijdering goedgekeurd (O9); het stopt bij de volgende productie-uitrol. - AbuseIPDB IP-reputatie achter /api/extension/url-reputation als ABUSEIPDB_API_KEY is ingesteld. We verkopen geen persoonsgegevens. Alle details staan in het [privacybeleid](https://sybainsurance.com/nl-BE/privacy). [Alle details, met wat elke dienst ontvangt en in welke regio](https://sybainsurance.com/nl-BE/trust/subprocessors) ## Een kwetsbaarheid melden Vindt u iets, dan horen we het graag eerst van u. We publiceren een bestand voor beveiligingsmeldingen volgens RFC 9116 op [`/.well-known/security.txt`](https://sybainsurance.com/.well-known/security.txt), en meldingen gaan naar [security@syba.io](mailto:security@syba.io) en worden bekeken. Onderzoek te goeder trouw binnen de scope valt onder ons safe-harborbeleid: we stappen niet naar de rechter voor tests die privacyschendingen en onderbreking van de dienst vermijden, alleen interageren met accounts die u zelf bezit, en ons redelijke tijd geven om het probleem te verhelpen vóór openbaarmaking. [Schrijf naar security@syba.io](mailto:security@syba.io) ## De rest van het papieren spoor. - [Beveiliging](https://sybainsurance.com/nl-BE/trust/security) - [Gegevensstroom](https://sybainsurance.com/nl-BE/trust/data-flow) - [Subverwerkers](https://sybainsurance.com/nl-BE/trust/subprocessors) - [Bewaring](https://sybainsurance.com/nl-BE/trust/retention) - [Verwerkersovereenkomst](https://sybainsurance.com/nl-BE/trust/dpa) - [Privacybeleid](https://sybainsurance.com/nl-BE/privacy) - [Voorwaarden](https://sybainsurance.com/nl-BE/terms) - [Cookies](https://sybainsurance.com/nl-BE/cookies) [Stel ons gerust uw vraag](https://sybainsurance.com/nl-BE/contact)