ISO 27001 roadmap
We zijn nog niet ISO 27001-gecertificeerd, maar documenteren hier welke controles al live zijn, welke we dit jaar afronden, en wat gepland staat. Laatst bijgewerkt: 12 mei 2026.
Formele informatiebeveiliging policy gepubliceerd en jaarlijks geëvalueerd.
Volgen van CVEs + Vercel/Neon security bulletins. Afhankelijkheden maandelijks geüpdatet via `npm audit`.
Medewerkersrichtlijn voor omgang met retailer-data, verplicht gelezen bij onboarding.
Principle of least privilege voor alle secrets (SESSION_SECRET, CRON_SECRET, REDEEM_API_KEY, STRIPE_WEBHOOK_SECRET, PRINTONE_WEBHOOK_SECRET). Aparte keys per integratiepartner.
Scrypt-hashed wachtwoorden, HMAC-SHA256 gesigneerde session cookies, magic-link tokens met 15-min expiry en one-time use.
Retailer-accounts: 12 mnd na opzegging verwijderd. Bezorgadressen: max. 30 dagen. Factuurdata: 7 jaar fiscale bewaarplicht.
Volledige DPIA-documentatie publiek op /avg-dpia. AVG-balans-test per categorie verwerking opgenomen.
Geen user-uploaded executables; alleen afbeeldingen via Vercel Blob met MIME-validatie.
SSRF-guard op scrape + flyer/generate, formula-injection escape op CSV exports, rate-limits op auth + redeem endpoints.
Neon point-in-time recovery (7 dagen). Nightly logical dumps naar object storage in plan.
Structured console.error + captureError via lib/telemetry. Sentry/Highlight swap-in punt klaar; externe aggregator in plan.
/api/health endpoint + geplande Better Uptime checks met on-call routing.
Content-Security-Policy, HSTS, X-Frame-Options, X-Content-Type-Options gezet in middleware.
TLS 1.3 via Vercel edge, HTTPS-only cookies, scrypt voor passwords, HMAC-SHA256 voor session tokens.
TypeScript strict mode, ESLint CI gate, vitest testcoverage verplicht op kritieke lib/ modules, code review voor elke merge.
Alle wijzigingen via GitHub PR met CI (tsc, vitest, next build). Drizzle-kit migraties gepland, nog niet in CI.
Externe pentest voor Q4 2026.