$ cd ~/beveiliging-en-avg
Beveiliging en AVG bij maatwerksoftware
Waar je data staat, wie erbij kan, en wat er is afgesproken met de partijen die eraan meewerken. Geen keurmerk, wel precies hoe het is gebouwd.
Rechten in de database, niet in het scherm
De meeste lekken in portaalsoftware ontstaan niet doordat iemand inbreekt, maar doordat een scherm iets verbergt dat de server gewoon meestuurt. Wie de aanvraag herhaalt zonder de interface, krijgt alsnog alles.
Daarom zit de afscherming bij VibeCodex een laag dieper: in Postgres, op de rij. Een dealer die zijn eigen bestellingen opvraagt, krijgt een query terug die andermans rijen niet eens kan raken — ook niet als de frontend een fout zou maken. Wat een gebruiker mag zien, is één keer vastgelegd en geldt overal.
Bij DenDoor-GTS loopt dat door tot op mapniveau: rechten per functie of per persoon, die erven naar onderliggende mappen tot een submap eigen regels krijgt. Wie de map niet mag zien, krijgt via een losse documentregel nooit alsnog toegang.
Waar je data staat
Databases draaien bij Supabase in een Europese regio. Opslag is versleuteld, al het verkeer loopt over HTTPS, en er gaat geen klantdata naar een server buiten de EU.
De applicatie zelf draait op Vercel. Statische pagina's worden wereldwijd uitgeserveerd omdat daar niets persoonlijks in zit; alles wat achter een login zit, praat met de Europese database.
Wie er nog meer bij kan
Zo kort mogelijk gehouden, en volledig. Elke partij hieronder verwerkt alleen wat nodig is voor zijn eigen taak, onder een verwerkersovereenkomst.
- Vercel
- Hosting en uitlevering van de applicatie.
- Supabase
- Database en bestandsopslag, in een Europese regio.
- Resend
- Aflevering van e-mail vanuit formulieren en meldingen.
- Cloudflare Turnstile
- Spamcontrole op formulieren. Ziet de inhoud van je bericht niet.
- Google Analytics en Google Ads
- Alleen op vibecodex.nl zelf, en alleen na toestemming in de cookiemelding. Niet in de software die voor klanten wordt gebouwd, tenzij die daar zelf om vraagt.
Verwerkersovereenkomst
Verwerkt de software die VibeCodex voor je bouwt persoonsgegevens, dan ben jij de verwerkingsverantwoordelijke en is VibeCodex de verwerker. Daar hoort een verwerkersovereenkomst bij, en die wordt standaard meegeleverd bij de opdracht — je hoeft er niet om te vragen.
Daarin staat wat er verwerkt wordt, waarvoor, hoe lang, welke subverwerkers worden ingeschakeld en wat er gebeurt als de samenwerking stopt.
Back-ups en herstel
Databases worden dagelijks geback-upt door Supabase, met point-in-time recovery op de betaalde plannen. Welke bewaartermijn en welk herstelvenster bij jouw project passen, wordt bij de opdracht afgesproken — dat is een kostenafweging en geen standaardinstelling.
Als er toch iets misgaat
Bij een vermoeden van een datalek krijg je dezelfde dag bericht, met wat er bekend is en wat er al gedaan is. De melding bij de Autoriteit Persoonsgegevens is jouw verantwoordelijkheid als verwerkingsverantwoordelijke; VibeCodex levert de informatie die je daarvoor nodig hebt binnen de termijn die daarvoor staat.
Dat is geen formaliteit achteraf: de afspraak staat in de verwerkersovereenkomst, inclusief het telefoonnummer waarop je direct iemand krijgt.
De code blijft van jou
Broncode, data en repository zijn eigendom van de klant. Stopt de samenwerking, dan houd je alles en kan een andere ontwikkelaar verder — het is een standaard Next.js- en Postgres-stack, geen eigen framework waar alleen VibeCodex mee overweg kan.
Dat is ook het antwoord op de vraag die niemand hardop stelt bij een eenmanszaak: wat als Gijs wegvalt. De code staat in jouw repository, de database is van jou, en de stack is er een waar veel ontwikkelaars mee werken.
Zie ook privacy & cookies voor wat deze website zelf met gegevens doet, en de voorwaarden voor de afspraken rond een opdracht.
Veelgestelde vragen over beveiliging
- Is de software die VibeCodex bouwt AVG-conform?
- Die vraag is niet met ja te beantwoorden, want de AVG gaat over hoe jij de software gebruikt, niet alleen over hoe hij is gebouwd. Wat VibeCodex levert: rechten die in de database worden afgedwongen, data binnen de EU, versleutelde opslag, HTTPS, een verwerkersovereenkomst en een subverwerkerslijst. Wat jij doet: bepalen welke gegevens je verzamelt, waarom, en hoe lang je ze bewaart.
- Waar staat mijn data precies?
- In een Postgres-database bij Supabase in een Europese regio, versleuteld opgeslagen. De applicatie draait op Vercel. Er gaat geen klantdata naar een server buiten de EU.
- Krijg ik een verwerkersovereenkomst?
- Ja, standaard bij elke opdracht waarin persoonsgegevens worden verwerkt. Je hoeft er niet om te vragen en er zitten geen kosten aan.
- Wie kan er bij mijn gegevens?
- Jij en de gebruikers aan wie jij rechten geeft. Daarnaast de subverwerkers die nodig zijn om de dienst te leveren — Vercel voor hosting, Supabase voor de database, Resend voor e-mail — elk onder een verwerkersovereenkomst en elk alleen voor hun eigen taak. VibeCodex zelf heeft toegang voor onderhoud en support, en alleen zolang dat nodig is.
- Wat gebeurt er met mijn data als we stoppen?
- Je krijgt een export en de repository, en daarna wordt de data bij VibeCodex verwijderd. De precieze termijn staat in de verwerkersovereenkomst.
- Wat als er een datalek is?
- Je krijgt dezelfde dag bericht met wat bekend is en wat er al is gedaan. Als verwerkingsverantwoordelijke doe jij de melding bij de Autoriteit Persoonsgegevens; VibeCodex levert op tijd de informatie die je daarvoor nodig hebt.
Laatst bijgewerkt op 20 oktober 2026.
Vraag over je eigen situatie?
Vertel welke gegevens er in het spel zijn, dan hoor je wat er geregeld moet worden en wat dat betekent voor de bouw.