Due diligence van leveranciers
Openbaar overzicht beveiliging en inkoop
Geverifieerde informatie voor beveiligings-, juridische en inkoopteams: EU-dataresidentie, subverwerkers, kernmaatregelen in de applicatie, continuïteit en contracteringsroutes. Wilt u een formele vragenlijst ingevuld hebben (SIG, CAIQ of uw eigen sjabloon)? Mail hello@trusq.io.
Dit publieke overzicht claimt geen certificering of onafhankelijk assurancerapport. Productspecifieke eisen en contractuele toezeggingen worden behandeld in het toepasselijke due diligence- en contracteringsproces.
Onderneming en contract
AanwezigWelke rechtspersoon zit achter Trusq?
Trusq is een product van YRproject B.V., gevestigd in Nederland (EU), KvK 97813974, aan de IJsseldijk 402, 2922 BN Krimpen aan den IJssel.
Bij onboardingIs er een verwerkersovereenkomst?
Ja. Een DPA op grond van artikel 28 GDPR (uw organisatie als verwerkingsverantwoordelijke, Trusq als verwerker) wordt tijdens de onboarding ter ondertekening verstrekt, vóór enig productiegebruik. Zie de pagina Vertrouwen en data.
AanwezigWat zijn de algemene voorwaarden en het toepasselijk recht?
Our voorwaarden zijn van toepassing, beheerst door Nederlands recht. Trusq levert informatie en indicaties, geen juridisch advies.
Gegevensbescherming en dataresidentie
Uitsluitend EUWaar worden onze gegevens gehost en verwerkt?
Volledig binnen de Europese Unie. De hosting van applicatie en database vindt plaats in Duitsland en Frankrijk; elke subverwerker is in de EU gevestigd. Er worden geen gegevens in de VS gehost of verwerkt.
Uitsluitend EUWaar vindt de AI-verwerking plaats?
Inhoud die u aanlevert voor het opstellen van documenten of voor de assistent wordt verwerkt door onze EU-AI-aanbieder (Mistral AI, Frankrijk) — nooit door Amerikaanse AI-diensten. Zie subverwerkers.
YesWordt onze inhoud gebruikt om AI-modellen te trainen?
Nee. Inhoud die u aanlevert wordt gebruikt om de dienst aan u te leveren, onderbouwd met geciteerde bronnen; deze wordt niet gebruikt om modellen te trainen.
AanwezigWie zijn uw subverwerkers?
Drie, alle in de EU gevestigd: Hetzner (DE) voor hosting, Mistral AI (FR) voor de AI-laag, INWX (DE) voor transactionele e-mail. Volledige details en het doel op de pagina met subverwerkers.
AanwezigWelke persoonsgegevens verwerkt u, en hoe lang?
Accountgegevens, de compliancegegevens die u invoert, commerciële aanvragen en server-/auditlogs. De bewaartermijn staat in onze privacyverklaring (bijv. server- en auditlogs gedurende 90 dagen).
Bij onboardingHoe worden gegevens aan het einde van het contract teruggegeven of verwijderd?
Bij beëindiging retourneren of verwijderen wij uw gegevens conform de DPA en de privacyverklaring. Het toepasselijke proces en de termijnen worden tijdens de onboarding vastgelegd.
Beveiligingsmaatregelen
AanwezigWorden gegevens versleuteld tijdens transport?
Ja. Al het verkeer verloopt via HTTPS/TLS, met HTTP Strict Transport Security (HSTS) en een Content-Security-Policy die aan de edge wordt afgedwongen (default-src 'self', object-src 'none', framing beperkt; inline scripts/styles blijven toegestaan in afwachting van een hashmigratie).
AanwezigHoe worden wachtwoorden opgeslagen?
Wachtwoorden worden gehasht met salted PBKDF2-HMAC-SHA256 (200.000 iteraties, salt per gebruiker). Wij slaan nooit wachtwoorden in platte tekst op. Sessies gebruiken een ondertekende HttpOnly-cookie.
AanwezigHoe worden klantgegevens tussen tenants gescheiden?
Trusq is multitenant; de gegevens van elke organisatie zijn per tenant gescheiden in de applicatie en de database. Implementatiedetails zijn beschikbaar tijdens de onboarding.
AanwezigDwingt u beveiligingsheaders af?
Ja — HSTS, X-Content-Type-Options, X-Frame-Options, Referrer-Policy en een Content-Security-Policy zijn ingesteld op de publieke omgeving.
Weerbaarheid en continuïteit
AanwezigMaakt u back-ups?
Ja. Van de database wordt elke dag automatisch een back-up gemaakt, met een onafhankelijke off-sitekopie op gescheiden infrastructuur. Herstelbewijs en de operationele weergave zijn beschikbaar tijdens de due diligence.
AanwezigWaar kunnen beoordelaars het actuele bewijs over de dienst inzien?
Actueel operationeel en continuïteitsbewijs is beschikbaar op de statuspagina. Een contractuele dienstverleningstoezegging is vastgelegd in de toepasselijke overeenkomst.
AanwezigBeschikt u over een gedocumenteerd incidentresponsproces?
Bij inbreuken in verband met persoonsgegevens stellen wij de verwerkingsverantwoordelijke zonder onredelijke vertraging op de hoogte, zoals de GDPR voorschrijft en in de DPA is vastgelegd. Beveiligingszorgen kunnen worden gemeld via onze responsible-discloseroute.