Home / Voorwaarden en privacy / Beveiliging
Hoe Coachdeck je gegevens beschermt
Coachdeck bevat gegevens van cliënten van coaches en re-integratiebureaus, vaak ook over gezondheid. Daarom zeggen we hier precies wat we doen, en ook wat we nog niet hebben.
Waar je gegevens staan
- De applicatie draait bij Vercel en de database bij Neon, beide in Frankfurt (Duitsland). Bestanden staan in Vercel Blob, ook in Frankfurt.
- E-mail versturen we via WeSender, met servers in Duitsland en Finland. Spraak naar tekst en AI-hulp bij verslagen, twee functies die standaard uit staan, lopen via Mistral AI in Frankrijk.
- Een aantal van onze leveranciers is een Amerikaans bedrijf. Welke dat zijn en welke waarborgen gelden, staat in onze verwerkersovereenkomst en privacyverklaring.
Gescheiden per organisatie
- Elke organisatie ziet alleen haar eigen gegevens. De applicatie filtert dat bij elke vraag aan de database. De database heeft daarnaast een extra controle op rijniveau, die meekijkt zodra de applicatie aangeeft voor welke organisatie zij werkt. Een strengere vorm staat gepland.
Inloggen
- Wachtwoorden van minstens 12 tekens, met kleine letter, hoofdletter en leesteken. We bewaren ze niet leesbaar.
- Tweestapsverificatie is verplicht voor iedereen die in de webapplicatie inlogt, in elke rol. De app op je telefoon logt in via een eigen beveiligde koppeling en bewaart je sessie in de beveiligde opslag van je toestel.
- Je wordt automatisch uitgelogd na inactiviteit: beheerders na 10 minuten, coaches na 15 minuten.
- Het aantal inlogpogingen is beperkt.
- Alle verbindingen zijn versleuteld. Cookies gaan alleen over een beveiligde verbinding en zijn niet leesbaar voor scripts.
Wie wat kan zien
- Een coach ziet alleen zijn eigen cliënten. Acties in dossiers staan in een logboek dat de beheerder kan inzien.
- Medewerkers van Coachdeck kijken niet in dossiers. Meekijken staat standaard uit. De klant zet het zelf aan, met een reden, voor 1 uur, 4 uur of een dag, en geeft de toegangscode zelf aan support. Meekijken is alleen lezen en wordt vastgelegd.
- Persoonlijke links voor intake en offertes verlopen, en we bewaren alleen een afgeleide waarde van de link.
Back-ups
- Elke dag een back-up, versleuteld met een sleutel die alleen wij hebben, bewaard bij een andere partij dan de database. Na uiterlijk 90 dagen wordt een back-up overschreven. We testen het terugzetten elk halfjaar, voor het laatst op 18 oktober 2026.
Wat we nog niet hebben
- Geen penetratietest door een mens. Op 22 oktober 2026 hebben we een geautomatiseerde beveiligingsscan laten draaien op app.coachdeck.nl en backend.coachdeck.nl, zonder bevindingen.
- Geen ISO 27001- of NEN 7510-certificaat. We gebruiken ISO 27001 als leidraad voor onze maatregelen.
Datalekken
- We melden een datalek aan onze klant binnen 48 uur nadat we het weten, en binnen 24 uur voor omgevingen waar de opdrachtgever dat eist, zoals Re-integratie.
Een kwetsbaarheid gevonden? Zie Kwetsbaarheid melden.