Beveiliging en privacy
Technisch overzicht van de beveiliging van de OpenAEC SuperCloud: datalocatie, versleuteling en sleutelbeheer, identiteit, tenant-isolatie, beheer en continuïteit. De software is open source, dus elke bewering hier is te verifiëren.
Alle klantdata wordt verwerkt en opgeslagen in de AWS-regio eu-central-1 (Frankfurt). Back-ups staan versleuteld in een tweede EU-regio. Verwerking buiten de EU gebeurt alleen als je zelf een AI-model buiten de EU inschakelt. Ons contract met AWS loopt via de Europese vestiging: Amazon Web Services EMEA SARL in Luxemburg.
Elke klantomgeving heeft een eigen database met een eigen databasegebruiker, een eigen S3-bucket en een eigen KMS-sleutel. Applicatiecontainers draaien met CPU- en geheugenlimieten. Grote klanten krijgen een eigen applicatiestack, een eigen database-instantie en een eigen netwerksegment; een eigen AWS-account is optioneel.
Data at rest is versleuteld met AES-256 via AWS KMS, met een customer managed key per klant. Bij vertrek wordt die sleutel na de bewaartermijn vernietigd. Daarmee worden ook alle back-ups en eerdere versies onleesbaar.
Al het verkeer loopt over TLS 1.2 of hoger, met HSTS. Databases en opslag zijn niet rechtstreeks vanaf internet bereikbaar; bestanden gaan via kortlevende, ondertekende URL's.
Eén centrale identiteitsprovider op basis van OpenID Connect. Klantomgevingen, browsertools, desktop-apps en API's vertrouwen deze provider; lokale wachtwoorden op klantomgevingen staan uit, op een noodbeheeraccount na.
Rollen en rechten worden per klantomgeving beheerd (role-based access control). Gebruikers worden just-in-time aangemaakt op basis van hun lidmaatschap. Gasten zien alleen wat expliciet met hen is gedeeld.
Deellinks zijn tokens met een vervaldatum en optioneel een wachtwoord, en zijn op elk moment in te trekken.
Medewerkers hebben standaard geen toegang tot klantdata. Toegang is just-in-time: alleen na toestemming van de klant, tijdgebonden en volledig vastgelegd.
Alle AI-verzoeken lopen via een eigen gateway die authenticatie, modelkeuze, verbruik en plafonds afdwingt. Standaard worden alleen modellen in de EU gebruikt; modellen buiten de EU moeten expliciet worden ingeschakeld en zijn gelabeld. Klantdata wordt niet gebruikt om modellen te trainen.
De zoekindex (pgvector) hoort bij de klantomgeving en volgt dezelfde rechten als de apps: retrieval levert alleen documenten op die de gebruiker zelf mag openen. Gespreksgeschiedenis wordt in de klantomgeving opgeslagen.
De volledige infrastructuur is beschreven in OpenTofu en wordt uitgerold via CI/CD; er is geen handmatig consolebeheer. De component die infrastructuur aanpast heeft een smalle IAM-rol (least privilege); de applicatielaag heeft geen brede cloudrechten.
Back-ups worden automatisch gemaakt en periodiek automatisch teruggezet om de bruikbaarheid te toetsen. Een extra kopie staat in langetermijnopslag (Glacier Deep Archive), versleuteld met de sleutel van de klant.
We meten de beschikbaarheid van elke omgeving per maand. Wat we toezeggen, hangt af van het serviceniveau. Halen we een toezegging niet, dan krijg je servicecredit: een korting op het maandbedrag. Gepland onderhoud dat minstens 5 werkdagen vooraf is aangekondigd, telt niet mee.
Systemen worden doorlopend bewaakt met alarmering. Beheer- en supporthandelingen worden vastgelegd in audit-logs. Verbruik en kosten worden per klant gemeten via tags. Support en opvolging tijdens kantooruren.
Uitgaande mail gaat via Amazon SES vanaf het domein van de klant, met SPF, DKIM en DMARC. Bounces en klachten worden per klant teruggekoppeld.
OpenAEC Studio BV is verwerker in de zin van de AVG. Bij elk abonnement hoort een verwerkersovereenkomst met de lijst van subverwerkers, waaronder AWS (EU-regio's).
Bij een beveiligingsincident dat persoonsgegevens raakt, informeren we de klant zonder onnodige vertraging over aard, omvang en maatregelen, zodat de klant binnen de AVG-termijn zelf kan melden.
Kwetsbaarheden kun je melden via het adres hieronder. We bevestigen de ontvangst, houden je op de hoogte van de afhandeling en vermelden je graag na publicatie.
Volledige export op elk moment, in open formaten: bestanden met mappenstructuur, gegevens als CSV en een volledige databasedump.
Alle software op de SuperCloud is open source. Je kunt de implementatie zelf auditen of laten auditen, zonder afhankelijk te zijn van onze verklaringen.
Dezelfde container-images draaien ook on-premise of bij je eigen hostingpartij, als je data volledig in eigen beheer wilt houden. OpenAEC Studio BV ondersteunt bij installatie, beheer en updates.
Beveiliging in de cloud is gedeeld werk. Zo is de verdeling bij de SuperCloud.
De SuperCloud draait in de AWS-regio Frankfurt. De certificeringen en rapporten hieronder zijn van AWS en gelden voor de datacentra en diensten waarop wij bouwen; de rapporten zelf zijn op te vragen via AWS.
