Hosting
HONESTAS draait op een van deze twee locaties, met exact dezelfde software op beide plekken.
- Onze EU-cloud. Datacenters in Ierland. Uw data wordt opgeslagen en verwerkt in de Europese Unie, en u kiest zelf waar elk type data wordt bewaard: in onze EU-cloud of in uw eigen datacenter.
- Uw eigen datacenter. HONESTAS geïnstalleerd op uw eigen hardware, achter uw eigen netwerkbeveiliging. Updates komen binnen als ondertekende pakketten die u goedkeurt voordat ze worden uitgevoerd.
In beide gevallen worden verzegelde dossiers weggeschreven naar een archiefopslag buiten de installatie, voorzien van een externe tijdstempel. Zo kan een inbreuk op één installatie de geschiedenis ervan niet herschrijven.
Versleuteling en sleutels
- Data wordt tijdens verzending en in rust versleuteld, met een aparte sleutel voor elke organisatie.
- U kunt uw eigen sleutels bewaren in uw eigen key store. Trekt u de sleutel in, dan is de daarmee beveiligde data niet langer leesbaar.
- De sleutels waarmee dossiers worden verzegeld, worden gescheiden gehouden van de sleutels die data beveiligen en zijn nooit toegankelijk voor de personen die beslissingen ondertekenen.
- AI-aanroepen lopen via uw eigen accounts en sleutels bij modelaanbieders, onder uw eigen contracten. Elke aanroep wordt vastgelegd met de gebruikte sleutel, het model en de versie.
- Betaalkaartnummers bereiken HONESTAS nooit. Klanten voeren deze rechtstreeks in de velden van de betalingsprovider in.
Isolatie
Elk verzoek in HONESTAS benoemt drie zaken: de organisatie waartoe het behoort, van wie de data is en de vragende afdeling. Een verzoek dat niet alle drie kan benoemen, wordt geweigerd met de code SCOPE_REFUSED, en die weigering wordt vastgelegd.
- Tussen organisaties. Elke verzekeraar, makelaar, gevolmachtigd agent (MGA) of TPA heeft een eigen omgeving en eigen sleutels. In een gedeelde plaatsingsruimte wordt de scheidingswand tussen markten gecontroleerd voordat een bericht wordt verzonden.
- Tussen eigenaren. Een TPA of makelaar die voor meerdere klanten werkt, bewaart de dossiers van elke klant op naam van die specifieke klant.
- Tussen afdelingen. Teams zoals de afdeling Speciale Zaken (fraudeonderzoek) kunnen binnen één organisatie worden afgeschermd.
Elk geüpload bestand wordt geopend in een sandbox zonder netwerktoegang, uitgelezen en direct verwijderd.
Toegang
- Medewerkers loggen in via uw eigen identity provider met SAML of OIDC, waarbij accounts synchroon worden gehouden via SCIM. Voor het ondertekenen van beslissingen worden passkeys op het eigen apparaat van de medewerker gebruikt.
- Rollen bepalen wat elke persoon mag zien en doen. Risicovolle wijzigingen, zoals een nieuwe tekeningsbevoegdheid of een nieuwe modelversie, wachten op goedkeuring van een tweede persoon.
- In een noodgeval kan een beheerder voor korte tijd volledige toegang krijgen, terwijl een tweede persoon meekijkt en elke stap wordt vastgelegd.
- Toegang door medewerkers van Adverant is beperkt, vooraf goedgekeurd en volledig vastgelegd.
Logging
Elke aanmelding, leesactie, wijziging, AI-aanroep en beheerdershandeling wordt gelogd met wie, wat, wanneer en vanaf waar. Logs worden buiten uw installatie bewaard, kunnen niet worden bewerkt en blijven bewaard gedurende de periode die u instelt. U kunt ze via de events-API doorsturen naar uw eigen beveiligingstools.
Testen
- Onafhankelijke testers controleren HONESTAS op kwetsbaarheden. Bevindingen lossen we op in volgorde van ernst.
- Elke build wordt ondertekend en de bijbehorende software wordt vóór vrijgave gecontroleerd op bekende kwetsbaarheden.
- De controles die beslissingen weigeren, de verzegeling en de scheidingswanden tussen organisaties worden bij elke release getest.
Incidenten
Als een incident uw data raakt, informeren wij uw aangewezen beveiligingscontactpersoon zonder onredelijke vertraging en volgen wij het plan uit uw overeenkomst. Wij geven u een tijdlijn vanaf de eerste melding en de feiten die u nodig heeft om te voldoen aan uw eigen meldplichten onder DORA en de AVG.
Een probleem melden
Stuur een e-mail naar security@honestas.ai. Vermeld daarbij:
- wat u heeft gevonden en waar (het adres, het scherm of het onderdeel);
- de stappen om het te reproduceren, met eventuele proof-of-concept-code of screenshots;
- wat een aanvaller er volgens u mee zou kunnen doen;
- hoe we u kunnen bereiken en of u een naamsvermelding wenst.
Schrijf bij voorkeur in het Engels. Eén helder rapport is nuttiger dan meerdere korte berichten. Stuur geen persoonsgegevens mee die u bent tegengekomen; beschrijf ze in plaats daarvan. We lossen de ernstigste problemen als eerste op, laten u weten wanneer de oplossing klaar is en spreken samen af wanneer de details gedeeld kunnen worden.
Wat valt binnen de scope
- honestas.ai en bijbehorende subdomeinen, inclusief de HONESTAS-console;
- HONESTAS zoals wij het draaien in onze EU-cloud, inclusief het inlogproces, de archiefopslag en de dossierverificatie;
- de HONESTAS-apps voor iOS en Android, de storefront-SDK en de publieke API.
Buiten de scope: aanvallen op onze medewerkers (phishing, social engineering), fysieke aanvallen, denial-of-service (DoS), bevindingen waarvoor een reeds gecompromitteerd apparaat nodig is, en rapporten van geautomatiseerde scanners zonder aangetoonde impact. Een installatie in het eigen datacenter van een klant is eigendom van die klant; meld problemen daar zowel bij de klant als bij ons.
Regels voor onderzoekers
- Gebruik uitsluitend accounts en data die van uzelf zijn, of die u voor testdoeleinden heeft gekregen.
- Doe niet meer dan nodig is om het probleem aan te tonen. Stop direct en neem contact met ons op zodra u bij data van een andere organisatie komt.
- Wijzig of verwijder geen data, verstoor de dienstverlening niet en behoud niet langer toegang dan nodig is.
- Houd de details vertrouwelijk totdat we samen een datum voor openbaarmaking hebben afgesproken.
Safe harbour
Als u te goeder trouw handelt en deze regels volgt, beschouwen wij uw onderzoek als geautoriseerd. Wij zullen geen juridische stappen tegen u ondernemen of u hiervoor aangeven bij de autoriteiten. Mocht een derde partij dat wel doen, dan zullen wij verklaren dat u met onze toestemming handelde. Dit geldt niet voor handelingen die de wet overtreden op manieren die deze regels niet kunnen toestaan.
Openbaarmaking
Wij maken details bij voorkeur pas openbaar nadat een oplossing beschikbaar is voor iedereen die deze nodig heeft. We stemmen het moment met u af en vragen u niet langer te zwijgen dan nodig is om onze klanten te beschermen. Als we het niet eens worden, leggen we u uit waarom.
Bent u klant? Meld een vermoedelijk incident dan via de beveiligingscontactpersoon uit uw overeenkomst of via support binnen HONESTAS, zodat we uw incidentplan kunnen volgen. Voor informatie over waar uw data staat en aan welke regelgeving wij koppelen, gaat u naar het trust centre.
Laatst bijgewerkt op 23 oktober 2026