Viaondo bewaart wat reisbureaus het toevertrouwen: de namen, tickets, vouchers en paskopieën van hun klanten. Deze pagina legt in gewone taal uit hoe die gegevens worden beschermd, ook wat we nog niet hebben. De juridische kant staat in het privacybeleid, de verwerkersovereenkomst en de lijst van subverwerkers.
Waar de gegevens staan
- Database en bestanden in de Europese Unie. Reizen, reizigers, documenten en instellingen worden opgeslagen bij Cloudflare onder EU-jurisdictie (de D1-database en de R2-bestandsopslag). De applicatie draait op het netwerk van Cloudflare, op de locatie die het dichtst bij elke gebruiker ligt.
- Bestanden zijn privé. De browser maakt nooit rechtstreeks verbinding met de bestandsopslag. Elk bestand gaat via Viaondo, dat controleert wie erom vraagt voordat het wordt geleverd.
- Back-ups, ook in de EU. De database kan worden teruggezet naar elke minuut van de afgelopen 30 dagen, elke week wordt een volledige export 84 dagen bewaard en het terugzetten daarvan wordt elke maand geoefend, en bestanden worden elke nacht gekopieerd naar een aparte bucket die elke kopie minstens 30 dagen bewaart en overschrijven weigert.
Een reisbureau ziet nooit de gegevens van een ander
- Bij elk verzoek naar de gegevens van een reisbureau wordt gecontroleerd of de ingelogde persoon lid is van dat reisbureau. Voor iedereen anders bestaat het reisbureau niet: die krijgt “niet gevonden”, nooit “geen toegang”.
- Elke databasequery is beperkt tot het reisbureau en gebouwd met gebonden parameters, nooit uit tekst die iemand heeft getypt.
- Eigenaars en leden hebben verschillende rechten: alleen de eigenaar wijzigt de instellingen van het reisbureau, nodigt mensen uit of verwijdert ze, en verwijdert reizen definitief.
Reislinks
Reizigers openen hun reis via een privélink, zonder account. Die link is de sleutel, dus behandelen we hem ook zo:
- Elke link bevat 32 willekeurige bytes. De database bewaart er alleen een vingerafdruk van (SHA-256) om hem op te zoeken, plus een versleutelde kopie zodat het reisbureau hem opnieuw kan kopiëren.
- Een link werkt alleen zolang de reis gepubliceerd is en de link niet is ingetrokken. Een reis archiveren schort de links ervan op; het reisbureau kan één link of alle links intrekken, en een reiziger die van de reis wordt verwijderd, verliest direct de toegang.
- Een persoonlijke link toont die reiziger alleen de eigen documenten en stoelen.
- Pagina’s vragen browsers de link nooit door te geven aan andere sites (geen referrer), linkvoorbeelden in chats tonen alleen het reisbureau, en de link verschijnt nooit in onze logs.
Wat een link niet kan: iedereen die hem heeft, kan openen wat hij toont, en intrekken kan een kopie die al offline op een telefoon is opgeslagen niet wissen. Is een link per ongeluk gedeeld, trek hem dan in en stuur een nieuwe.
Documenten en uploads
- Elke upload wordt op drie manieren gecontroleerd (de eerste bytes, het type en de extensie) en alleen pdf’s en gangbare afbeeldingen worden geaccepteerd, binnen groottelimieten.
- Bestanden worden geleverd met headers die voorkomen dat een browser iets uitvoert wat erin zit.
- Tickets, vouchers en paskopieën worden 30 dagen na het einde van de reis verwijderd, samen met wat eruit is gelezen.
- De offline kopie op de telefoon van een reiziger wordt bestand voor bestand gecontroleerd, op grootte en vingerafdruk, voordat de app meldt dat de reis is opgeslagen.
Inloggen
- Gebruikers van reisbureaus loggen in met een e-maillink, een wachtwoord of Google. Wachtwoorden worden nooit als leesbare tekst opgeslagen.
- Inlogformulieren worden met Cloudflare Turnstile beschermd tegen bots, en het aantal inlogpogingen is begrensd.
- Sessies kun je in je profiel bekijken en per apparaat afsluiten.
Logs en statistieken
- We loggen geen verzoeken. De applicatie legt alleen namen van gebeurtenissen, identificatiecodes en foutcodes vast: nooit reislinks, documenttekst, e-mailadressen of wat de AI heeft gelezen.
- De openbare website gebruikt geaggregeerde bezoekerstellingen zonder cookies. Het dashboard en de reizigersapp laden geen analysetools of scripts van derden.
- Als een reiziger een reis opent, legt Viaondo vast dat de link is geopend, dat de reis offline is opgeslagen of dat een document is bekeken, zonder IP-adres, apparaat of cookies, zodat het reisbureau weet dat de reis is aangekomen. Deze gegevens worden na 13 maanden verwijderd.
Betalingen
Reisbureaus betalen op pagina’s die door Stripe worden gehost. Kaartgegevens gaan rechtstreeks naar Stripe: Viaondo ziet of bewaart ze nooit, en het dashboard toont alleen het merk van de kaart, de laatste vier cijfers en de vervaldatum.
AI
Documenten die door AI worden gelezen, gaan naar NaN, in de Europese Unie, dat de documenten en de antwoorden niet bewaart en er geen modellen mee traint. Instructies die in een document verborgen zitten, worden genegeerd, en niets wat de AI toevoegt bereikt reizigers voordat het reisbureau publiceert. Details op de pagina over AI.
Wat we nog niet hebben
- Geen SOC 2- of ISO 27001-certificering. Onze aanbieders (Cloudflare, Stripe) hebben hun eigen certificeringen.
- Nog geen single sign-on (SAML) of verplichte tweestapsverificatie bij het inloggen voor teams van reisbureaus.
- Geen apart auditlogboek waarin reisbureaus kunnen nagaan wie wat heeft gewijzigd (elke reis bewaart wel de gepubliceerde versies).
Viaondo is een klein bedrijf. Heb je antwoorden nodig voor een beveiligingsbeoordeling of een vragenlijst voor leveranciers, schrijf ons dan en we beantwoorden die schriftelijk.
Een probleem melden
Vind je een beveiligingsprobleem, schrijf dan naar info@viaondo.com met wat je hebt gevonden en hoe je het kunt reproduceren. We antwoorden binnen twee werkdagen, en we vragen je ons redelijk de tijd te geven om het op te lossen voordat je het openbaar maakt. Hetzelfde contactadres staat in ons security.txt.
Op de statuspagina kun je controleren of de dienst werkt.