In rust, in de EU
Databases, back-ups, logboeken en bewijsstukken worden in Frankrijk gehost en verwerkt, bij Scaleway. Uw incidentgegevens verlaten de EU niet binnen het normale kader.
Trust center · het bewijs, bouwsteen per bouwsteen
Trust center van Galyct Pro
Een trust center zou geen pagina vol bijvoeglijke naamwoorden mogen zijn. Hier is er een dat tegenover elke beveiligingsbelofte het echte mechanisme zet dat ze waarmaakt, en dat duidelijk zegt wat al actief is, wat een contractuele verbintenis is en wat we op aanvraag leveren. U kunt het lezen, aan uw DPO tonen en aan uw CISO voorleggen.
Elke rubriek hieronder verwijst naar een element dat verifieerbaar, gedateerd en bruikbaar is in een bewijsdossier.
Gehost in Frankrijk bij Scaleway · versleuteling in rust · logboek met tijdstempels · afscherming tussen entiteiten.
PRINCIPE
We tonen
het mechanisme.
De meeste “trust centers” zetten logo's en woorden op een rij. Het onze plaatst een kolom “technisch bewijs” tegenover elke toezegging, en een kolom “status” die eerlijk onderscheid maakt tussen wat vandaag draait, wat een verbintenis is en wat we op aanvraag leveren. Niets wordt als verworven voorgesteld zolang het niet waar is: dat is de regel die we onszelf opleggen.
01 · TECHNISCHE BEVEILIGING, BEWEZEN
De bewijsmatrix
Elke regel: een toezegging, wat ze concreet beschermt, het echte technische mechanisme dat ze waarmaakt, en haar status. De bouwstenen met Actief zijn vandaag actief in de dienst.
| Bouwsteen | Wat het oplevert | Technisch bewijs | Status |
|---|---|---|---|
| Integriteit van het bewijs | Een geüpload stuk kan niet worden gewijzigd zonder dat het zichtbaar wordt. | SHA-256-vingerafdruk berekend bij het uploaden en samen met het stuk opgeslagen. | Actief |
| Versleuteling in rust | Uw gevoelige gegevens blijven onleesbaar, zelfs bij toegang tot de opslag. | AES-256-GCM (willekeurige IV + authenticatietag); schrijven wordt geweigerd als de sleutel ontbreekt in plaats van in klare tekst op te slaan (fail-closed); sleutelrotatie voorzien van tooling. | Actief |
| Logboek met tijdstempels | Wie wat heeft gezien, wie wat heeft beslist, en wanneer, zonder mogelijkheid tot herschrijven. | Append-only logboek aan de serverkant (alleen invoegen; actor en tijdstempel vastgelegd door de server, niet door de browser). | Actief |
| Tweefactorauthenticatie | Een gestolen wachtwoord volstaat niet om binnen te komen. | Tweede factor verplicht (inschrijvingsmuur bij het aanmelden) op Pro, Perso en de MSP-console: TOTP (RFC 6238, geheim versleuteld in rust, back-upcodes) of eenmalige code per e-mail in de omgeving voor het grote publiek. | Actief |
| Bescherming tegen brute force | Geen spervuur op de aanmeldingen of op de tweede factor. | Glijdend plafond per IP en per e-mailadres, ook toegepast op de MFA-stap. | Actief |
| Respectvolle controle | We testen de blootstelling van een wachtwoord zonder het ooit te verzenden. | k-anonimiteit: alleen de eerste 5 tekens van de SHA-1-hash verlaten de browser; de vergelijking gebeurt lokaal. | Actief |
| Afscherming tussen entiteiten | Een entiteit ziet nooit de gegevens van een andere. | Scope afgeleid aan de serverkant (nooit uit het verzoek) en opgelegd op elke afgeschermde tabel. | Actief |
| Bewijs buiten de webroot | Uw bestanden kunnen niet per vergissing worden geserveerd. | Opslag buiten de webmap, ondoorzichtige bestandsnamen, rechten 0700; volledige GDPR-wissing van een scope. | Actief |
| Uitbestede betaling | Kaartnummers en beveiligingscodes worden rechtstreeks door Stancer ingevoerd en verwerkt; ze passeren niet via de servers van DRC. | Betaalpagina gehost door Stancer (Frankrijk); de server controleert de betaling opnieuw vóór elke vrijgave. | Actief |
| Omkeerbaarheid | Niets gaat per vergissing verloren; u vertrekt met uw gegevens. | Versleutelde prullenbak van 30 dagen (herstel in selfservice) + exports van uw registers en bewijs. | Actief |
| Traceerbare AI-governance | U weet wat er naar het model gaat, en u stemt ermee in. | Keuze van de engine aan de serverkant beheerd (standaard Mistral/EU) + logboek van geïnformeerde toestemming. | Actief |
| Geharde verbindingen | De uitwisselingen worden tijdens transport versleuteld (TLS). | HTTPS + HSTS, CSP, X-Content-Type-Options, X-Frame-Options; een regel die interne bestanden blokkeert. | Actief |
Deze mechanismen zijn die van het echte product, niet van een brochure. Voor de details van de architectuur: de technische basis →
02 · DIENSTVERBINTENISSEN
Waartoe we ons verbinden, en wat nog gepubliceerd moet worden
Beschikbaarheid is een contractuele verbintenis (SLA-bijlage van de gebruiksvoorwaarden). We onderscheiden die doelen van de metingen die we nog niet publiek maken, in plaats van vleiende cijfers te tonen die niet worden gehaald.
99,0 %
Beschikbaarheid, formule Essentiel Toegezegd
99,5 %
Beschikbaarheid, formule Résilience Toegezegd
99,9 %
Beschikbaarheid, formule Performance Toegezegd
RPO ≤ 12 u
Maximaal gegevensverlies, versleutelde back-up om de 12 uur Ingericht
RTO ≤ 24 u
Beoogde hersteltijd, heropbouw vanuit de geteste back-up Doel
Back-up
Versleutelde off-site back-up (Frankrijk), geteste terugzetting Ingericht
Status
Statuspagina van de diensten: live beschikbaarheid Online
De beschikbaarheidsdoelen staan in Bijlage 1 (SLA) van de gebruiksvoorwaarden van Pro; het aansprakelijkheidskader valt onder de algemene verkoopvoorwaarden van Pro.
03 · HOSTING & GEGEVENSSTROMEN
Waar uw gegevens zich bevinden, en wat er (niet) naar buiten gaat
Het normale kader van de dienst blijft in Frankrijk (EU). Sommige externe controles zijn optioneel en beheerst: voor elk ervan weet u precies wat er passeert.
Externe controles, bij naam genoemd
Versleutelde DNS-resolutie (Mullvad SE, Freifunk München DE, LibreDNS GR, met FDN in Frankrijk als terugvaloptie: alleen het domein passeert), URL-reputatie, lekonderzoek: elke uitgaande stroom is gedocumenteerd en wordt beheerst gestart.
AI standaard beheerd in de Europese Unie
De AI-engine is standaard Mistral (Frankrijk/EU). Een uitdrukkelijke overschakeling naar een engine buiten de EU blijft een keuze die aan de serverkant wordt beheerd, vastgelegd en met toestemming, nooit stilzwijgend.
Verwerkers bij naam genoemd
Scaleway/Online (hosting, FR), Mistral (AI, FR/EU), Stancer (betaling, FR). De gedateerde lijst wordt bijgehouden en binnen het contractuele kader meegedeeld. Bekijk het register →
04 · COMPLIANCETRAJECT
Wat echt is, en wat een traject is
We weigeren de indruk te wekken dat we een label hebben dat we niet hebben. Dit is de exacte stand van zaken.
Cybermalveillance.gouv.fr Echt
Galyct is een geregistreerde dienstverlener bij Cybermalveillance.gouv.fr. Het is een teken van engagement, geen certificering door de Franse staat, en we stellen het nooit zo voor.
SecNumCloud, als kompas Niet gecertificeerd
Het SecNumCloud-raamwerk dient ons als architectuurkompas. Op dit moment is geen enkele certificering (ISO 27001, SecNumCloud) gestart; we zeggen het liever dan de indruk te wekken. Op de dag dat een traject wordt opgestart, staat het hier, gedateerd.
GDPR · NIS 2 · DORA Ondersteund
Het platform ondersteunt deze kaders met tooling (register, melding binnen 72 uur, risico van derden, DPA art. 28); het levert geen label af en vervangt uw DPO noch uw auditor. De raamwerken →
05 · DOCUMENTEN & BEWIJS
De stukken die u aan uw DPO, uw verzekeraar of uw auditor kunt tonen
Wat meteen beschikbaar is, en wat we op aanvraag leveren in het kader van een afgebakend gesprek.
DPA, verwerkersovereenkomst (art. 28)Bijlage 2 van de gebruiksvoorwaarden van Pro.
Beschikbaar
SLA, beschikbaarheidsdoelenBijlage 1 van de gebruiksvoorwaarden van Pro.
Beschikbaar
Register van verwerkersGedateerd, bijgehouden, meegedeeld in het contract.
Beschikbaar
Export van bewijs (SHA-256) & CODEX-dossierUw stukken, met tijdstempel en verifieerbaar.
Beschikbaar
Interne adversariële beveiligingsreviewCodereviews & hardening, doorlopend.
Doorlopend
Samenvatting van een penetratietest (derde)Scope & resultaten van een externe pentest.
Komt eraan
Attest van aansprakelijkheidsverzekeringBeroepsaansprakelijkheid / cyber.
Op aanvraag
Hebt u een stuk “op aanvraag” nodig voor uw leveranciersdossier? Neem contact op →
06 · WAT WE NIET BELOVEN
Een trust center benoemt ook zijn grenzen
Geen enkele serieuze tool belooft onkwetsbaarheid. We benoemen liever onze grenzen dan dat u ze ontdekt op de dag van een incident.
Geen nulrisico
Geen “100 %”, geen “gegarandeerd”, geen “onkwetsbaar”. Het doel is de blootstelling te verkleinen en het bewijs op orde te houden: er is geen gegarandeerd resultaat.
Eerlijke statussen
Een bouwsteen gemarkeerd als “te publiceren” of “op aanvraag” is nog geen publiek verworven feit: we rekenen hem niet als gedaan. Deze pagina evolueert naarmate die vakjes op groen springen.
Vertrouwen dat u regel per regel kunt verifiëren.
Kijk vrij rond in de cockpit met voorbeeldgegevens, of vraag een demo van 30 minuten aan om deze matrix te doorlopen met uw eisen op het vlak van hosting, compliance en uitbesteding.