Beveiligingsverklaring

In deze verklaring lees je hoe Tulipsoft omgaat met de beveiliging van de software die we bouwen en van de gegevens van onze klanten. Onderaan staat hoe je een kwetsbaarheid meldt.

Hoe we software beveiligen

We ontwikkelen volgens de richtlijnen van OWASP. Iedere oplevering wordt geautomatiseerd getest op bekende kwetsbaarheden, zoals injectie, gebroken toegangscontrole, onveilige instellingen en verouderde onderdelen met bekende lekken. Wachtwoorden en sleutels staan niet in de code. Iedere wijziging wordt beoordeeld voordat die live gaat, door een collega of met hulp van AI. Complexe aanpassingen en gevoelige onderdelen, zoals inloggen en betalingen, beoordeelt altijd een collega.

Versleuteling

Gegevens worden versleuteld verstuurd, ook tussen systemen onderling. Opgeslagen gegevens zijn eveneens versleuteld. Sleutels beheren we gescheiden van de gegevens waar ze bij horen.

Toegang en omgevingen

Medewerkers krijgen alleen toegang tot wat ze voor hun werk nodig hebben. Hoe strikt we ontwikkel-, test- en productieomgevingen scheiden, hangt af van de gegevens. Bij gevoelige gegevens, zoals persoonsgegevens of betalingen, werken we met gescheiden omgevingen en leggen we vast wie toegang heeft tot productie.

Privacy vanaf het ontwerp

We verwerken niet meer persoonsgegevens dan nodig en kiezen veilige standaardinstellingen. Hoe we met persoonsgegevens omgaan staat in de privacyverklaring.

Hosting en gegevens

We hosten bij voorkeur binnen de Europese Unie. Per project leggen we vast waar gegevens staan, hoe back-ups worden gemaakt en hoe herstel na een storing verloopt.

Specialisten en pentests

De basis doen we zelf. Voor optimale controles werken we samen met securityprofessionals die dagelijks niets anders doen dan hacken, meestal een red team. Zij vallen een applicatie aan zoals een echte aanvaller dat doet. De bevindingen komen in een rapport met prioriteiten. Wat wij hebben gebouwd, lossen we zelf op. Meer over onze aanpak lees je op de pagina security.

Wetgeving

Persoonsgegevens verwerken we volgens de AVG. We bereiden ons voor op NIS2 en zijn daarvoor geregistreerd bij het NIS2 Quality Mark.

Een kwetsbaarheid melden

Dit geldt voor tulipsoft.nl en de systemen die Tulipsoft zelf beheert. Vind je iets in software die een klant host, dan brengen we de melding bij die klant en stemmen we samen af.

Heb je een zwakke plek gevonden? Mail naar [email protected]. Anoniem melden mag. Beschrijf wat je hebt gevonden, hoe we het kunnen nabootsen en welk risico je ziet. Dit adres staat ook in ons security.txt-bestand.

We vragen je om:

• niet verder te gaan dan nodig is om de kwetsbaarheid aan te tonen;
• geen gegevens te kopiëren, te wijzigen of te verwijderen;
• geen social engineering, spam of overbelasting van systemen te gebruiken;
• de melding niet openbaar te maken voordat het probleem is opgelost en we dat samen hebben afgesproken.

Wat je van ons mag verwachten:

• een ontvangstbevestiging binnen vijf werkdagen, met een eerste beoordeling van de melding;
• we houden je op de hoogte van de voortgang en van het moment waarop het probleem is opgelost;
• kwetsbaarheden in software lossen we op binnen 60 dagen, of we leggen je uit waarom een andere termijn of een geaccepteerd risico van toepassing is;
• na het oplossen stemmen we met je af of en hoe we erover publiceren;

Tegen melders die zich aan deze afspraken houden ondernemen we geen juridische stappen. We zijn nog niet groot genoeg om een beloning in geld te geven, maar werken graag mee aan de erkenning die je verdient, bijvoorbeeld door je naam te noemen bij de publicatie over de oplossing.

Kan deze verklaring wijzigen?

Ja. Bij een wijziging passen we deze pagina aan. Laatst bijgewerkt: 4 september 2026.