1. Deze website
Deze website bestaat uit statische pagina's die vanaf een server die wij zelf beheren worden geserveerd. Zij plaatst geen cookies, laadt niets van derden — de lettertypen staan hier — en draait geen analytics van derden. Wat zij over een bezoek vastlegt, en hoe lang, staat volledig in de privacyverklaring.
Verkeer van en naar de website is versleuteld met TLS. Beheertoegang tot de server is beperkt tot wie die nodig heeft en vereist meervoudige authenticatie.
2. Subverwerkers voor deze website
- Hetzner Online GmbH — hosting — Duitsland, EER — ISO 27001-gecertificeerde datacenters, verwerkersovereenkomst gesloten.
- Proton AG — e-mail — Zwitserland — valt onder het adequaatheidsbesluit van de Europese Commissie van 15 januari 2024, waardoor geen aanvullende waarborg vereist is; verwerkersovereenkomst gesloten.
Deze lijst betreft de website. De subverwerkers van onze producten staan in de documentatie van het product zelf, omdat zij per inzetvorm verschillen: een product kan draaien tegen een door ons gehost model, tegen een externe API op het account van de klant, of volledig op de eigen infrastructuur van de klant met een model naar keuze.
Wij werken deze lijst bij zodra zij verandert; de datum hierboven is de datum waarop zij voor het laatst is nagelopen.
3. Een kwetsbaarheid melden
Denkt u een beveiligingsprobleem gevonden te hebben, dan horen wij dat graag. Schrijf naar security@juststeps.io. Dezelfde gegevens zijn machineleesbaar op /.well-known/security.txt.
Wat binnen de reikwijdte valt
juststeps.io en de subdomeinen daarvan. Daarbuiten vallen: systemen van onze klanten, diensten van derden die wij gebruiken, en bevindingen van een geautomatiseerde scanner zonder aangetoonde impact.
Wat wij van u vragen
- Meld het zodra u het vindt, en geef ons redelijke tijd voordat u publiceert.
- Ga niet verder het systeem in dan nodig is om het probleem aan te tonen.
- Wijzig niets en verwijder niets.
- Kopieer niet meer gegevens dan minimaal nodig als bewijs, en verwijder die zodra de melding is gedaan.
- Gebruik de bevinding nergens anders voor.
- Geen denial-of-service, geen social engineering, geen fysieke inbraak, geen malware, geen brute force, en geen onderzoek aan systemen die niet van ons zijn.
Komt u persoonsgegevens tegen, stop dan, kopieer ze niet, en meld ons dat u ze aantrof. Wij hebben liever een dunne melding en ongeschonden gegevens.
Wat wij doen
- Uw melding binnen twee werkdagen bevestigen.
- Haar vertrouwelijk behandelen en uw gegevens niet zonder uw toestemming delen.
- U op de hoogte houden zolang wij eraan werken.
- Streven naar openbaarmaking binnen 60 dagen na uw melding, in afstemming met u — langer alleen als het herstel werkelijk langer duurt, en dan zeggen wij dat.
- U met naam vermelden als u dat wilt.
Wat wij niet doen
Houdt u zich aan bovenstaande regels, dan doen wij geen aangifte en stellen wij geen civiele vordering in.
Meer kunnen wij niet beloven, en wees terughoudend tegenover wie dat wel doet. Computervredebreuk is in Nederland strafbaar (art. 138ab Sr), en de vervolgingsbeslissing ligt bij het Openbaar Ministerie, niet bij ons. Het gepubliceerde standpunt van het OM is dat het in beginsel niet vervolgt wie een kwetsbaarheid meldt waar sprake was van een aanmerkelijk maatschappelijk belang, waar niet verder is gegaan dan noodzakelijk, en waar geen minder ingrijpende weg beschikbaar was. Bovenstaande regels zijn geschreven om bij die toets aan te sluiten. Mocht het ooit zover komen, dan laten wij het OM weten dat u ons beleid heeft gevolgd.
4. Herziening
Deze pagina wordt ten minste jaarlijks beoordeeld, en telkens wanneer er iets aan verandert. De datum bovenaan is die van de laatste beoordeling.