Security & Compliance

Laatst bijgewerkt: 16 oktober 2026

Deze pagina geeft een overzicht van hoe IOMANI omgaat met beveiliging en gegevensbescherming. Ons uitgangspunt: verwerk alleen wat nodig is, wees transparant over waar data staat, en maak het makkelijk voor onze klanten om zelf te beoordelen of dat past bij hun eigen beleid.

Hosting & dataresidentie

Onze database staat in de EU, in Parijs. Onze server draait in de EU, in Nederland, en onze foutregistratie in Duitsland. Een deel van onze leveranciers is Amerikaans. Daarvoor gelden passende waarborgen: de EU-standaardcontractbepalingen en/of het EU-US Data Privacy Framework. Onze AI-leverancier verwerkt vandaag uitsluitend openbare wetteksten, geen persoonsgegevens van gebruikers; zodra dat verandert (bijvoorbeeld voor een toekomstige functie) werken we dat hier en op onze sub-verwerkers-pagina bij vóórdat die functie live gaat.

De volledige, actuele lijst van sub-verwerkers, inclusief locatie en juridisch mechanisme per partij, staat op onze sub-verwerkers-pagina.

Certificeringen

IOMANI heeft op dit moment geen SOC 2- of ISO 27001-certificering. Wij zijn eerlijk hierover: dat traject is nog niet gestart. Wat we wel doen, zoals AVG-conforme verwerking, dataminimalisatie en de waarborgen hierboven, is voor ons de basis, niet het eindpunt. Vraag gerust naar onze actuele beveiligingsmaatregelen als dat onderdeel is van jullie leveranciersbeoordeling.

Dataminimalisatie

We verzamelen alleen de gegevens die nodig zijn om regelingen en toeslagen te kunnen berekenen. Gegevens die niet langer nodig zijn voor het functioneren van de dienst, worden actief opgeruimd: dit is een doorlopend, intern proces, geen eenmalige actie.

Toegang & accountbeveiliging

Toegang tot een organisatie-omgeving is beperkt tot expliciet uitgenodigde leden, met rolgebaseerde rechten (owner, admin, billing admin, member). Beheerdersacties, zoals het uitnodigen of deactiveren van leden, worden vastgelegd in een intern activiteitenlog. Individuele gebruikers kunnen tweefactorauthenticatie (TOTP) inschakelen op hun account. Een organisatiebrede 2FA-verplichting of single sign-on (SSO) bieden we nog niet aan. Heeft jouw organisatie dat als eis? Neem contact op: we horen graag wat er nodig is.

Meldplicht bij datalekken

Mocht er onverhoopt sprake zijn van een datalek dat gegevens van jouw organisatie raakt, dan informeren wij je als verwerker onverwijld, conform art. 33 lid 3 AVG. Als verwerkingsverantwoordelijke ben je vervolgens zelf verantwoordelijk voor een eventuele melding aan betrokkenen onder art. 34 AVG. Die stap nemen wij niet namens je over.

Verwerkersovereenkomst (DPA)

Wil je een verwerkersovereenkomst afsluiten voor jouw organisatie? Mail naar privacy@iomani.com, dan nemen we contact op om dit te regelen.

Kwetsbaarheid gevonden?

Meld het via ons responsible disclosure-beleid. We nemen elke melding serieus.

Vragen?

Neem contact op via privacy@iomani.com voor vragen over beveiliging, compliance of een leveranciersbeoordeling.