Beveiliging en hosting

De applicatie en de database draaien bij Hostinger, in een datacenter in Frankfurt, Duitsland. Alle persoonsgegevens in de applicatie worden daar opgeslagen en verwerkt, binnen de Europese Economische Ruimte. De registraties van je werknemers worden niet in de Verenigde Staten opgeslagen.

Het verkeer naar de website en de applicatie gaat rechtstreeks naar onze server, zonder proxy van een andere dienstverlener ertussen. Cloudflare is enkel onze DNS-provider: het zet de domeinnaam klox.be om naar die server, maar krijgt de inhoud van de dienst niet te zien. Dat staat ook zo in de verwerkersovereenkomst.

De website klox.be staat los van de applicatie. Op de website meten we bezoeken met Google Analytics, en Google kan die gegevens buiten de EU verwerken. Cookies voor die meting plaatst de website pas na je toestemming. Hoe dat werkt, staat in het privacybeleid. In de applicatie, waar de gegevens van je werknemers staan, zit geen Google Analytics.

Voor de gegevens van je werknemers ben jij als werkgever de verwerkingsverantwoordelijke en is Klox de verwerker. De verwerkersovereenkomst hoort standaard bij elk abonnement.

Elke organisatie is afgeschermd van de andere. De applicatie vraagt gegevens altijd op binnen de organisatie van de aangemelde gebruiker, en de database dwingt die scheiding daarnaast zelf af met Row-Level Security in PostgreSQL. Zo is de database een tweede slot, voor het geval er in de applicatie iets misgaat.

Binnen je organisatie bepaalt de rol wat iemand ziet en mag:

Wachtwoorden worden niet als tekst bewaard, alleen als hash met scrypt, een algoritme dat bewust veel rekenkracht vraagt om het raden duur te maken. Herhaalde aanmeldpogingen worden afgeremd. Al het verkeer tussen je browser en Klox loopt versleuteld over HTTPS.

Tweestapsverificatie is verplicht voor de back-office waarmee het Klox-team accounts en abonnementen beheert. Klantaccounts melden aan met e-mail en wachtwoord.

Een kiosk op de werkvloer weet zo weinig mogelijk. Hij bewaart geen PIN's en geen lijst van badges, en van een badge bewaart Klox enkel een cryptografische afgeleide, nooit de code zelf. Ook de PIN van een werknemer staat enkel als cryptografische afgeleide in de database, en na herhaalde foute pogingen volgt een tijdelijke blokkering. Elke kiosk heeft een eigen toesteltoken, die de werkgever in de webapp kan intrekken.

Een klokactie wordt nooit overschreven. Een fout herstel je met een correctie: een aparte regel met de nieuwe tijd, een verplichte reden, wie corrigeerde en wanneer. De originele tijd blijft bewaard en zichtbaar, voor de werkgever, de werknemer en in de export.

Dat is niet alleen een regel in de applicatie. De database weigert zelf elke wijziging aan registraties, correcties en de auditlog, en de applicatie kan ze niet wissen. De auditlog houdt bij wie wat deed en wanneer, ook wie een export maakte.

Hoe dat er in de praktijk uitziet, met een echte export uit een fictieve dataset, staat in het artikel over het inspectiedossier bij “Verder lezen” onderaan.

Klox bewaart registraties tijdens je abonnement standaard 60 maanden. Een algemene wettelijke bewaartermijn voor elke registratie bestaat niet: vijf jaar is vandaag de termijn bij onder meer glijdende uurroosters en afwijkingen bij deeltijdsen. De werkgever bepaalt welke termijn voor hem geldt; een andere termijn leggen we op verzoek vast. Na de bewaartermijn worden de persoonsgegevens verwijderd of onomkeerbaar geanonimiseerd. Technische beveiligingsgegevens, zoals IP-adressen bij aanmeldingen, verdwijnen na 90 dagen.

Van de database wordt elke dag een back-up gemaakt, die na hoogstens 30 dagen verdwijnt. Die wordt versleuteld voor ze weggeschreven wordt. De sleutel om ze te ontsleutelen staat niet op de server zelf. Lukt versleutelen niet, dan wordt er niets weggeschreven: een onversleutelde back-up bestaat niet.

Klox heeft geen ISO 27001-certificering en geen SOC 2-rapport. We noemen ons ook niet “gecertificeerd” of “goedgekeurd” voor de aangekondigde Belgische registratieplicht: de technische eisen daarvan liggen nog niet vast.^[1]

Wat we wel kunnen geven: de verwerkersovereenkomst, deze uitleg van de maatregelen, en antwoord op concrete vragen van jou of je boekhouder.

Denk je een beveiligingsprobleem in Klox of op klox.be gevonden te hebben? Mail het naar security@klox.be, in het Nederlands, Frans of Engels. Beschrijf wat je zag, waar, en hoe we het kunnen nagaan.

Wat we je vragen:

• Gebruik alleen je eigen account of een testaccount. Bekijk, wijzig of bewaar geen gegevens van anderen, en stop zodra je het probleem kunt aantonen.
• Geen aanvallen die de dienst verstoren, geen spam en geen social engineering van klanten of van ons.
• Maak het probleem niet openbaar voor we het samen opgelost hebben of een redelijke termijn afgesproken is.

Wat wij doen: we streven ernaar je melding binnen twee werkdagen te bevestigen, we houden je op de hoogte van wat we ermee doen, en we laten weten wanneer het opgelost is. Wie te goeder trouw en volgens deze afspraken meldt, zullen we daar niet juridisch voor aanspreken. Wil je bij naam vermeld worden als melder, zeg het ons.

Klox heeft geen bug bounty: we betalen geen vergoeding voor meldingen. Dezelfde contactgegevens staan in een machineleesbaar bestand op klox.be/.well-known/security.txt.