Wij nemen beveiliging serieus. Niet als marketingzin — als ontwerpkeuze. Geen Amerikaanse cloud, geen onnodige derden, alles versleuteld op onze eigen schijf in een ISO 27001-gecertificeerd datacenter in Groningen. Hieronder hoe.
Op onze eigen servers.
Onze opslag staat niet op Google, niet op Microsoft, niet op AWS — en zeker niet op een Amerikaanse cloud.
Alle data van flocks — berichten, agenda’s, taken, dashboards, lijstjes, bestanden — staat op hardware die wij zelf beheren. Geen tussenpartij die meeleest, geen platformeigenaar die op de knop ‘export alles’ kan drukken.
Onze hardware staat in NorthC Datacenters Groningen, aan de Liverpoolweg in Westpoort. Tier 3-standaard, 100% groene stroom en als de stroom uitvalt schakelen ze over op brandstofcellen op groene waterstof — de eerste in Europa.
Wat we opslaan blijft hier. Voor een paar dingen die je telefoon of de inlog technisch nodig heeft — push-meldingen, een bevestigings-SMS, en alleen als jij daar zelf voor kiest: een foto die je bij de assistent uploadt — gaat er minimale data via een externe schakel naar buiten. Die uitzonderingen staan hieronder in sectie 04.
ISO-gecertificeerd onderdak.
Het pand is door auditors doorgelicht, niet door ons zelf op LinkedIn geëvalueerd.
NorthC Groningen is gecertificeerd op:
- ISO 27001 — informatiebeveiliging.
- ISO 22301 — continuïteit van de dienstverlening.
- ISO 9001 — kwaliteitsmanagement.
- ISO 14001 — milieumanagement.
- SOC 2 Type II en ISAE 3402 — auditverklaringen voor servicegerichte controles.
- PCI DSS en DIN EN 50600 — specifiek voor betaaldata-verwerking en datacenter-infrastructuur.
Bekijk de volledige lijst op de certificeringspagina van NorthC. Wij geloven in één keer goed regelen en daarna gewoon werken.
Versleuteld onderweg.
Iedere verbinding tussen jouw toestel en onze server is versleuteld — wat daarna op onze hardware staat, is afgeschermd via toegangscontrole en het beveiligde pand in Groningen.
Alle verbindingen tussen je telefoon of browser en onze server lopen over HTTPS met TLS 1.3. Login-sessies zijn HttpOnly-cookies die alleen via HTTPS worden meegezonden, en we kunnen ze op elk moment intrekken. Je kunt jezelf op elk moment overal uitloggen.
Op onze hardware werken we met strikt beperkte rechten per onderdeel: alleen mensen en processen die iets nodig hebben om hun werk te doen, kunnen erbij. Het pand er omheen is door auditors doorgelicht — zie sectie 02.
Wij doen niet aan ‘security through obscurity’. Wij doen aan ‘data is alleen leesbaar voor wie het mag zien’.
Geen onnodige derde partijen.
Wij verkopen geen data. Wij trainen geen externe AI op jouw flock. Voor een paar technisch onvermijdelijke schakels nemen we een omweg buiten ons rek — per geval beperkt tot het strikt nodige.
De assistent — standaard volledig in eigen huis. De assistent draait standaard op het Franse Mistral-model, op onze eigen hardware in Groningen. Wat je tegen de assistent zegt, blijft binnen ons rek — tenzij jij er zelf voor kiest om bij een vraag een foto te uploaden voor analyse. In dat ene geval sturen we precies die ene foto eenmalig naar een vision-model dat ons helpt het beeld te begrijpen. Geen training, geen tweede doel, alleen die ene foto die jij zelf hebt geüpload — en alleen voor het beantwoorden van jouw vraag.
Push-meldingen — via je telefoonfabrikant. Push op Android en iOS werkt alleen omdat je toestel naar een centrale push-service luistert: Google Firebase Cloud Messaging op Android, Apple op iOS. Wanneer je een nieuwe melding krijgt, sturen we de minimale tekst die nodig is om de melding op je scherm te tonen — afzender-naam en een korte voorzin — via die service naar je apparaat. Die hop kan technisch via een server buiten Nederland verlopen; meer dan dat ene melding-snippet gaat er nooit doorheen. Wil je dat liever niet, dan kun je push uitzetten in de app of in je telefooninstellingen — je berichten blijven gewoon zichtbaar wanneer je flocks opent.
Inloggen met SMS — eenmalig moment. Voor de SMS-code bij het inloggen gebruiken we Google Firebase Phone Auth: je telefoonnummer wordt op dat moment door Google verwerkt om de bevestigings-SMS te versturen. Een SMS-bevestiging kan via een server buiten Nederland worden afgehandeld voordat hij bij jouw provider aankomt. Dit gebeurt alleen op het moment van inloggen — daarna gaat alles weer over onze eigen verbinding.
NorthC — de muren om onze hardware. De enige ‘derde partij’ die in de buurt van onze hardware komt is NorthC zelf — voor de fysieke veiligheid van het pand, de stroom en de koeling. Bij de data zelf komen ze niet.
Wij gebruiken jouw data niet om externe AI-modellen mee te trainen. Wij verkopen het niet. Wij doorzoeken het niet voor advertenties.
Wij blijven kritisch.
Geen enkel systeem is ‘100% veilig’. Wie dat claimt, kun je beter niet vertrouwen.
Wat wij wel doen:
- Software actueel houden — updates en patches lopen door, niet alleen als er iets misgaat.
- Zo min mogelijk afhankelijkheden van derden — minder partijen, minder oppervlak, minder verrassingen.
- Authenticatie op alles wat geen openbare pagina is — standaard op slot, vrijgeven alleen waar het nodig is.
- Bij elke nieuwe feature opnieuw kijken: kan dit misbruikt worden, en zo ja, hoe.
Wat wij niet doen: pretenderen dat het een onneembare vesting is. Wij ontwerpen alsof de buitenste laag ooit doorbroken kan worden — vandaar de gelaagde aanpak hierboven en de beperkte toegang die alleen waar nodig wordt verleend.
Vragen over een specifiek punt? Stuur ons een mailtje. Je houdt regie: je kunt je account op elk moment laten verwijderen — één e-mail naar privacy@flocks.nl volstaat. Voor het volledige verhaal over verwerking van persoonsgegevens: privacy.
Klaar om je flock veilig op te zetten?
Maak een account aan en begin. Alles wat je in flocks zet, blijft in Groningen.