Beveiliging bij Reqlio

Laatst bijgewerkt op 24 september 2026 · geldt voor de applicatie op <klant>.reqlio.eu

Reqlio bevat de eisen, het verificatiebewijs en de reviewhistorie van engineeringteams. Op deze pagina staat in gewone taal waar die gegevens staan, wie erbij kan, wat de EU verlaat en waarom, wat er gebeurt als er iets misgaat, en wat we nog niet hebben gedaan. De vragenlijst onderaan is vooraf ingevuld, zodat je beveiligingsreview kan beginnen met antwoorden in plaats van met een leeg formulier.

Op deze pagina

1. Architectuur en tenantscheiding
2. Hosting en fysieke beveiliging
3. Versleuteling
4. Gegevenslocatie en subverwerkers
5. AI: wat er wordt verstuurd, waarheen, en hoe je het uitzet
6. Authenticatie en toegangsbeheer
7. Veilige ontwikkeling en wijzigingsbeheer
8. Kwetsbaarheidsbeheer en het melden van kwetsbaarheden
9. Logging en monitoring
10. Back-ups, herstel en continuïteit
11. Incidentrespons
12. AVG en de verwerkersovereenkomst
13. Mensen en organisatie
14. Vragenlijst (vooraf ingevuld)

1. Architectuur en tenantscheiding

Reqlio is een single-page webapplicatie die met één API communiceert, met PostgreSQL als database. Elke klant krijgt een eigen subdomein (jouwbedrijf.reqlio.eu) en een eigen PostgreSQL-database. Er zijn geen gedeelde inhoudstabellen en er is geen tenant-id-kolom waarlangs gegevens naar een andere klant kunnen lekken als ergens een WHERE-clausule ontbreekt; een query kan fysiek niet bij de gegevens van een andere klant, omdat hij met een andere database verbonden is.

• De tenant wordt bij elk verzoek bepaald aan de hand van de hostnaam. Een onbekende hostnaam krijgt een 404, nooit een standaardtenant.
• Elk sessietoken bevat de tenant waarvoor het is uitgegeven, en de gebruiker wordt opgezocht in de database van die tenant. Een token van de ene tenant is bij een andere waardeloos.
• Elke tenant heeft een eigen connectiepool. Er wordt niets over tenants heen gecachet.
• Het leveranciersportaal (Business-abonnement) geeft externe partijen toegang tot precies de specificaties die een klant vrijgeeft, afgebakend per partij; de scheiding tussen partijen maakte deel uit van de review vanuit aanvallersperspectief van september 2026.

Web, API en database draaien als aparte containers op één virtuele server, achter een reverse proxy die TLS afhandelt. Er is geen content delivery network en geen edge-cache: een verzoek vanuit je browser gaat naar Frankfurt en terug.

2. Hosting en fysieke beveiliging

Productie draait op virtuele servers die worden beheerd door creoline GmbH, Bergstraße 9a, 48341 Altenberge, Duitsland, door TÜV SÜD gecertificeerd volgens ISO/IEC 27001:2022 (registratienummer 12 310 69090 TMS, geldig tot maart 2028) voor de exploitatie en het onderhoud van virtuele servers en infrastructuur. De hardware staat in het FRA4-datacenter van firstcolo GmbH, Kruppstraße 105, Frankfurt am Main. Dat datacenter is gecertificeerd volgens ISO/IEC 27001:2022 met de exploitatie van het datacenter binnen de scope (TÜV Rheinland, registratienummer 01 153 1700043, geldig tot februari 2028) en is een door TÜV gecertificeerd datacenter van niveau 3 volgens DIN EN 50600 (TÜV Saarland, geldig tot februari 2027).

firstcolo levert het gebouw, de stroom, de koeling en de fysieke toegangsbeveiliging. Het heeft geen logische toegang tot de servers of de gegevens daarop en is daarom geen subverwerker. Het certificaat en de verwerkersovereenkomst van creoline zijn op verzoek beschikbaar, of te vinden op de eigen certificeringspagina van creoline.

Staging en de analyticsserver draaien bij dezelfde provider. De buildserver, de broncoderepository en de codekwaliteitsscanner worden zelf gehost bij dezelfde provider, op een apart beheernetwerk dat alleen via VPN bereikbaar is.

3. Versleuteling

4. Gegevenslocatie en subverwerkers

Alle klantgegevens worden in Duitsland opgeslagen. Eén ding verlaat de EU, en dat is optioneel: AI-verzoeken. Deze tabel is de maatgevende lijst van subverwerkers waarnaar onze verwerkersovereenkomst verwijst; we kondigen een toevoeging 30 dagen van tevoren aan.

Voor de duidelijkheid, geen subverwerkers: firstcolo GmbH (alleen de fysieke faciliteit, geen toegang tot gegevens); Plausible (zelf gehost op onze eigen server, zonder cookies, geaggregeerde paginatellingen onder één label voor de hele applicatie, nooit per klant); Slack (alleen als jij een werkruimte koppelt; dan gaan meldingen in jouw opdracht naar jouw werkruimte); e-mail, die vanaf onze eigen mailserver via de relay van creoline wordt verstuurd.

5. AI: wat er wordt verstuurd, waarheen, en hoe je het uitzet

AI is onderdeel van het product: kwaliteitsbeoordeling aan de hand van een beoordelingsschema in INCOSE-stijl, herschrijfsuggesties, decompositie, scans op conflicten en glossariumtermen, suggesties voor verificatie en risico's, toelichtingen bij traceerketens en een projectchat. Al deze functies lopen via één codepad met de volgende eigenschappen.

• Wat er wordt verstuurd. De eistekst en de context die de functie nodig heeft (naburige eisen, glossariumtermen, het regelprofiel). Nooit bijlagen, nooit accountgegevens, nooit gegevens van andere klanten.
• Waar het naartoe gaat. Standaard naar de API van Anthropic in de Verenigde Staten, of naar de Gemini-API van Google als de admin van het project daarvoor kiest. Er is op dit moment geen model-endpoint dat alleen in de EU draait; een optie voor een eigen endpoint (jouw sleutel, jouw regio) is gepland voor het Business-abonnement.
• Wat de provider bewaart. Geen van beide providers traint op API-verkeer. Anthropic bewaart prompts maximaal 30 dagen voor misbruikmonitoring en biedt op verzoek zero data retention (geen opslag); de betaalde versie van Google bewaart maximaal 55 dagen. Beide zijn voorwaarden van de commerciële API's, niet van de consumentenproducten.
• Hoe je het uitzet. Elk project heeft een AI-schakelaar. Staat die uit, dan weigert de API elke AI-route voordat er contact met een model is. Een organisatie kan de module met AI-tools ook voor al haar gebruikers verbergen, en de dagelijkse kwaliteitscontrole op de achtergrond draait alleen voor projecten die daar zelf voor kiezen.
• Wat we loggen. Per aanroep: provider, model, functie, aantal tokens, project en gebruikers-id, voor de verbruiksmeter en het maandelijkse tegoed. Niet de prompt, niet het antwoord.
• Wat het model kan wijzigen. Niets op eigen houtje. Een voorgestelde herformulering wordt pas een eis als een gebruiker die toepast, en dat gaat via het gewone bewerkingspad met historie. Zo is het te reviewen en terug te draaien, net als elke andere wijziging.

Met de MCP-server (early access) kan een agent zoals Claude in je project werken binnen hetzelfde rechtenmodel als een gebruiker: hij authenticeert met OAuth 2.1 en PKCE, stopt bij een expliciet toestemmingsscherm en gebruikt een persoonlijk toegangstoken dat je op elk moment kunt intrekken.

6. Authenticatie en toegangsbeheer

7. Veilige ontwikkeling en wijzigingsbeheer

• Elke wijziging bereikt productie via één pipeline en via niets anders: build, lint, de volledige backend-testsuite tegen een echte database, de typecheck en unittests van de frontend, een dependency-audit, statische analyse met een security quality gate, en een end-to-end-suite die het hoofdpad (project aanmaken, ReqIF importeren, beoordelen, linken, baseline, review, goedkeuren, exporteren) in een browser doorloopt. Een rode gate blokkeert de deploy.
• Wijzigingen gaan eerst vanuit de ontwikkelbranch naar een stagingomgeving die alleen via VPN bereikbaar is, en vanuit de main-branch naar productie.
• Databasemigraties zijn handgeschreven SQL, geversioneerd in de repository en toegepast door de deployjob voordat de nieuwe API start; een mislukte migratie stopt de release.
• De applicatie zet de gangbare hardening-headers voor browsers, gebruikt overal geparametriseerde queries, valideert input met schema's aan de grens van de API en saneert elke plek waar rich text wordt gerenderd. Spreadsheetexports neutraliseren formule-injectie.
• Code van derden die de browser laadt: geen. Lettertypen, scripts en stylesheets worden vanaf ons eigen origin geserveerd, afgedwongen door een content security policy op de website.

8. Kwetsbaarheidsbeheer en het melden van kwetsbaarheden

• Afhankelijkheden. De pipeline faalt bij elk security advisory met ernst hoog of kritiek in productieafhankelijkheden, bij elke run. Een wekelijkse geplande job rapporteert alle advisories en verouderde packages, ontwikkeltools inbegrepen, zodat drift binnen zeven dagen zichtbaar wordt.
• Statische analyse. SonarQube met een security quality gate waarop deploys naar productie wachten.
• Reviews. In september 2026 is het authenticatieoppervlak (sessies, MFA, tenantscheiding, SSO, de OAuth-provider, het leveranciersportaal) onderworpen aan een gestructureerde review vanuit aanvallersperspectief; elke bevinding met ernst kritiek, hoog of gemiddeld is binnen twee dagen opgelost en uitgerold. Een samenvatting is op verzoek beschikbaar.
• Externe test. Nog niet. Een handmatige penetratietest door een bij naam genoemd bedrijf uit de EU, met een attestverklaring en een hertest, staat gepland voor het eerste kwartaal van 2027, voordat de prijzenpagina opengaat voor selfservice-aanmeldingen. De verklaring wordt hier gelinkt.
• Een kwetsbaarheid melden. Schrijf naar security@reqlio.eu. We bevestigen de ontvangst binnen twee werkdagen, houden je op de hoogte en ondernemen geen stappen tegen onderzoek te goeder trouw dat binnen je eigen testgegevens blijft en de dienst niet verstoort. Details staan in onze security.txt.

9. Logging en monitoring

10. Back-ups, herstel en continuïteit

Waarvan een back-up wordt gemaakt. Elke tenantdatabase, elke nacht om 02:00 UTC, als gecomprimeerde PostgreSQL-dump. Nieuwe tenants worden automatisch meegenomen. De bewaring op de host is gelaagd: 7 dagelijkse, 4 wekelijkse (zondag) en 6 maandelijkse kopieën. Om 02:30 worden de dumps, alle bijlagen, de databaserollen en de configuratie die nodig is om de dienst opnieuw op te bouwen, samen klaargezet in één export.

Off-site kopie. Elke nacht om 03:30 haalt een machine buiten de infrastructuur van de hostingprovider die export op via VPN en SSH. Het ophalen werkt maar in één richting: de back-upmachine heeft een alleen-lezen sleutel die is vastgepind op haar eigen VPN-adres, en de productieserver kan de back-upmachine helemaal niet bereiken, dus een gecompromitteerde server kan de kopieën niet wijzigen of verwijderen. De hostingprovider bewaart daarnaast zeven dagen lang dagelijkse images van de volledige server.

Herstel wordt getest, niet verondersteld. Een gescripte oefening zet een productiedump terug in een wegwerpdatabase op de staginghost en controleert het aantal rijen, de laatste baseline en de laatste review. Laatst uitgevoerd op 9 september 2026: dump van 3,6 MB, 94 tabellen, 583 eisen, herstel in 14 seconden van begin tot eind. De oefening wordt elk kwartaal herhaald en na elke wijziging aan het back-upscript of de databaseversie; het logboek wordt in de repository bewaard.

Herstelmodel. Productie is één virtuele server in één faciliteit; er is geen live replica. Herstel na uitval van de host betekent de laatste nachtelijke dump terugzetten op een nieuwe server. Het realistische venster voor gegevensverlies is dus maximaal 24 uur en de hersteltijd een paar uur. We zeggen dit ronduit, omdat een vragenlijst ernaar zal vragen en omdat de abonnementen in deze prijsklasse geen database op meerdere locaties omvatten.

Continuïteit, op papier. Reqlio wordt gebouwd en beheerd door een klein bedrijf. Het volgende zijn toezeggingen, en ze staan in de verwerkersovereenkomst:

• Exports in ReqIF, XLSX en CSV zijn in elk abonnement en op elk moment beschikbaar, ook tijdens de proefperiode en na opzegging. Geen enkele export zit achter een betaalmuur.
• Na opzegging houd je twaalf maanden lang alleen-lezen toegang tot je werkruimte, met exports. Na een proefperiode die niet wordt omgezet in een abonnement, is de werkruimte 60 dagen lang alleen-lezen, niet verwijderd.
• Bij Enterprise is escrow van de broncode beschikbaar.
• Aan het einde van de alleen-lezenperiode, of eerder op verzoek, wordt je database verwijderd, en binnen zes maanden verdwijnt die ook uit de back-uplagen.

11. Incidentrespons

• Fouten en storingen komen aan het licht via monitoring en de beschikbaarheidsprobe, niet via meldingen van klanten, en de operator handelt ze zelf af; er zit geen wachtrij tussen jou en de persoon die het kan oplossen.
• Als we een datalek (inbreuk in verband met persoonsgegevens) bevestigen dat jouw gegevens raakt, informeren we je aangewezen contactpersoon binnen 24 uur na die bevestiging: wat we weten, wat er getroffen is, wat we hebben gedaan en wat we adviseren. Verandert het beeld, dan sturen we een update. Dit is de verplichting van de verwerker op grond van artikel 33, lid 2, AVG; 24 uur is ons vastgelegde maximum, in plaats van een niet nader ingevuld “zonder onredelijke vertraging”.
• Verdachte authenticatieactiviteit is voor je eigen admins zichtbaar in het beveiligingslogboek, zonder dat ze op ons hoeven te wachten: mislukte aanmeldingen, mislukte MFA-pogingen, hergebruik van tokens en rolwijzigingen worden vastgelegd op het moment dat ze plaatsvinden.
• Getroffen klanten ontvangen na het incident een samenvatting met oorzaak, tijdlijn en corrigerende maatregelen.

12. AVG en de verwerkersovereenkomst

Voor de gegevens die je in Reqlio zet, ben jij de verwerkingsverantwoordelijke en zijn wij de verwerker. We sluiten met elke klant een verwerkersovereenkomst op grond van artikel 28 AVG, in het Engels (in het Duits heet dit een AVV; de voorwaarden zijn dezelfde). Die is gebaseerd op de standaardcontractbepalingen voor artikel 28 die de Europese Commissie zelf heeft vastgesteld, ongewijzigd overgenomen, met onze aanvullende toezeggingen daarbovenop. De overeenkomst bevat:

• het onderwerp, de duur, de aard en het doel van de verwerking, en de categorieën persoonsgegevens en betrokkenen (bijlage II);
• de technische en organisatorische maatregelen volgens artikel 32, dat wil zeggen de concrete maatregelen die op deze pagina worden beschreven (bijlage III);
• de lijst van subverwerkers in §4, met een aankondigingstermijn van 30 dagen voor wijzigingen en een recht van bezwaar (bijlage IV);
• het doorgiftemechanisme voor de AI-providers: de EU-standaardcontractbepalingen, en het EU–US Data Privacy Framework waar de provider gecertificeerd is, plus het feit dat AI per project optioneel is en volledig kan worden uitgeschakeld;
• melding van datalekken binnen 24 uur, ondersteuning bij verzoeken van betrokkenen en bij gegevensbeschermings­effectbeoordelingen (DPIA's), auditrechten, en verwijdering of teruggave aan het einde van het contract.

Vraag de actuele versie, de TOM's en de verwerkersovereenkomst en het certificaat van creoline zelf op via info@reqlio.eu. De privacyverklaring voor deze website, waarvoor wij de verwerkingsverantwoordelijke zijn, is een apart document: privacy.html.

13. Mensen en organisatie

Reqlio wordt ontwikkeld en beheerd door Holtstiege Consulting, Amsterdam. Eén persoon heeft toegang tot productie. Eén enkele operator is een reële vraag in een vragenlijst, dus hier is het eerlijke antwoord en wat daar tegenover staat:

• Geen enkele wijziging bereikt productie zonder de geautomatiseerde gates in §7 te passeren; de operator deployt niet met de hand, alleen via de pipeline, en elke deploy is aan een commit gekoppeld.
• Toegang tot productie verloopt via VPN met een persoonlijke sleutel; SSH-sessies en commando's met verhoogde rechten worden op de host gelogd.
• Runtime-secrets worden versleuteld gespiegeld, zodat een opvolger de dienst opnieuw kan opbouwen uit de repository, de secrets-spiegel en een back-up, en precies die heropbouw wordt geoefend in de hersteloefening.
• De continuïteitsvoorwaarden in §10 bestaan juist voor het geval dat het bedrijf er niet meer is.

Er is geen functionaris gegevensbescherming (FG) aangesteld, en dat is ook niet verplicht (artikel 37 AVG). Onze toezichthoudende autoriteit is de Autoriteit Persoonsgegevens.

14. Vragenlijst

Vooraf ingevulde antwoorden op de vragen die beveiligingsreviews meestal stellen, gegroepeerd zoals de CAIQ-Lite van de Cloud Security Alliance ze groepeert. Vraagt jouw sjabloon iets wat hier niet staat, stuur het dan op; we beantwoorden vragenlijsten als onderdeel van het verkoopproces, niet als betaalde extra dienst.

Applicatie- en interfacebeveiliging

Bedrijfscontinuïteit en weerbaarheid

Wijzigingsbeheer

Gegevensbeveiliging en privacy

Versleuteling en sleutelbeheer

Governance en compliance

Personeel

Identiteits- en toegangsbeheer

Infrastructuur en virtualisatie

Logging en monitoring

Beheer van beveiligingsincidenten

Toeleveringsketen en subverwerkers

Dreigings- en kwetsbaarheidsbeheer

Vragen over iets op deze pagina: info@reqlio.eu. Meldingen van kwetsbaarheden: security@reqlio.eu.