Beveiliging & compliance
Beveiliging is een eigenschap van hoe een systeem wordt gebouwd en beheerd.
Protocore bouwt de softwarelaag voor betalingen, AI en blockchainsystemen. Deze pagina legt helder uit hoe we met data omgaan, hoe de software wordt beheerd en waar de gereguleerde grens ligt — geen keurmerken om mee te zwaaien, maar de werkwijze waarmee we bouwen.
Data & privacy
We verzamelen wat een flow nodig heeft, en niet meer.
De systemen die we bouwen zijn ontworpen vanuit dataminimalisatie: elke flow legt alleen de velden vast die nodig zijn voor de taak en bewaart ze niet langer dan nodig. Waar we hosten, doen we dat in de EU — productie draait in AWS eu-central-1, Frankfurt — en we bouwen in lijn met GDPR-principes: een rechtmatige grondslag voor wat er wordt verwerkt, het honoreren van verzoeken tot inzage en verwijdering, en persoonsgegevens standaard buiten logs en analytics houden.
- 01Dataminimalisatie als standaard
- 02Hosting in de EU — AWS eu-central-1 (Frankfurt)
- 03Verwerking in lijn met GDPR: rechtmatige grondslag, inzage, verwijdering
- 04Persoonsgegevens buiten logs en analytics
Hoe het wordt beheerd
Toegang met minimale rechten, en geprivilegieerde acties die een reden vereisen.
De software die we opleveren is vanaf de eerste commit voorzien van instrumentatie — logs, metrics en traces — zodat wat er in productie gebeurt zichtbaar is in plaats van afgeleid. Toegang volgt het principe van least privilege: elke actor, mens of service, krijgt de smalste permissie waarmee het zijn werk kan doen. Gevoelige beheeracties vragen om een reden voordat ze worden uitgevoerd en laten een audittrail na van wie wat deed, wanneer en waarom. Dit is het model achter Protocore Center, onze operatorconsole — dezelfde werkwijze die we in elk systeem inbouwen.
- 01Standaard geïnstrumenteerd — logs, metrics, traces
- 02Least privilege voor elke actor, mens of service
- 03Geprivilegieerde acties alleen met opgegeven reden
- 04Een audittrail van wie wat deed, wanneer en waarom
Scheiding van verantwoordelijkheden
Wij bouwen de software. De gereguleerde grens blijft bij de vergunning.
Een betaalproduct bestaat uit twee samengesmolten delen: de gereguleerde toestemming om geld te beheren of te verplaatsen, en de software die dat aanstuurt, afstemt en toont. Protocore bouwt de software. De gereguleerde activiteit — tegoeden beheren, rekeningen uitgeven, geld verplaatsen — ligt bij de eigen vergunning van de operator of bij een gelicentieerde partner: een bank, een EMI of een betaalinstelling. We bouwen de flows passend op de gereguleerde infrastructuur die jij meebrengt; wij zijn geen vervanging voor die vergunning, en dat is geen enkele software.
- 01Protocore bouwt de software, niet de vergunning
- 02Gereguleerde activiteit ligt bij de operator of een gelicentieerde partner
- 03Kaartgegevens worden zo verwerkt dat ze nooit je servers raken
- 04Strong customer authentication ingebouwd in de betaalflow
Werkwijze
De gewoonten achter een systeem dat je kunt vertrouwen.
Concrete werkwijzen die we inbouwen — beschreven als mechanismen, niet als keurmerken.
Kaartgegevens buiten je servers
Kaartgegevens worden afgehandeld door de betaalrail en getokeniseerd, zodat ruwe kaartnummers nooit de eigen infrastructuur van de operator bereiken.
Strong customer authentication
SCA is ingebouwd in betaal- en inlogflows — een tweede factor waar de rail of het risico daarom vraagt, niet achteraf toegevoegd.
Versleuteld tijdens transport
Verkeer loopt end-to-end via TLS; secrets en inloggegevens staan in beheerde stores en instance roles, nooit in de broncode.
Geïsoleerd per tenant
Waar één systeem meerdere operators bedient, wordt de data van elke tenant via toegangscontrole gescheiden, zodat een tenant nooit die van een ander kan inzien.
Responsible disclosure
Iets gevonden? Laat het ons weten.
Denk je een beveiligingsprobleem te hebben gevonden in een Protocore-systeem? Mail ons, dan pakken we het samen met je op. We streven ernaar meldingen snel te bevestigen, je op de hoogte te houden tijdens het oplossen en je desgewenst te vermelden zodra het is verholpen. Geef ons een redelijke termijn om het te herstellen voordat je het openbaar maakt, en raadpleeg of wijzig tijdens het testen geen data die niet van jou is.
Mail security@protocore.io met wat je hebt gevonden en hoe we het kunnen reproduceren.
We bevestigen de ontvangst en beginnen met onderzoeken, meestal binnen een paar werkdagen.
We herstellen het probleem en houden je op de hoogte van de voortgang tot het is opgelost.
Met jouw toestemming vermelden we je zodra het probleem is verholpen.
Vragen
Beveiligingsvragen die we het vaakst krijgen.
We beschrijven onze beveiliging als werkwijze, niet als keurmerken. Protocore bouwt de softwarelaag; waar een gereguleerd schema van toepassing is — bijvoorbeeld bij kaartverwerking — ligt de gecertificeerde scope bij de betaalrail of de gelicentieerde partner van de operator, en we bouwen zo dat kaartgegevens nooit je servers raken. Is een specifieke attestatie belangrijk voor jouw programma, laat het ons weten, dan brengen we in kaart wie wat in handen heeft.
In de EU. Productie draait in AWS eu-central-1 (Frankfurt). We bouwen in lijn met GDPR-principes — dataminimalisatie, een rechtmatige grondslag voor verwerking en het honoreren van verzoeken tot inzage en verwijdering.
De vergunning. Protocore bouwt de software die geldstromen aanstuurt en afstemt; het beheren of verplaatsen van tegoeden ligt bij je eigen vergunning of bij een gelicentieerde partner — een bank, EMI of betaalinstelling. Geen enkele software vervangt die toestemming.
Least privilege voor elke actor, en geprivilegieerde acties die een reden vereisen en een audittrail achterlaten. Alles is geïnstrumenteerd, zodat wie wat deed vaststaat in plaats van achteraf gereconstrueerd te moeten worden.
Mail security@protocore.io. We bevestigen snel, houden je op de hoogte tijdens het oplossen en vermelden je desgewenst zodra het is verholpen.
Een beveiligingsvraag die we niet hebben behandeld?
Vertel ons wat je wilt zien. We antwoorden concreet — architectuur, dataflows en wie welke grens bewaakt.