Beveiliging en vertrouwen

1. Jouw data en AI-monitoring

Om te meten hoe AI je merk ziet, stuurt Veesie jouw prompts (vragen over je merk, je sector en je concurrenten) naar AI-providers zoals OpenAI, Anthropic, Google en Perplexity. Hun antwoorden bewaart Veesie in een database in de EU.

• De prompts gaan over merken en thema's, niet over personen. Ze bevatten normaal geen persoonsgegevens.
• De antwoorden, scores en analyses die hieruit volgen worden opgeslagen in de EU.
• Veesie gebruikt jouw data nooit om modellen te trainen of voor advertenties.

2. Versleuteling

Onderweg (in transit)

Al het verkeer naar veesie.com loopt over HTTPS. Veesie stuurt een Strict-Transport-Security-header (HSTS) met een looptijd van twee jaar, zodat browsers na het eerste bezoek nooit meer onversleuteld verbinden.

In rust (at rest)

Gevoelige velden in de database van Veesie, zoals je Google Analytics access- en refresh-tokens en eventuele webhook-URLs, worden versleuteld met AES-256-GCM (authenticated encryption). Wordt er met de versleutelde data geknoeid, dan faalt het ontsleutelen automatisch. De sleutel wordt apart van de database bewaard als Cloudflare Worker-secret.

3. De Google Analytics-koppeling

Je kunt je Google Analytics 4 aan Veesie koppelen om verkeersdata naast je AI-zichtbaarheid te zien. Die koppeling is bewust minimaal opgezet:

• Read-only: Veesie vraagt voor Analytics enkel de scope analytics.readonly, plus openid en email om te tonen met welk Google-account je koppelde. Veesie kan je Analytics dus lezen, nooit wijzigen, verwijderen of delen.
• Beschermd tegen CSRF: de OAuth-flow gebruikt een HMAC-ondertekende state die aan jouw sessie gebonden is en na tien minuten vervalt. Niemand kan de koppeling namens jou forceren.
• Versleuteld: de tokens die Google teruggeeft, worden versleuteld opgeslagen (zie Versleuteling).
• Ontkoppelbaar: je trekt de toegang op elk moment in, zowel in Veesie als rechtstreeks in je Google-account.

4. Toegang en authenticatie

• Inloggen verloopt via Supabase Auth. Wachtwoorden worden gehasht opgeslagen, nooit in leesbare vorm.
• Aanmeld-, inlog- en wachtwoordherstelpagina's zijn beschermd tegen bots met Cloudflare Turnstile. Het contactformulier gebruikt een verborgen veld (honeypot) en een beperking per IP-adres.
• Interne beheeromgevingen draaien achter Cloudflare Zero Trust Access en zijn niet publiek bereikbaar. De directe workers.dev-URL is uitgeschakeld, zodat die beveiliging niet te omzeilen valt.

5. Infrastructuur en isolatie

• Hosting: de applicatie draait op Cloudflare Workers, op het wereldwijde edge-netwerk van Cloudflare.
• Database: een PostgreSQL-database bij Supabase in Frankfurt (EU).
• Multi-tenant isolatie: elke organisatie ziet uitsluitend de eigen data. Row Level Security staat op alle tabellen aan en beperkt directe toegang via de database-API tot de eigen gegevens. De applicatie zelf werkt met een beheerrol die RLS omzeilt; daar zorgen eigenaarschapscontroles in elke server-actie voor de scheiding.
• Cloudflare en Supabase zijn beide gecertificeerd volgens internationale standaarden (waaronder SOC 2 en ISO 27001) voor hun infrastructuur.

6. Applicatiebeveiliging

Veesie wordt doorlopend intern op beveiliging gecontroleerd. De codebase doorliep meerdere interne security-reviews tegen de OWASP-richtlijnen voor API's en voor LLM-toepassingen. Concrete maatregelen, onder meer:

• HTTP-beveiligingsheaders: een Content-Security-Policy met een vaste lijst toegestane bronnen, HSTS, X-Frame-Options (DENY), X-Content-Type-Options en een restrictief Permissions-Policy.
• SSRF-bescherming: uitgaande webhooks mogen alleen naar publieke HTTPS-adressen, interne IP-reeksen worden geblokkeerd.
• Prompt-injection-hardening: opgeslagen AI-antwoorden en gebruikersinvoer worden geneutraliseerd voor ze opnieuw in een AI-prompt belanden.
• Bescherming tegen CSV-formule-injectie in exports, timing-veilige vergelijking van geheimen, en geparametriseerde databasequery's tegen SQL-injectie.

Geen enkele dienst kan absolute beveiliging garanderen, maar aan het verkleinen van de risico's en het verbeteren van de maatregelen wordt doorlopend gewerkt.

7. Betalingen

Betalingen verlopen via Stripe Checkout. Je kaartgegevens komen rechtstreeks bij Stripe terecht, een PCI-DSS-gecertificeerde betaalprovider. Veesie ziet of bewaart je kaartgegevens nooit; Veesie bewaart alleen een referentie naar je Stripe-klant.

8. Subverwerkers

Om de dienst te leveren werkt Veesie met een beperkt aantal zorgvuldig gekozen subverwerkers:

De kerndata (account, merken, resultaten) wordt bewaard in de EU. Tijdens een meting passeren je vragen, je merknaam en website, de namen van je concurrenten en de gegenereerde adviezen ook Inngest in de VS, dat de metingen aanstuurt. Doorgifte naar de AI-aanbieders buiten de EU gebeurt op basis van de Standaardcontractbepalingen (SCC's). De volledige lijst en uitleg staan in het privacybeleid.

9. GDPR en jouw rechten

De verwerkingsverantwoordelijke voor Veesie is Manon BV (handelend onder de naam ClickForest), gevestigd in Bonheiden, België, ondernemingsnummer BE 0549.803.522.

• Je kunt je data exporteren in JSON-formaat via Instellingen, Privacy. Tokens en interne sleutels zitten er bewust niet in.
• Je kunt je account en alle bijhorende data zelf verwijderen via Instellingen, Account verwijderen. De verwijdering is onmiddellijk en cascadeert door alle gekoppelde data.
• Al je GDPR-rechten (inzage, rectificatie, wissen, beperking, overdraagbaarheid, bezwaar) staan in detail beschreven in het privacybeleid.

10. Een kwetsbaarheid melden

Denk je dat je een beveiligingsprobleem hebt gevonden? Laat het me weten via hello@veesie.com. Ik onderzoek elke melding en hou je op de hoogte. Maak een kwetsbaarheid alsjeblieft niet publiek voor ze opgelost is (responsible disclosure).

Laatst bijgewerkt: 5 oktober 2026. Terug naar veesie.com