Beveiliging en vertrouwen

1. Jouw data en AI-monitoring

Om te meten hoe AI je merk ziet, stuurt Veesie jouw prompts (vragen over je merk, je sector en je concurrenten) naar AI-providers zoals OpenAI, Anthropic, Google en Perplexity. Hun antwoorden bewaart Veesie in een database in de EU.

• De prompts gaan over merken en thema's, niet over personen. Ze bevatten normaal geen persoonsgegevens.
• De antwoorden, scores en analyses worden opgeslagen in de database in Frankfurt. Tijdens een meting houdt Inngest in de VS de tussenresultaten van elke stap bij.
• Veesie traint zelf geen modellen met je data en gebruikt ze niet voor advertenties. De AI-aanbieders krijgen je vragen via hun betaalde API, en volgens hun voorwaarden gebruiken ze die niet om modellen te trainen.

2. Versleuteling

Onderweg (in transit)

Al het verkeer naar veesie.com loopt over HTTPS. Veesie stuurt een Strict-Transport-Security-header (HSTS) met een looptijd van twee jaar, zodat browsers na het eerste bezoek nooit meer onversleuteld verbinden.

In rust (at rest)

Gevoelige velden in de database van Veesie, zoals je Google Analytics access- en refresh-tokens en eventuele webhook-URLs, worden versleuteld met AES-256-GCM (authenticated encryption). Wordt er met de versleutelde data geknoeid, dan faalt het ontsleutelen automatisch. De sleutel wordt apart van de database bewaard als Cloudflare Worker-secret.

3. De Google Analytics-koppeling

Je kunt je Google Analytics 4 aan Veesie koppelen om verkeersdata naast je AI-zichtbaarheid te zien. Die koppeling is bewust minimaal opgezet:

• Read-only: Veesie vraagt voor Analytics enkel de scope analytics.readonly, plus openid en email om te tonen met welk Google-account je koppelde. Veesie kan je Analytics dus lezen, nooit wijzigen, verwijderen of delen.
• Beschermd tegen CSRF: de OAuth-flow gebruikt een HMAC-ondertekende state die aan jouw account en website gebonden is en na tien minuten vervalt. Niemand kan de koppeling namens jou forceren.
• Versleuteld: de tokens die Google teruggeeft, worden versleuteld opgeslagen (zie Versleuteling).
• Ontkoppelbaar: je trekt de toegang op elk moment in, zowel in Veesie als rechtstreeks in je Google-account.

4. Toegang en authenticatie

• Inloggen verloopt via Supabase Auth. Wachtwoorden worden gehasht opgeslagen, nooit in leesbare vorm.
• Aanmeld-, inlog- en wachtwoordherstelpagina's zijn beschermd tegen bots met Cloudflare Turnstile. Het contactformulier gebruikt een verborgen veld (honeypot) en een beperking per IP-adres.
• Interne beheeromgevingen draaien achter Cloudflare Zero Trust Access en zijn niet publiek bereikbaar. De directe workers.dev-URL is uitgeschakeld, zodat die beveiliging niet te omzeilen valt.

5. Infrastructuur en isolatie

• Hosting: de applicatie draait op Cloudflare Workers, op het wereldwijde edge-netwerk van Cloudflare.
• Database: een PostgreSQL-database bij Supabase in Frankfurt (EU).
• Multi-tenant isolatie: elke organisatie ziet uitsluitend de eigen data. Row Level Security staat op alle tabellen aan en beperkt directe toegang via de database-API tot de eigen gegevens. De applicatie zelf werkt met een beheerrol die RLS omzeilt; daar zorgen eigenaarschapscontroles in elke server-actie voor de scheiding.
• Cloudflare en Supabase zijn beide gecertificeerd volgens internationale standaarden (waaronder SOC 2 en ISO 27001) voor hun infrastructuur.

6. Applicatiebeveiliging

Veesie wordt doorlopend intern op beveiliging gecontroleerd. De codebase doorliep meerdere interne security-reviews tegen de OWASP-richtlijnen voor API's en voor LLM-toepassingen. Concrete maatregelen, onder meer:

• HTTP-beveiligingsheaders: een Content-Security-Policy met een vaste lijst toegestane bronnen, HSTS, X-Frame-Options (DENY), X-Content-Type-Options en een restrictief Permissions-Policy.
• SSRF-bescherming: uitgaande webhooks mogen alleen naar publieke HTTPS-adressen, interne IP-reeksen worden geblokkeerd.
• Prompt-injection-hardening: opgeslagen AI-antwoorden en gebruikersinvoer worden geneutraliseerd voor ze opnieuw in een AI-prompt belanden.
• Bescherming tegen CSV-formule-injectie in exports, timing-veilige vergelijking van geheimen, en geparametriseerde databasequery's tegen SQL-injectie.

Geen enkele dienst kan absolute beveiliging garanderen, maar aan het verkleinen van de risico's en het verbeteren van de maatregelen wordt doorlopend gewerkt.

7. Betalingen

Betalingen verlopen via Stripe Checkout. Je kaartgegevens komen rechtstreeks bij Stripe terecht, een PCI-DSS-gecertificeerde betaalprovider. Veesie ziet of bewaart je kaartgegevens nooit; Veesie bewaart alleen een referentie naar je Stripe-klant.

8. Subverwerkers

Om de dienst te leveren werkt Veesie met een beperkt aantal zorgvuldig gekozen subverwerkers:

De kerndata (account, merken, resultaten) wordt bewaard in de EU. Tijdens een meting passeren je vragen, je merknaam en website, de namen van je concurrenten en de gegenereerde adviezen ook Inngest in de VS, dat de metingen aanstuurt. Doorgifte naar de AI-aanbieders buiten de EU gebeurt op basis van de Standaardcontractbepalingen (SCC's). De volledige lijst en uitleg staan in het privacybeleid.

9. GDPR en jouw rechten

De verwerkingsverantwoordelijke voor Veesie is Manon BV (handelend onder de naam ClickForest), gevestigd in Bonheiden, België, ondernemingsnummer BE 0549.803.522.

• Je kunt je data exporteren in JSON-formaat via Instellingen, Privacy. Tokens en interne sleutels zitten er bewust niet in.
• Je verwijdert je account zelf via Instellingen, Account verwijderen. Veesie wist dan meteen je organisatie, je websites, vragen, metingen en resultaten, je Google-koppeling en je chatgesprekken, en zegt een lopend abonnement bij Stripe op. Een paar dingen blijven bewust bestaan: als je de onboarding afrondde een hash (SHA-256) van je e-mailadres, zodat een nieuwe proefperiode niet zomaar opnieuw start, de tekst van supporttickets zonder naam of e-mailadres, en je klantfiche en facturen bij Stripe. Logs bij de subverwerkers in de tabel hierboven verlopen volgens hun eigen bewaartermijn.
• Al je GDPR-rechten (inzage, rectificatie, wissen, beperking, overdraagbaarheid, bezwaar) staan in detail beschreven in het privacybeleid.

10. Een kwetsbaarheid melden

Denk je dat je een beveiligingsprobleem hebt gevonden? Mail het naar hello@veesie.com. Frederiek Pascal, founder van Veesie, en zijn team bekijken elke melding en houden je op de hoogte. Maak een kwetsbaarheid alsjeblieft niet publiek voor ze opgelost is (responsible disclosure).

Laatst bijgewerkt: 10 oktober 2026. Terug naar veesie.com