Beveiligingsbeleid

Infrastructuur

Oliver draait op cloudinfrastructuur (AWS en Vercel) met meerdere beschikbaarheidszones voor veerkracht. We gebruiken beheerde databases met 'point-in-time recovery' en continue back-ups. Toegang tot de productieomgeving is beperkt tot een kleine groep senior ingenieurs en wordt gecontroleerd.

Encryptie

Alle gegevens worden versleuteld tijdens overdracht met TLS 1.2+ en in rust met AES-256. Kaartgegevens worden nooit opgeslagen op Oliver-servers — ze worden getokeniseerd door de betalingsverwerker op het moment van vastlegging.

Betalingsbeveiliging

Oliver POS slaat geen kaartnummers op. Kaartgegevens worden verwerkt door onze geïntegreerde verwerkers (Stripe, Moneris, Vendara, Sensi Pay, enz.), die allemaal PCI-DSS Level 1-gecertificeerd zijn. Oliver POS is PCI-DSS 'scope-reducing' — de blootstelling van de handelaar is beperkt omdat de gevoelige gegevens nooit onze servers bereiken.

Toegangscontrole

Handelaars beheren de toegang van personeel via de Oliver Hub met op rollen gebaseerde toestemmingen (kassier, manager, eigenaar). Multifactorauthenticatie is verplicht voor eigenaars- en beheerdersrollen. Elke actie met verhoogde bevoegdheid wordt gelogd met de medewerker, tijdstempel en IP-adres.

Beheer van kwetsbaarheden

We voeren geautomatiseerde 'dependency scanning' uit bij elke build, maandelijkse infrastructuurscans en jaarlijkse penetratietesten door derden. Beveiligingsbevindingen worden bijgehouden in ons interne ticketsysteem met SLA's op basis van ernst.

Incidentrespons

We hebben een gedocumenteerde procedure voor incidentrespons met ingenieurs die 24/7 oproepbaar zijn. In het geval van een data-incident dat handelaars of klanten treft, stellen we de getroffen partijen op de hoogte binnen de termijnen die de toepasselijke wetgeving vereist (72 uur voor GDPR).

Verantwoorde openbaarmaking

Een beveiligingsprobleem gevonden? E-mail dan naar security@oliverpos.com voor publieke openbaarmaking. We reageren binnen 2 werkdagen, werken te goeder trouw samen met onderzoekers en vermelden bevindingen (met toestemming) in onze beveiligingserkenningen.

Beveiliging aan de kant van de handelaar

Een deel van de beveiliging ligt in handen van de handelaar: WordPress en WooCommerce up-to-date houden, sterke wachtwoorden voor personeel kiezen, MFA inschakelen, de toegang tot de kassa beperken tot specifieke apparaten en periodiek het auditlogboek controleren. De Oliver Hub biedt begeleiding voor elk van deze punten.