Beveiligingsbeleid

Infrastructuur

Oliver draait op cloudinfrastructuur (AWS en Vercel) met meerdere beschikbaarheidszones voor veerkracht. We gebruiken beheerde databases met point-in-time herstel en continue back-ups. Toegang tot de productieomgeving is beperkt tot een kleine groep senior engineers en wordt gecontroleerd.

Versleuteling

Alle gegevens worden versleuteld tijdens overdracht (in transit) met TLS 1.2+ en in opslag (at rest) met AES-256. Kaartgegevens worden nooit op Oliver-servers opgeslagen — deze worden door de betalingsverwerker getokeniseerd op het moment van vastlegging.

Betalingsbeveiliging

Oliver POS slaat geen kaartnummers op. Kaartgegevens worden verwerkt door onze geïntegreerde verwerkers (Stripe, Moneris, Vendara, Sensi Pay, etc.), die allemaal PCI-DSS Level 1-gecertificeerd zijn. Oliver POS is PCI-DSS scope-reducerend — de blootstelling van de winkelier is beperkt omdat de gevoelige gegevens nooit onze servers bereiken.

Toegangscontrole

Winkeliers beheren de toegang voor personeel via de Oliver Hub met op rollen gebaseerde machtigingen (kassamedewerker, manager, eigenaar). Multi-factor authenticatie is verplicht voor eigenaars- en beheerdersrollen. Elke geprivilegieerde actie wordt gelogd met de medewerker, tijdstempel en IP-adres.

Kwetsbaarheidsbeheer

We voeren geautomatiseerde 'dependency scanning' uit bij elke build, maandelijkse infrastructuurscans en jaarlijkse penetratietesten door derden. Beveiligingsbevindingen worden bijgehouden in ons interne ticketsysteem met SLA's per ernstgraad.

Incidentrespons

We hebben een gedocumenteerde procedure voor incidentrespons met 24/7 oproepbare engineers. In het geval van een data-incident dat winkeliers of klanten treft, stellen we de getroffen partijen op de hoogte binnen de termijnen die door de toepasselijke wetgeving worden vereist (72 uur voor de AVG).

Verantwoorde openbaarmaking

Een beveiligingsprobleem gevonden? E-mail dan alstublieft security@oliverpos.com voordat u het openbaar maakt. We reageren binnen 2 werkdagen, werken te goeder trouw samen met onderzoekers en vermelden bevindingen (met toestemming) in onze beveiligingserkenningen.

Beveiliging aan de kant van de winkelier

Een deel van de beveiliging ligt in handen van de winkelier: WordPress en WooCommerce up-to-date houden, sterke wachtwoorden voor personeel kiezen, MFA inschakelen, de kassatoegang beperken tot specifieke apparaten en periodiek het auditlogboek controleren. De Oliver Hub geeft hierover voor elk van deze punten advies.