Compliance
Compliance
Datalocatie, AVG-functies, beveiligingsmaatregelen, en welke certificeringen Formabi niet heeft.
Gehost in Duitsland
De applicatie, de database en elke back-up van beide staan in een datacenter in Falkenstein, Duitsland. Transactionele e-mail gaat de deur uit via een relay in Frankrijk. Geen enkel deel van je formulierdata loopt via een aanbieder buiten de EU.
- ✓ In totaal twee subverwerkers, allebei in de EU
- ✓ Website-analytics en CRM zijn zelf gehost, niet aan een derde partij overgedragen
Een ISO/IEC 27001-gecertificeerd datacenter
Onze servers draaien bij Hetzner Online GmbH, waarvan de Duitse datacenterparken ISO/IEC 27001-gecertificeerd zijn voor informatiebeveiligingsbeheer. Dat certificaat is van Hetzner, niet van ons. Het dekt de fysieke locatie, stroom, toegangscontrole en het netwerk onder Formabi.
AVG-functies in het product
Verzoeken van betrokkenen worden in Formabi zelf afgehandeld, zonder supportticket of handmatige export.
- ✓ Recht op inzage (art. 15): alles vinden wat over een persoon in alle formulieren is vastgelegd en het als één bundel exporteren
- ✓ Recht op vergetelheid (art. 17): een veld, een inzending, een formulier of een hele werkruimte wissen, waarbij elk verzoek wordt vastgelegd
- ✓ Opslagbeperking (art. 5): een bewaartermijn per werkruimte instellen, waarna oudere inzendingen automatisch worden gewist
- ✓ Toestemming (art. 7): bewaard met een momentopname van de exacte getoonde tekst, met de intrekking daartegenover vastgelegd
- ✓ Register van verwerkingen (art. 30): een auditlog van aanmeldingen, wijzigingen en handelingen voor betrokkenen, 365 dagen bewaard
Versleuteld tijdens transport en in opslag
Elke verbinding verloopt uitsluitend via HTTPS, met TLS 1.2 of 1.3 en HSTS. Databases en tenantvolumes staan op versleutelde schijven. Back-ups worden op de server versleuteld voordat ze ergens heen gaan.
Authenticatie
Tweestapsverificatie met herstelcodes, en single sign-on via elke OpenID Connect-provider, zoals Google Workspace, Microsoft Entra ID of Okta. Je kunt SSO afdwingen, aanmelden beperken tot je e-maildomein en rollen synchroniseren vanuit je directory.
- ✓ Wachtwoorden gehasht met bcrypt, en sessietokens alleen als hash bewaard
- ✓ Bekijk elke aangemelde sessie en trek elke sessie in
- ✓ Inlogpogingen zijn in frequentie begrensd
Aparte database per klant
Elke klant draait in een eigen container met een eigen database. De databaseserver laat een tenant alleen de database openen die naar hem is vernoemd, en alle anderen zijn de verbindingsrechten ontnomen.
Back-ups en hersteltests
Versleutelde nachtelijke back-ups: zeven dagelijkse, vier wekelijkse en zes maandelijkse worden bewaard. Herstel wordt getest; de laatste test was op 22 september 2026.
Infrastructuurwijzigingen worden beoordeeld en geversioneerd
Onze infrastructuur is als code vastgelegd (NixOS), dus de configuratie van elke server staat onder versiebeheer en elke wijziging gaat door een review. Afhankelijkheden worden bij elke release-build gescand op bekende kwetsbaarheden.
Hernieuwbare elektriciteit
Hetzner voorziet zijn Duitse datacenters van elektriciteit uit hernieuwbare bronnen.
Certificeringen
Formabi heeft geen ISO 27001- of SOC 2-certificering. Alles op deze pagina is een maatregel die we uitvoeren en kunnen aantonen. De volledige referentie, geschreven voor due diligence, staat op Beveiliging en compliance, en de aanbieders die we gebruiken staan op Subverwerkers.
Auditdocumentatie
Op verzoek: verwerkersovereenkomst (art. 28 AVG), ingevulde beveiligingsvragenlijst, toelichting op deze maatregelen.
Of mail ons rechtstreeks op help@formabi.com