Veiligheid Eerst
Zo beveiligen wij uw gegevens
Uw financiële gegevens en die van uw medewerkers zijn gevoelig. Dit zijn de concrete maatregelen die wij nemen om ze te beschermen.
Alle verkeer loopt versleuteld via HTTPS (TLS 1.2 of hoger) met HSTS
Gevoelige velden worden versleuteld opgeslagen (AES-256), waaronder BSN, IBAN en 2FA-sleutels; wachtwoorden worden gehasht (bcrypt) en nooit leesbaar bewaard
Tweefactorauthenticatie (TOTP) met herstelcodes voor alle accounts, ook bij inloggen via de app en de API
Inloggen in de mobiele app kan alleen door het toestel te koppelen vanaf de ingelogde website: een eenmalige QR-code plus een code die elke 30 seconden wisselt, zonder wachtwoord in de app; een koppeling vervalt na 90 dagen, is per toestel in te trekken, en de app vraagt bij openen Face ID, vingerafdruk of de toestelcode
Rolgebaseerde toegang per bedrijf en audit logging van wijzigingen in uw administratie
Strikte scheiding tussen bedrijfsadministraties: bij elke actie wordt gecontroleerd of het gegeven bij uw bedrijf hoort
Beperking van het aantal pogingen (rate limiting) op inloggen, wachtwoordherstel, 2FA en de API
De mobiele app slaat loonstroken, salarissen, verzuim, bankgegevens en velden als BSN en IBAN nooit op het toestel op; de overige offline kopie (maximaal 7 dagen) valt onder de afscherming van het besturingssysteem en wordt gewist bij uitloggen en bedrijfswissel, het inlogtoken staat in de beveiligde opslag van het toestel
Antwoorden die wij bewaren om dubbele verwerking van offline acties te voorkomen, worden versleuteld opgeslagen en na 8 dagen automatisch verwijderd
Dagelijkse, versleuteld opgeslagen back-ups binnen de EU
Hosting bij Hetzner in datacenters in Duitsland en Finland met ISO 27001-certificering; Zenboek zelf is geen ISO-gecertificeerde organisatie
Automatische controle van alle softwarepakketten op bekende kwetsbaarheden bij elke wijziging, en periodieke interne beveiligingsaudits van de code
Bij elke wijziging draait een geautomatiseerde testsuite die onder meer controleert dat een bedrijf niet bij de administratie van een ander bedrijf kan, ook niet door een nummer in de URL aan te passen, en dat de tweefactorcontrole niet te omzeilen is
Meldplicht datalekken conform art. 33-34 AVG
MCP-toegang is gebonden aan een bedrijf, per onderdeel ingesteld (lezen, concepten of definitief) en nooit ruimer dan de rechten van de gebruiker die de koppeling instelde; elke oproep doorloopt dezelfde controles als de app, en BSN, bankrekeningnummers van personen en gezondheidsgegevens worden nooit gedeeld. Importbronnen zijn alleen door de bedrijfseigenaar te beheren; toegangstokens en controlevoorbeelden worden versleuteld opgeslagen
Video- en audiogesprekken via een LiveKit-mediaserver die wij zelf beheren op onze eigen EU-infrastructuur, zonder externe videoprovider
Single sign-on naar andere apps (vanaf het abonnement Pro): Zenboek is per bedrijf een eigen SAML 2.0-identity provider, zonder externe identity-dienst. Antwoorden aan een app worden ondertekend (RSA-SHA256) met een sleutel per bedrijf die versleuteld is opgeslagen, gaan alleen naar exact geregistreerde adressen van de app, gelden 5 minuten en worden bij elke login opnieuw getoetst aan het teamlidmaatschap, de toegang tot de app en de tweestapsverificatie van de Zenboek-login
Voor IT en inkoop
- Beschikbaarheid en support
- De SLA legt 99,5% beschikbaarheid per maand vast (Enterprise 99,9%), met een service credit zodra die niet gehaald wordt. Support is er op werkdagen van 09:00 tot 17:00; een storing (P1) krijgt binnen 4 uur een eerste reactie.
- Inloggen en rechten
- Inloggen gaat met e-mail en wachtwoord plus tweefactorauthenticatie, of met een Google- of Apple-account. Per bedrijf kunt u 2FA verplicht stellen en met rollen en rechten bepalen wie wat mag zien en doen. Single sign-on met een eigen identiteitsprovider (zoals Entra ID of Okta) biedt Zenboek nu niet. Is dat voor uw organisatie een voorwaarde, neem dan contact met ons op. Andersom kan wel (vanaf het abonnement Pro): Zenboek is dan zelf de identiteitsprovider (SAML 2.0), zodat teamleden met hun Zenboek-account en tweestapsverificatie inloggen bij andere apps die SAML ondersteunen.
- Externe toetsing
- Zenboek heeft geen eigen ISO-certificering en een externe pentest heeft niet plaatsgevonden. Wat er wel is, staat hierboven: de maatregelen zelf, de automatische controle op kwetsbare softwarepakketten en een testsuite die de scheiding tussen administraties bij elke wijziging controleert.
- Cyberbeveiligingswet (NIS2)
- Of de Cyberbeveiligingswet rechtstreeks op Zenboek van toepassing is, hangt af van de omvangsdrempels van die wet; Softply beoordeelt dat periodiek. Los daarvan gelden de maatregelen op deze pagina en meldt Zenboek een datalek dat uw gegevens raakt binnen 48 uur, zoals vastgelegd in de verwerkersovereenkomst. Valt uw organisatie zelf onder de wet en moet u Zenboek als leverancier beoordelen, stuur ons dan uw vragen of vragenlijst.
- Securitycontact
- Een kwetsbaarheid melden of een securityvragenlijst sturen kan via info@zenboek.com. Dit adres staat ook in onze security.txt (/.well-known/security.txt). Een ondertekende verwerkersovereenkomst vraagt u op via privacy@zenboek.com, zoals beschreven in de DPA.
Documenten
Websiteanalyse (Google Analytics en onze eigen conversiemeting, zonder session replay), IP-locatiebepaling voor bezoekstatistieken (IPinfo) en LinkedIn-outreach (Unipile) zijn privacyonderwerpen en geen beveiligingsmaatregelen. Hoe wij daarmee omgaan, leest u in het privacybeleid.
De technische en organisatorische maatregelen die Zenboek als verwerker toezegt, staan in artikel 5 van de verwerkersovereenkomst (DPA); welke partijen gegevens voor ons verwerken, staat in het subverwerkersoverzicht. Onze positie ten aanzien van de Cyberbeveiligingswet (NIS2) staat hierboven onder "Voor IT en inkoop".
Versie 1.6, bijgewerkt: 9 oktober 2026