Beveiliging en privacy

Gehost en beheerd door Assist2go

Avsaro draait op servers van Assist2go. Wij verzorgen hosting, updates en ondersteuning, zodat je daar zelf niets voor hoeft in te richten. Updates voeren we zoveel mogelijk 's nachts uit, zodat je er in je werkdag niets van merkt.

Inloggen en sessies

Je logt in met je e-mailadres en wachtwoord en bevestigt dat daarna altijd met een code uit een authenticator-app. Deze tweestapsverificatie is verplicht. De code is zes cijfers lang, geldt 30 seconden en kan niet twee keer worden gebruikt.

• Veelgebruikte wachtwoorden worden geweigerd.
• Je krijgt tien eenmalige herstelcodes voor als je telefoon kwijt is. Ze worden alleen als hash bewaard.
• Een sessie duurt maximaal 12 uur en stopt na 120 minuten zonder activiteit. Je kunt hoogstens tien sessies tegelijk open hebben en andere sessies zelf beëindigen onder Account.
• Een rem op inlogpogingen werkt per account en per netwerk. Een blokkade komt in het auditlog.

Koppelingsgeheimen en wat je kunt terugzien

Het tweestapsgeheim en de geheimen van koppelingen, zoals het toegangstoken van Mollie en het certificaat voor Microsoft 365, staan versleuteld met AES-256-GCM in de database. De sleutels daarvoor staan los van de database. Herstelcodes en tokens van klantlinks worden alleen als hash opgeslagen, dus ze zijn niet terug te lezen.

Het auditlog legt vast wanneer er is ingelogd, wanneer wachtwoord of tweestapsverificatie is gewijzigd en wanneer instellingen, koppelingen of archiveringen zijn aangepast. Wachtwoorden en geheimen komen er nooit in. Van een IBAN of telefoonnummer staan alleen de laatste vier tekens in het log.

Klantlinks en bewijs

Je klant opent een offerte of factuur via een persoonlijke link met een lang, willekeurig token. Zonder die link is er niets te zien, en de pagina's zijn niet bedoeld om door zoekmachines te worden gevonden. Op klantlinks staat een rem per link en per netwerk, tegen het uitproberen van adressen.

Bij een akkoord op een offerte legt Avsaro een bewijsdossier vast: naam, functie, tijdstip, de getoonde tekst, de handtekening en afdrukken (SHA-256) van de offerte en de voorwaarden. Databaseregels maken die rijen onveranderlijk, en een hashketen laat zien of er iets is aangepast. Iedereen kan op de verificatiepagina controleren of een document klopt.

Het is een eenvoudige elektronische handtekening met dat bewijsdossier. Lees de gids over de geldigheid van een digitale handtekening voor wat dat betekent.

Bewaren en wissen

Je stelt de bewaartermijnen zelf in, met een ondergrens. Facturen blijven minimaal 7 jaar bewaard, en je kunt dat verlengen tot 30 jaar. Dat is een ondergrens volgens de fiscale bewaarplicht en geen juridisch advies. Overleg met je boekhouder wat voor jou geldt.

• Facturen, genummerde offertes, betalingen en bewijs worden niet verwijderd. Archiveren kan, met een reden, en je kunt het terugdraaien.
• Na de ingestelde termijn (standaard 12 maanden) worden de technische gegevens van een akkoord gewist: IP-adres, browser, tijdzone en taal. Het akkoord zelf blijft staan.
• Bevestigingscodes, gebruikte herstelcodes en verlopen sessies worden dagelijks opgeruimd.
• In het certificaat van nieuwe ondertekende pdf's staat het IP-adres afgekapt tot het netwerkblok.

Privacy en AVG

Avsaro is gebouwd met de AVG in gedachten. Persoonsgegevens komen niet in logbestanden terecht. In de presentatiemodus worden alle namen, adressen, bankgegevens en bedragen vervangen door verzonnen waarden, en schrijfacties worden geweigerd. Daarmee laat je Avsaro aan een klant zien zonder je eigen administratie te tonen.

Voor de persoonsgegevens van jouw klanten ben jij de verwerkingsverantwoordelijke en is Assist2go de verwerker. Een verwerkersovereenkomst leggen we bij ingebruikname schriftelijk met je vast.