Security & GDPR

Waar staan mijn bestanden?

Concrete locatie, leverancier en hoe lang ze daar blijven.

Object-opslag

Bestanden worden opgeslagen op Backblaze B2, een S3-compatibele object-opslag in een Europees datacenter (Frankfurt, Duitsland). Backblaze is een Amerikaans bedrijf maar onze opslag-bucket is fysiek in de EU en valt onder Europese data-soevereiniteitsregels.

Geen data wordt buiten de EU gerepliceerd. Wanneer een ontvanger een download-link opent, wordt het bestand rechtstreeks vanaf de EU-bucket gestreamd via een tijdelijk getekende URL — niet via een Amerikaanse server.

Retentie

Per upload kies je een vervaltermijn van 7, 14 of 30 dagen. Na deze termijn worden de bestanden fysiek verwijderd van de servers — niet alleen onbereikbaar gemaakt. Onze cleanup-cron draait elk uur en verwijdert ook bijbehorende metadata en download-statistieken.

Wanneer een bezoeker een vervallen link opent ziet hij een nette "verlopen"-pagina. Geen restanten in cache, geen mogelijkheid om het bestand alsnog op te halen via een directe URL.

Hoe worden bestanden beschermd?

Versleuteling, authenticatie en toegangscontrole — concreet, geen marketing-onzin.

Onderdeel	Implementatie
Transport-versleuteling	TLS 1.3 (forced HTTPS, HSTS enabled, geen TLS 1.0/1.1 toegestaan)
Versleuteling at-rest	AES-256 server-side encryption op de object-opslag
Download-links	Cryptografisch random tokens (128 bits, secrets.token_urlsafe(16))
Wachtwoord-hashing	pbkdf2-sha256 met 600.000 iteraties + per-user salt
Wachtwoord-beveiligde downloads	Optioneel per pakket. Wachtwoord wordt apart gehashed en server-side gecheckt
Rate-limiting	Per IP: 20 download-pogingen per 5 min, daarna 10 min lockout
Audit-log	Alle login-events, wachtwoord-wijzigingen en account-acties worden gelogd met IP + tijdstempel
CSRF-bescherming	Token-gebaseerd op alle state-changing endpoints
Session-cookies	HttpOnly, Secure, SameSite=Lax

Wie kan bij mijn bestanden?

Toegangsmodel uitgelegd — wie heeft technisch en organisatorisch toegang.

Jouw team

Gebruikers die op jouw account zitten (jouw subdomein) hebben toegang tot:

• Uploaden vanaf jouw subdomein (vereist login)
• Het overzicht van pakketten van het hele team via /uploads
• Per pakket: link kopiëren, vervaltermijn aanpassen, verwijderen

Gebruikers van een ander account (andere klant van Downloadlink) kunnen jouw bestanden of pakketten niet zien. Elke tenant is database-isolated.

Wij (Downloadlink)

Technisch gezien hebben de beheerders van Downloadlink — concreet één persoon momenteel — toegang tot:

• De database (om accounts te beheren, bij support-vragen te helpen)
• De server-logs (foutdiagnose, security-monitoring)
• De object-opslag credentials (wel toegang, maar de daadwerkelijke inhoud wordt nooit ingezien tenzij jij daar expliciet om vraagt voor support)

We kijken niet in jouw bestanden voor andere doeleinden dan dat. Geen analytics op de inhoud, geen training van AI-modellen op je data, geen doorverkoop. Dit staat zwart-op-wit in de privacyverklaring.

Subverwerkers

Voor het draaien van de dienst zetten we drie subverwerkers in:

• Render (applicatie-hosting; kies EU-Frankfurt-regio voor EU-data-soevereiniteit) — heeft geen toegang tot bestanden, alleen tot de applicatie-code
• Backblaze B2 (EU-Central, Frankfurt) — object-opslag; bestanden zijn at-rest versleuteld
• SMTP-provider — alleen voor systeem-emails (welkom, wachtwoord-reset, contact-aanvragen); geen inhoud van pakketten

Wij sluiten met al deze partijen een verwerkersovereenkomst af. Voor jouw eigen administratie kunnen we je een verwerkersovereenkomst tussen Downloadlink en jouw bedrijf sturen — vraag 'm aan via contact.

Wat doen we wel — en wat doen we niet?

Verwachtingen managen. Geen valse beloftes, geen verzwegen tekortkomingen.

Wat doen we wel:

• Bestanden versleutelen tijdens transport (TLS 1.3) én at-rest (AES-256)
• Bestanden automatisch verwijderen na de afgesproken termijn
• Audit-loggen wie wanneer waarop heeft ingelogd
• Rate-limiten op brute-force login-pogingen en download-attempts
• HTTPS-only met HSTS preload, sterke ciphers
• Een security.txt-contact aanbieden voor responsible disclosure
• Maandelijks dependency-updates (geen verouderde Python-libraries)
• Geautomatiseerde DB-backups (configureerbaar per deployment, default 14 dagen retentie)

Wat doen we (nog) niet:

• Two-factor authentication — gepland voor Q3 2026, momenteel sterke wachtwoorden + rate-limiting
• End-to-end encryption — we beschermen de hele transport-keten, maar wij hebben technisch wel toegang tot de bestanden (zoals iedere SaaS). E2E zou de tool onbruikbaar maken voor jouw klanten
• SOC2 / ISO 27001 certificering — kostbaar voor een kleine SaaS; relevante security-praktijken implementeren we wel zelf
• Antivirus-scanning op uploads — we blokkeren bestandstypen niet; verantwoordelijkheid ligt bij de ontvanger

AVG: rechten van betrokkenen

Hoe ga je om met dataverzoeken vanuit jouw klanten richting jou (en jouw verzoeken richting ons).

Als verwerkingsverantwoordelijke voor jouw klantcommunicatie heb je rechten en plichten onder de AVG. Wat we doen om je te helpen:

• Inzage: je kunt op elk moment je eigen accountgegevens inzien via /account
• Correctie: e-mailadres en wachtwoord wijzig je zelf via /account
• Verwijdering: account verwijderen kan via /account/delete (wist alle pakketten, audit-events en accountgegevens binnen 24 uur)
• Portabiliteit: bestanden zijn altijd downloadbaar via de originele links (zolang niet verlopen); accountgegevens leveren we op verzoek in JSON-formaat
• Bezwaar: stop met de service; opzeggen kan per direct, restitutie van resterende maand

Voor verzoeken die niet zelf-bedienbaar zijn: mail Patricklankhorst@hotmail.com. We reageren binnen 5 werkdagen, conform AVG-eis van uiterlijk 30 dagen.

Datalek-procedure

Wat als er iets mis gaat — onze plicht én jouw plicht.

Als een security-onderzoeker een kwetsbaarheid vindt of als wij een datalek constateren, dan:

• Wordt de kwetsbaarheid binnen 24 uur na ontdekking afgesloten of gemitigeerd
• Word jij als klant binnen 72 uur per e-mail ingelicht over impact en getroffen data
• Doen we melding bij de Autoriteit Persoonsgegevens als de AVG dat vereist
• Krijg je een rapportage van wat gebeurd is, hoe we het hebben opgelost, en wat we doen om herhaling te voorkomen

Security-researchers kunnen kwetsbaarheden veilig melden via het adres in security.txt (RFC 9116).