Security Factsheet

    planOK Security

    Gebouwd voor de Nederlandse zorgsector met defense-in-depth beveiliging, RBAC toegangsbeheer en volledige data-isolatie per organisatie.

    Geïmplementeerde ISO 27001 Controls

    A.9.1.1

    Access Control Policy

    RBAC met 4 rollen en least-privilege principe

    A.9.2.2

    User Access Provisioning

    Firebase Custom Claims voor server-side validatie

    A.9.4.1

    Information Access Restriction

    Firestore Security Rules per organisatie en afdeling

    A.10.1.1

    Cryptographic Controls

    TLS 1.3 in transit, AES-256 at rest (Google Cloud)

    A.12.4.1

    Event Logging

    Server-side audit logging met IP capture en alerting

    A.13.1.1

    Network Controls

    CSP, HSTS, X-Frame-Options en Referrer-Policy headers

    A.14.2.1

    Secure Development

    TypeScript strict mode, pre-commit security scans

    A.9.1 / A.9.2

    Role-Based Access Control

    • 4 rollen: Medewerker, Planner, Manager, Super Admin
    • Least-privilege principe toegepast
    • RoleGuard beschermt gevoelige pagina's
    • Custom Claims voor server-side validatie
    A.9.4.1

    Multi-tenant Data Isolatie

    • Strikte scheiding per organisatie (organizationId)
    • Afdeling-niveau isolatie (departmentId)
    • Users zien alleen eigen data
    • Cross-organization queries geblokkeerd
    A.9.2.3

    Privilege Escalation Preventie

    • Custom Claims als server-side source of truth
    • localStorage manipulatie geblokkeerd
    • Automatische correctie bij afwijkingen
    • Firestore Rules als laatste verdedigingslijn
    A.12.4

    Audit & Traceability

    • Server-side logging via Cloud Functions
    • IP-adres vastgelegd (niet te spoofen)
    • Automatische email alerts bij kritieke events

    Verzamelde Gegevens

    Overzicht van persoonsgegevens die worden verwerkt. Geen bijzondere categorieën (medisch, BSN, etc.) worden verzameld.

    CategorieDataClassificatie
    IdentificatieNaam, emailPII
    ArbeidsrelatieContracturen, FTE, dienstverband, teamPII
    CompetentiesKwalificatiesNormaal
    OntwikkelingInwerkperiodesNormaal
    BeschikbaarheidAfwezigheid, verlof, vrije dagenGevoelig
    RoosteringGeplande diensten, OK-sessiesNormaal
    AuditIP-adres, acties, timestampsGevoelig

    Data Retentie

    Bewaartermijnen conform AVG-richtlijnen. Na afloop worden gegevens automatisch verwijderd.

    DataBewaartermijnReden
    PersoneelsgegevensDuur dienstverband + 2 jaarWettelijke bewaartermijn
    Audit logs1 jaarForensisch onderzoek
    Roosters & planning2 jaarOperationeel + geschillen
    Afwezigheid & verlof2 jaarAdministratie

    Hosting & Data Encryptie

    Google Cloud Platform - EU

    Alle data in europe-west4 (Netherlands) 🇳🇱. Geen data transfers buiten de EU.

    SOC 2 Type IIISO 27001ISO 27017

    Data-in-Transit

    TLS 1.3

    HTTPS enforced op alle endpoints. HSTS enabled.

    Data-at-Rest

    AES-256

    Firestore disk-level encryptie. Automatische key rotation.

    Key Management

    Google Cloud KMS

    Automatische lifecycle management door Google.

    Backups

    Point-in-time Recovery

    7 dagen retentie. Geografisch gescheiden binnen EU.

    Compliance Status

    AVG/GDPR

    Compliant

    EU data residency, verwerkersovereenkomst beschikbaar

    NEN 7510

    In Progress

    Healthcare-specifieke maatregelen in voorbereiding

    ISO 27001

    Roadmap

    Controls geïmplementeerd, certificering gepland

    Optionele Beveiligingsfeatures

    Multi-Factor Authentication

    Op aanvraag

    SMS-gebaseerde tweefactorauthenticatie voor extra beveiliging van accounts met verhoogde rechten.

    Firebase Identity Platform MFA op aanvraag beschikbaar

    Applicatie Beveiliging

    HTTP Security Headers geconfigureerd in next.config.ts

    CSP

    Content-Security-Policy

    Actief
    HSTS

    Strict-Transport-Security

    Actief
    Frame

    X-Frame-Options

    Actief
    MIME

    X-Content-Type-Options

    Actief
    Privacy

    Referrer-Policy

    Actief
    Perms

    Permissions-Policy

    Actief

    Security Architectuur

    Firestore Rules

    150+ database-level access rules

    Custom Claims

    JWT met role & organizationId

    Aikido SAST

    Security scanning in CI/CD

    Defense in Depth

    4 lagen: Rules → Claims → Guards → API

    Responsible Disclosure

    Beveiligingsprobleem gevonden? Meld het aan info@planok.nl. We reageren binnen 48 uur.

    Verwerkersovereenkomst of security vragen?