Wat we beschermen, en hoe.

Waar je gegevens staan

De gegevens van de app worden opgeslagen in Frankfurt, Duitsland, bij Supabase. Foutmonitoring (Sentry) wordt ook in Frankfurt gehost.

Sommige subverwerkers bevinden zich buiten de Europese Unie: Vercel (hosting van de app, compute in Frankfurt, Amerikaans bedrijf), Resend (e-mails) en Anthropic (assistent). Deze doorgiften vallen onder het EU-US Data Privacy Framework of onder de standaardcontractbepalingen van de Europese Commissie.

De volledige lijst, met de rol van elke subverwerker, staat op de pagina Subverwerkers.

Waar Hokku toegang toe heeft in je webshop

Hokku vraagt Shopify alleen de toegang die de functies nodig hebben: producten, voorraad, kortingen, winkelwagen, thema, bestanden, bestellingen, verzending, markten.

• Bestellingen worden gebruikt om je resultaten te meten: we lezen het bestelbedrag en het bestelnummer.
• Hokku slaat geen contactgegevens van je klanten op: geen naam, geen e-mailadres, geen adres.
• Bezoeken worden gekoppeld aan een willekeurige identificatiecode, nooit aan een naam.

Elke uitwisseling wordt geverifieerd

• Elke verbinding gebruikt HTTPS. Browsers krijgen de instructie om een jaar lang nooit terug te vallen op HTTP.
• Elk bericht dat Shopify naar Hokku stuurt, wordt gecontroleerd met een handtekening. Een bericht met een ongeldige handtekening wordt geweigerd.
• Verzoeken die uit je webshop komen, worden op dezelfde manier gecontroleerd.
• In je Shopify-admin opent de app met een sessietoken dat Shopify uitgeeft en dat een beperkte tijd geldig is.

Onder de motorkap: HSTS max-age 31536000 · HMAC SHA-256-handtekeningen, vergeleken in constante tijd · headers nosniff, Referrer-Policy en Permissions-Policy, strikte CSP op de App Proxy.

Hoelang we je gegevens bewaren

• Als je Hokku deïnstalleert, worden je sessies meteen verwijderd.
• Ongeveer 48 uur later vraagt Shopify om de gegevens van je webshop te wissen: toegangstokens, supportverzoeken en gesprekken worden verwijderd, en bestelnummers worden geanonimiseerd.
• Je configuratie blijft 60 dagen bewaard, voor het geval je terugkomt, en wordt daarna verwijderd.
• Gesprekken met de assistent: 30 dagen.
• Supportverzoeken: 12 maanden. Het antwoordadres: 90 dagen.
• Verwijderde gegevens kunnen tot 7 dagen in back-ups blijven staan.
• Kopieën van de e-mails die we versturen, blijven 30 dagen bij onze e-mailprovider, plus 7 dagen back-up.
• Een inzageverzoek van een van je klanten wordt binnen 30 dagen beantwoord.

De details staan in onze privacyverklaring en onze verwerkersovereenkomst.

Back-ups en logs

• Van de database wordt elke dag een back-up gemaakt. Elke back-up wordt 7 dagen bewaard.
• Supabase vermeldt: “All customer data is encrypted at rest with AES-256 and in transit via TLS.” (supabase.com/security)
• Foutmonitoring registreert geen persoonsgegevens, geen IP-adres en geen inhoud van verzoeken.
• Serverlogs worden 1 dag bewaard, databaselogs 7 dagen.

Onze code wordt bewaakt

• Elke wijziging wordt gescand op een wachtwoord of sleutel die in de code is achtergebleven.
• De bibliotheken die we gebruiken, worden continu vergeleken met databases van bekende kwetsbaarheden.
• Beveiligingspatches voor die bibliotheken worden automatisch voorgesteld.
• Toegang tot beheerdersaccounts is beperkt en beveiligd met sterke authenticatie.

Onder de motorkap: automatische controles bij elke codewijziging, over de volledige geschiedenis, en continue monitoring van bekende kwetsbaarheden.

Een kwetsbaarheid melden

Stuur een e-mail naar support@gethokku.com. Zet bij een ernstige kwetsbaarheid “[URGENT]” in de onderwerpregel: die berichten worden elke dag gelezen.

• Ontvangstbevestiging binnen 5 werkdagen.
• Eerste beoordeling binnen 14 dagen.
• Minstens één keer per maand een update over de voortgang.
• We streven ernaar binnen 90 dagen een oplossing uit te brengen en spreken daarna met je de publicatiedatum af.
• Onderzoek dat te goeder trouw en binnen dit beleid wordt uitgevoerd, leidt niet tot juridische stappen van onze kant.