Gegevens & Beveiliging

Hoe Data Bridge uw Exact Online-gegevens behandelt en beschermt. Het behandelt wat Exact's App Center Data & Security review vraagt: het doel van de app, de gegevens die ze gebruikt, en hoe deze gegevens worden gebruikt en beschermd.

Doel

Data Bridge stelt uw Exact Online-gegevens beschikbaar als een genormaliseerde REST API en een MCP-server voor AI-gereedschappen, zodat uw eigen scripts en de gereedschappen die u machtigt uw administraties kunnen lezen. Rechten per sleutel, datatype, toegangsniveau en administratie bepalen wat elke aanvrager mag doen.

Gegevens die we benaderen

Elk datatype is één resource in de API en MCP-server. Een sleutel (of gekoppelde app) kan alleen een resource en administratie bereiken die u expliciet hebt gemachtigd.

Resource	Exact-eindpunt	Wat het is	Bewerkingen vandaag
accounts	crm/Accounts	Klanten, leveranciers en prospects (relaties)	list, get
contacts	crm/Contacts	Contactpersonen van relaties	list, get
items	logistics/Items	Producten en diensten	list, get
sales-invoices	salesinvoice/SalesInvoices	Verkoopfactuurkoppen (nummer, klant, data's, status, bedragen)	list, get
gl-accounts	financial/GLAccounts	Grootboekrekeningen (rekeningoverzicht)	list, get

De resources die momenteel worden aangeboden zijn alleen-lezen. Het rechtenmodel onderscheidt al lezen, schrijven en verwijderen per resource en afdwingt het juiste niveau per bewerking, dus een schrijf- of wisrecht is alleen mogelijk op een resource die daadwerkelijk die bewerkingen aanbiedt; een alleen-lezen sleutel kan nooit gegevens wijzigen.

Voor elke resource wordt slechts een vaste, toegestane set velden opgevraagd bij Exact (een expliciete $select), en slechts toegestane filters en sortsleutels worden geaccepteerd. Onbekende filters worden afgewezen voordat er enige Exact-aanroep wordt gedaan.

Hoe gegevens stromen

1. Een aanvrager authenticeert, een API-sleutel (Authorization: Bearer exg_live_…) voor REST, of een MCP OAuth 2.1-toegangstoken voor AI-gereedschappen.
2. Data Bridge vraagt het portaal na of het abonnement van de organisatie actief is, controleert dan de rechten van de sleutel of het token (resource × lezen/schrijven/wissen × administratie) en de optionele IP-toestemmingslijst van de sleutel.
3. Pas daarna leest het uit Exact Online (start.exactonline.*) via de tokenmakelaar van het portaal, met een kortlevend toegangstoken voor de administraties die u hebt ingeschakeld.
4. Het resultaat wordt genormaliseerd en naar de aanvrager geretourneerd. Metering registreert dat een bewerking heeft plaatsgevonden (per dag, resource en bewerking), nooit de gegevens zelf.

De respons wordt aan de aanvrager teruggegeven en nergens anders. Deze bevat alleen de velden die de resource aanbiedt, afkomstig van de administraties die de aanvrager mag inzien.

Wat we opslaan, en waarom

Gegevens	Waar	Bescherming
API-sleutels	de database van de app	SHA-256 hash alleen; de sleutel zelf wordt één keer bij aanmaak getoond en nooit bewaard
Rechten en IP-toestemmingslijst per sleutel	de database van de app, per organisatie	om te beslissen wat elke aanroep mag doen
MCP OAuth-autorisaties (gereedschap, rechten, goedkeurder)	de database van de app, per organisatie	payloads AES-256-GCM versleuteld; ondoorzichtige tokens gekoppeld aan SHA-256 van hun id
Gebruiksmetering (dag × resource × bewerking)	de database van de app, per organisatie	alleen aantallen, geen gegevens
De opt-in cache, wanneer deze aan staat	versleuteld, per organisatie, TTL tot 24 uur	zie de cache hieronder
Account-, organisatie- en facturatiegegevens	in het portaal	zie het data & beveiligingsdocument van het portaal

Wat we niet opslaan

• Exact-gegevens worden doorgegeven, niet bewaard. Een aanroep leest uit Exact, wordt gecontroleerd tegen de rechten, en wordt naar de aanvrager teruggestuurd. Wij houden geen staande kopie bij van uw klanten, facturen of grootboek; de enige uitzondering is de opt-in cache hieronder, die versleuteld, per organisatie, TTL-gebonden is en wordt geleegd op het moment dat de verbinding waar ze vandaan kwam verloren gaat of is uitgeschakeld.
• Geen Exact refresh tokens. De tokenmakelaar van het portaal geeft Data Bridge een kortlevend toegangstoken (10 minuten, alleen in geheugen) per aanroep; het refresh token verlaat nooit het portaal.
• Geen referenties, sessies of facturatiegegevens. Accounts, sessies, tweefactorauthenticatie en facturatie leven in het portaal.
• Geen telemetry of tracking. Geen analytics, geen licentiecontrole, geen reclame.

Hoe de gegevens worden beschermd

Onderweg

• TLS overal: aanvrager ↔ Data Bridge, Data Bridge ↔ Exact Online, Data Bridge ↔ portaal.
• Tussen het portaal en de apps wisselt de edge de sessie uit voor een kortlevende, EdDSA-getekende bewering (60 s, gebonden aan deze app); de apps en het portaal authenticeren elkaar op een intern netwerk met per-app service tokens.

In rust

• API-sleutels worden uitsluitend opgeslagen als SHA-256 hash, een database-dump kan ze niet herstellen.
• OAuth/MCP-payloads zijn AES-256-GCM versleuteld met een versiegeregelde keyring; elke ciphertext is gebonden aan zijn eigen record (AAD), dus een waarde die naar een andere rij wordt gekopieerd, decodeert niet.
• De cache (hieronder) is op dezelfde manier versleuteld.

De opt-in cache

Caching is de enige plek waar een kopie van Exact-gegevens kort kan rusten binnen Data Bridge, dus dit heeft de strengste controlemaatregelen:

• Standaard uit. Een organisatie-eigenaar of -beheerder schakelt dit in, met tweefactorauthenticatie, en de wijziging wordt weggeschreven in het auditlogboek van het portaal.
• Versleuteld bij opslag. Elke invoer is AES-256-GCM versleuteld met de versioneerde keyring en een AAD gebonden aan de organisatie én de cachetos Schlüssels, zodat een ciphertext alleen decodeert onder zijn eigen organisatie en verzoek.
• Geen filterwaarden lekken. De cachetos Schlüssels is een SHA-256 over de administratie, resource en versie en de aanvraagparameters (gecanonicaliseerd); de filterwaarden zelf maken geen deel uit van de opgeslagen sleutel.
• Tijdsgebonden. De TTL wordt door de organisatie ingesteld tussen 1 minuut en 24 uur. Invoeren vervallen met hun TTL en een periodieke sweep verwijdert verlopen rijen.
• Gemachtigd bij elke treffer. Het toegangsbeleid voert uit voorafgaand aan elk lookup, en een treffer wordt slechts geserveerd terwijl de Exact-verbinding actief is en de administratie nog steeds ingeschakeld, dus het verbreken van Exact of het uitschakelen van een administratie stopt onmiddellijk het serveren van gecachte gegevens.
• Gebonden aan de verbinding. De sleutel bevat de creatietijd van de verbinding, dus herverbinden (mogelijk met een ander Exact-bedrijf) serveert nooit de gegevens van de vorige verbinding.
• Aggressief geleegd. Invoeren worden verwijderd wanneer de cache wordt uitgeschakeld of de TTL wordt ingekort, wanneer een schrijven die resource en administratie invalideert, wanneer het portaal een verbreek of herautorisatie meldt, en wanneer de organisatie wordt verwijderd.
• Gelimiteerde grootte. Een enkele invoer groter dan 512 KB wordt niet in de cache opgenomen, en fouten worden nooit in de cache opgeslagen.

Wanneer een Valkey (Redis)-store is geconfigureerd leeft de cache alleen in geheugen; anders is het de versleutelde Postgres-tabel hierboven beschreven. In beide gevallen wordt de invoer versleuteld voordat deze wordt weggeschreven.

Toegangscontrole

• Minimale rechten standaard: een nieuwe sleutel begint zonder toegang; u verleent datatypes, toegangsniveaus en administraties expliciet.
• Het aanmaken van sleutels en het goedkeuren van een AI-gereedschap vereisen een organisatie-eigenaar of -beheerder met tweefactorauthenticatie, en een MCP-verbinding werkt alleen zolang dit geldt (gehercontroleerd bij elke aanroep).
• Geweigerde aanroepen worden vastgelegd in het auditlogboek van het portaal (wat, door welke sleutel, en waarom).

Hosting en operaties

• Gehost in de EU. Containers draaien als een niet-root gebruiker op een read-only root-bestandssysteem met alle capabilities verwijderd.
• Afhankelijkheden en containerimages worden dagelijks gescand op kwetsbaarheden (Trivy, HOOG/KRITIEK faalt).
• Foontrapporten (GlitchTip) zijn opt-in en schoongeveegd: geen headers, cookies, bodies, querystrings of gebruikersgegevens worden verzameld.

Bewaring en verwijdering

• De cache is TTL-gebonden en wordt geleegd bij verbreek, uitschakelen, switch-off, schrijven en verwijdering, zoals hierboven beschreven.
• API-sleutels, rechten, OAuth-autorisaties, metering en cache worden allemaal onmiddellijk verwijderd wanneer de organisatie in het portaal wordt verwijderd.
• Het auditlogboek leeft in het portaal en wordt bewaard gedurende de levensduur van de organisatie.

Wie ontvangt de gegevens

Aan	Wat	Waarom
uw sleutels en gekoppelde AI-gereedschappen	de Exact-gegevens waarvoor de aanroep gemachtigd is	het doel van de dienst
Exact Online (start.exactonline.*)	de reads (en toekomstige writes) die de aanroepen triggeren	het doel van de dienst
Mollie	de betaling voor het abonnement, in het portaal	facturatie