Data en toegang
Bekijk hoe versleuteling, toegangsrechten en de scheiding tussen administraties zijn ingericht.
Bekijk de maatregelenVertrouwen & veiligheid
Alle systemen operationeelControleer wat er achter je administratie staat.
Een financiële omgeving moet je kunnen beoordelen. Hier vind je de beveiligingsmaatregelen, de geteste omvang en de documenten voor jullie leveranciersbeoordeling.
Verplicht getest vóór release
De load-test gebruikt 2.000.000 journaalregels en 500.000 facturen in één testadministratie.
Bekijk de testopzet en grenzenStatus van certificeringen
- ISO 27001
- In voorbereiding
- SOC 2 Type II
- Gepland
De actuele status en toelichting staan in het dossier. Een traject in voorbereiding is nog geen certificering.
Bekijk de certificeringsstatusDocumenten voor je beoordeling
De privacyverklaring, verwerkersovereenkomst en SLA kun je direct lezen. Voor het aanvullende beveiligingsoverzicht en register vraag je persoonlijke toegang aan.
Vraag toegang tot de documentenkamer
Je ontvangt de toegang per e-mail. De kamer is beschikbaar in zes talen.
Wie er achter Fiatto zit
Fiatto bouwt de laag boven de systemen die je al gebruikt. De gegevens zijn er meestal wel, maar het proces hangt nog aan losse schermen, exports en e-mail. Wij maken daar één spoor van — aanvraag, goedkeuring, bestelling, ontvangst, factuur en boeking — met de controles in het proces in plaats van erna. Inkoop is het startpunt; verkoop, bank, grootboek, activa, personeel en productie draaien op hetzelfde platform.
AI doet daarin het voorwerk: herkennen, voorstellen, signaleren. Het akkoord blijft een mensbesluit en elke stap is terug te vinden. Waar we naartoe werken, is dat een organisatie doorlopend ziet wat er gebeurt, begrijpt waarom, en de volgende stap laat zetten zodra die vaststaat.
Continuïteit
Je financiële vastlegging staat niet alleen bij ons. Fiatto werkt via een koppeling met het boekhoudpakket dat je al voert, dus de administratie blijft daar staan, ook als je met Fiatto stopt. Je gegevens staan in de EU (Frankfurt); je recht om ze te exporteren, ook bij en na beëindiging, staat in onze voorwaarden.
Lees de voorwaardenFiatto wordt gebouwd en geleverd vanuit Dordrecht en staat ingeschreven bij de Kamer van Koophandel onder nummer 56715013. Vragen over beveiliging of verwerking beantwoorden we zelf; er zit geen supportlaag tussen.
Het technische dossier
Toelichting en koppen volgen jouw taal. Het geauditeerde controleregister blijft Engelstalig, zodat je hetzelfde dossier kunt delen met internationale IT-, security- en inkoopteams.
Naleving en certificeringen
GDPR
EU data protection. DPA and privacy notice available.
EU AI Act — transparency (Art. 50)
The in-app assistant, AI prefill and the assistant's replies by email, Slack and Teams identify themselves as AI, with a human confirming every action. Labelling of the remaining AI output is in progress; no compliance claim before legal review. Public AI transparency register available.
Data residency — EU (Frankfurt)
Customer data is hosted in the European Union.
EN 301 549 / WCAG 2.1 AA (accessibility)
Partially conformant; self-assessed with automated gates in CI. See the accessibility statement for the known gaps.
ISO 27001
Information security management system adopted by management in August 2026. Not certified yet; the external audit follows after an auditor is selected.
SOC 2 Type II
Planned after ISO 27001, tied to our US expansion. No report has been issued.
We claimen geen certificeringen die we niet hebben. ISO 27001 komt eerst; SOC 2 volgt later en er is nog geen rapport afgegeven. Lees de toegankelijkheidsverklaring voor onze conformiteitsstatus ten opzichte van EN 301 549, inclusief wat we niet hebben geverifieerd.
WCAG 2.2 AA — auditstand
Nog niet beoordeeld · 0 van 55 criteria voldoen
Beveiligingsmaatregelen
Het register hieronder is de geauditeerde bron die ook het beveiligingsoverzicht en de vragenlijst-assistent voedt, en blijft daarom Engelstalig.
Encryption
- AES-256-GCM application-layer encryption for the most sensitive secrets — accounting tokens, payroll PII, vendor TINs and tax-provider credentials.
- Separate encryption keys per purpose, held in the environment outside the database; fail-closed (no plaintext is ever stored).
- TLS in transit with HSTS enforced; encryption at rest on the managed database.
Access control
- Multi-factor authentication (TOTP), optionally enforced company-wide, with configurable trusted-device periods.
- Single sign-on (Google, Microsoft) and SCIM 2.0 user provisioning (Microsoft Entra ID).
- Role-based access control with granular, capability-level permissions enforced down to the database.
- Strict multi-tenant isolation via row-level security (per company), with an automated check for RLS coverage.
Audit & integrity
- Immutable, append-only audit log of who did what and when, readable only by admins.
- Append-only SHA-256 hash chains on the internal ledger and ESG registers — tamper-evident, with built-in verification.
- Two-person (four-eyes) approval and segregation of duties on sensitive actions (postings, bank-detail changes, lease decisions).
- Logged, fail-closed access to the most sensitive PII (e.g. payroll identifiers) — the access is recorded before any value is revealed.
Infrastructure & resilience
- EU-hosted (Frankfurt) on Supabase (PostgreSQL) and Vercel.
- Security headers (Content-Security-Policy, HSTS, X-Frame-Options), bot protection (Cloudflare Turnstile) and rate limiting.
- Error monitoring (Sentry) and a public status page backed by a live health check.
- Point-in-time recovery on the managed database plus storage backups.
API lifecycle
- The public API is versioned in the path (/api/v1). Every response carries a Fiatto-API-Version header stating which version served it.
- If a version is ever retired we announce it at least 12 months in advance. From the announcement onward, responses from that version carry Deprecation (RFC 9745) and Sunset (RFC 8594) headers, so an integration can detect it without reading a changelog.
- Additive changes (new endpoints, new optional request fields, new response fields) ship within a version; anything that removes or narrows behaviour requires a new version. The full policy is published in the OpenAPI document at /api/v1/openapi.json.
- Exception: a change required to fix a security problem may ship without the notice period. We report such a change afterwards and keep it as narrow as possible.
Privacy & data lifecycle
- Self-service data export (data-subject access) and admin-driven anonymization (right to erasure).
- Configurable, automated data retention with scheduled anonymization of sensitive records.
- AI is optional per organization and never trains on your data; health data is excluded entirely. Personal data is minimized before an AI call wherever the feature allows it. Where a whole document must be read (for example to extract a certificate's validity date), sending it is an explicit, per-document choice by an administrator, who is told what leaves the platform. Bring-your-own-key (BYOK): when a company connects its own Anthropic, Azure OpenAI (chat, optional embeddings deployment, and optional Document Intelligence OCR), Gemini, xAI or OpenAI (embeddings) credentials, those calls run under the customer's contract with the provider; Fiatto remains processor for data in the platform.
- Company offboarding with a data purge after the agreed retention window.
Getest op schaal
Elke wijziging draait in CI een load-testpoort tegen een deterministisch geseede dataset op enterprise-volume: één organisatie met 10× het transactievolume van een mid-market bedrijf, met dezelfde stamgegevens. De poort controleert of paginering volledig is, of totalen aansluiten op onafhankelijk berekende sommen, en of de kernquery's binnen hun tijdsbudget blijven — alles uitgevoerd als ingelogde gebruiker met row-level security actief. Paden die door een index worden bediend houden een vast budget, ongeacht het volume: lijstpagina's, ook diepe, onder 2s, en periode-rapportage, die bijgehouden saldi leest in plaats van ruwe journaalregels, onder 1s. Volledige scans en aggregaties krijgen een budget dat meegroeit met het volume: 2s en 4s per 200.000 journaalregels, dus 20s en 40s op het geteste volume. Dit zijn de volumes die de suite daadwerkelijk seedt en test, bij elke pull request:
Inkooporders100.000
Facturen (inkoop + verkoop)500.000
Journaalregels grootboek2.000.000
Banktransacties200.000
We publiceren alleen wat de suite aantoont. Grotere volumes werken waarschijnlijk prima, maar vallen buiten deze poort — verhogen we de geteste volumes, dan verandert deze tabel mee met de testsuite (een geautomatiseerde controle houdt die twee gelijk). Wat de poort níét meet: gelijktijdige gebruikers, schrijfdoorvoer en consolidatie over meerdere entiteiten op dit volume — en hij draait op een CI-database, niet op de productieomgeving.
Bedrijfszekerheid
Hier staat alleen wat aantoonbaar is uitgevoerd. Back-ups bestaan: dagelijks plus point-in-time-recovery op de database, en een aparte back-up van de bestanden. Deze tabel laat zien wanneer we een herstel daaruit echt hebben getest, en met welke uitkomst.
| Onderdeel | Stand |
|---|---|
| Hersteltest database | Nog niet uitgevoerd |
| Hersteltest bestanden (opslag) | Nog niet uitgevoerd |
| Noodtoegang bij uitval van de eigenaar (break-glass) | Regeling in concept, nog niet vastgesteld · nog niet beproefd |
Geslaagd betekent: een back-up is op een aparte omgeving volledig teruggezet, en de controle op tabellen, rijbeveiliging en kernfuncties slaagde. Hersteltijd en dataverlies (RTO en RPO) publiceren we pas na een test op een aparte cloudomgeving, want een lokale meting is alleen een ondergrens.
Subverwerkers
De derde partijen die klantgegevens kunnen verwerken. AI- en integratieleveranciers komen alleen in beeld als je die functie inschakelt. Koppelt een klant zijn eigen AI-API-sleutel of Azure OpenAI-resource (BYOK, opt-in na goedkeuring door Fiatto), dan vindt de verwerking voor die aanroepen plaats onder het contract van de klant met die leverancier — Fiatto is voor dat verkeer geen subverwerker. Publieke bots zonder bedrijfscontext blijven op de sleutels van Fiatto.
Kern (altijd betrokken)
| Leverancier | Doel | Gegevens | Regio |
|---|---|---|---|
| Supabase | Database, authentication, storage | All customer data (encrypted at rest) | EU (Frankfurt) |
| Vercel | Application hosting, CDN, logs | Request/error logs (no database access) | EU (Frankfurt) — functies; CDN en Routing Middleware wereldwijd |
| Resend | Transactional email | Email addresses, notification content | EU / US |
| Cloudflare | Bot protection (Turnstile), DDoS | IP address, challenge metadata | Global |
| Stripe | Subscription billing | Billing details, subscription events | EU / US |
| Sentry | Error & performance monitoring | Error metadata (configurable) | EU / US |
AI (optioneel — je kiest de leverancier, of schakelt AI uit)
| Leverancier | Doel | Gegevens | Regio |
|---|---|---|---|
| Anthropic (Claude) | AI assistance — default via Fiatto platform key; not used for model training. BYOK (opt-in): customer's own Anthropic API key; those calls run under the customer's contract with Anthropic | Documents/text only when AI is enabled | US |
| Microsoft Azure (OpenAI + Document Intelligence) | Alternative AI provider / OCR. Chat via Fiatto Azure by default, or customer's own Azure OpenAI resource when BYOK is connected (optional separate embeddings deployment; optional Document Intelligence OCR on the customer's Cognitive Services resource); otherwise Document Intelligence stays on Fiatto | Documents only when selected | EU |
| Google (Gemini) | Alternative AI provider — paid API; not used for model training. BYOK (opt-in): customer's own Gemini API key; those calls run under the customer's contract with Google | Documents/text only when selected | Global (no EU residency guarantee) |
| OpenAI | Embeddings (vector fingerprints) for companies on a Claude model — Anthropic offers no embeddings API; default via Fiatto platform key, or customer's own OpenAI API key when BYOK is connected; paid API, not used for model training | One derived line of text per record: invoice (supplier, number, date, amounts) or purchase request (title, justification). Never the documents themselves | Global (no EU residency guarantee) |
| xAI (Grok) | Alternative AI provider — paid API; not used for model training. BYOK (opt-in): customer's own xAI API key; those calls run under the customer's contract with xAI | Documents/text only when selected | United States (no EU residency guarantee) |
Integraties (alleen wanneer gekoppeld)
| Leverancier | Doel | Gegevens | Regio |
|---|---|---|---|
| Moneybird, AFAS, Exact, Twinfield, SAP, NetSuite, QuickBooks, Xero, Sage Intacct | Accounting bridge (post invoices, GL mapping). SAP, AFAS and NetSuite endpoints are customer-configured; an on-premise SAP is the customer's own system. | Invoice & supplier/customer data (names, invoice numbers, amounts, GL accounts) | EU / US |
| Nmbrs, Loket | Payroll integration (read-only import of payroll runs and payslips). Loket is selectable but does not transmit data yet. | Employee & payroll data (imported from the provider; no employee data is sent to it) | EU |
| TaxJar, Avalara | US sales-tax calculation | Address & amount for tax lookup | US |
| KvK, VIES, RDW, PDOK, BAG, EP-Online, WOZ | Data enrichment (company, VAT, vehicle, building registries) | Lookup keys (number, plate, address); VIES additionally receives the counterparty's name and address for the official name-match check | EU (NL/EU authorities) |
| Creditsafe | Credit information reports on business customers (bring-your-own connection, opt-in per company; natural persons/consumers excluded) | Counterparty identification sent for a lookup: company name, Chamber of Commerce number, country. The bureau report (score, rating, limit, status) is stored | EU/UK (Creditsafe Connect) |
| Enable Banking | Bank feed (PSD2 account information: balances and transactions) — only when the company connects a bank account; no payment initiation | IBAN, account holder name, balances, transactions | EU |
| GoCardless Bank Account Data | Bank feed (PSD2) — legacy provider; existing connections only, no new sign-ups | IBAN, account holder name, balances, transactions | EU / UK |
| Storecove | Peppol access point for sending e-invoices — only when e-invoicing is enabled | Sales invoice (UBL): customer name, address, VAT/CoC number, lines and amounts | EU |
| Mollie | Payment service provider for invoice payment and iDEAL mandate verification — only when enabled | Amount, invoice reference, company name; payer name and IBAN are returned by Mollie | EU |
| Browser push services (Google, Mozilla, Apple) | Delivery of web-push notifications — only when a user enables push in their browser | Push endpoint, IP address, encrypted payload (no names or amounts) | Global (browser vendor) |
| SurePay | IBAN name check (Confirmation of Payee) on supplier bank details and payment batches — only when the name check is activated | Payee IBAN, payee name (supplier or other beneficiary), country | EU |
Recente wijzigingen
Enable Banking — Bijgewerkt
Purpose narrowed to what the integration does: account information (balances and transactions) only. Fiatto does not initiate payments through Enable Banking; payment files are uploaded to the bank by the customer.
SurePay — Toegevoegd
Added to the register: the IBAN name check sends payee IBAN and name to SurePay when activated; the integration existed but had not been listed.
Vercel — Bijgewerkt
Functieregio Frankfurt bevestigd op productie-deployment dpl_2HT5FeVLtSrkV1JMmdNm3qESnDUN; CDN en Routing Middleware blijven wereldwijd. Registertekst verduidelijkt na gebruikersgoedkeuring.
Microsoft Azure (OpenAI + Document Intelligence) — Bijgewerkt
AI BYOK disclosure: Azure OpenAI BYOK may include a separate embeddings deployment on the customer's resource; Document Intelligence OCR remains on Fiatto.
OpenAI — Bijgewerkt
AI BYOK disclosure: Claude companies may connect their own OpenAI API key for embeddings; those calls run under the customer's contract with OpenAI.
Anthropic (Claude) — Bijgewerkt
AI BYOK disclosure: when a company connects its own Anthropic API key, those calls are under the customer's contract with Anthropic (Fiatto is not the sub-processor for that traffic).
Microsoft Azure (OpenAI + Document Intelligence) — Bijgewerkt
AI BYOK disclosure: Azure OpenAI chat may use the customer's own resource (BYOK); Document Intelligence OCR remains on Fiatto's platform key.
Google (Gemini) — Bijgewerkt
AI BYOK disclosure: when a company connects its own Gemini API key, those calls are under the customer's contract with Google.
xAI (Grok) — Bijgewerkt
AI BYOK disclosure: when a company connects its own xAI API key, those calls are under the customer's contract with xAI.
Moneybird, AFAS, Exact, Twinfield, SAP, NetSuite, QuickBooks, Xero, Sage Intacct — Bijgewerkt
Accounting bridge entry corrected: Twinfield, SAP, NetSuite and Sage Intacct were already supported in the product but were missing from this register entry.
Documentenkamer
Heb je het bewijsdossier nodig voor een leveranciersbeoordeling? Vraag toegang tot onze afgeschermde documentenkamer: een gegenereerd beveiligingsoverzicht, het subverwerkersregister met wijzigingshistorie, onze verwerkersovereenkomst en SLA — plus een AI-assistent die jullie security-vragenlijst (DDQ) alvast invult vanuit onze gepubliceerde houding, klaar voor review door je team.
Documenten
Een kwetsbaarheid melden
We stellen verantwoorde melding op prijs. Mail security@fiatto.app met details en reproductiestappen; geef ons alsjeblieft redelijke tijd om te herstellen vóór openbaarmaking. Ons beleid is gepubliceerd op /.well-known/security.txt.
Moet Fiatto passen binnen jullie beleid?
Neem je eisen voor toegang, gegevensverwerking of inrichting mee. We bespreken hoe die aansluiten op jullie proces.
Bespreek jullie eisen