Defensief gebouwd. Vaak geaudit.

Er is niets wat wij kunnen bezitten. NIS2 geldt voor essentiële en belangrijke entiteiten; een transportmanagementsysteem valt in geen enkele sector van bijlage I of II, en Druma zit ver onder de drempel van 50 werknemers / €10 miljoen. Elke leverancier die u een „NIS2-certificaat” aanbiedt, beschrijft iets wat niet bestaat. Wat wij in plaats daarvan doen, is het u makkelijk maken om uw eigen verplichtingen in de toeleveringsketen over ons te beantwoorden — deze pagina, de DPA, de lijst met subverwerkers en ons beleid voor het melden van kwetsbaarheden zijn allemaal openbaar, zonder NDA. Goed om te weten: als u transporteur bent, valt u zeer waarschijnlijk ook buiten de scope. De subsector Weg omvat wegbeheerders en exploitanten van intelligente vervoerssystemen, geen vervoerders of expediteurs. Het verzoek komt meestal van uw verlader, die wel binnen de scope valt.

Database, bestandsopslag en serverfuncties worden gehost in de EU (Ierland). De webfrontend wordt geleverd via het wereldwijde edge-netwerk van Cloudflare, dat niet tot de EU beperkt is. Een aantal genoemde ontvangers kan gegevens buiten de EER verwerken — bijvoorbeeld Cloudflare (CDN), Resend (transactionele e-mail) en Supabase voor ondersteuningstoegang op afstand tot de in de EU gehoste database — elk vermeld in bijlage III van onze verwerkersovereenkomst met de persoonsgegevens die het ontvangt en de waarborg die daarvoor geldt. Onze AI-verzoeken worden verwerkt op het EU-multiregio-endpoint van Google Vertex AI; volgens de voorwaarden van Google worden data daar in de EU opgeslagen en vindt ML-verwerking in de EU plaats, en sluiten de voorwaarden van Google Cloud (Service Specific Terms) training op uw gegevens uit. De ene uitzondering is het optionele webonderzoek naar bedrijven en locaties (Google Search grounding), dat de voorwaarden van Google uitsluiten van de EU-toezegging en dat dus buiten de EU kan worden verwerkt; Google bewaart grounding-zoekopdrachten tot 3 dagen en dit kan niet worden uitgeschakeld; het verstuurt openbare bedrijfsidentificatoren (bedrijfs- of locatienaam, land, plaats, btw-nummer en geldigheidsvlag, VIES-bedrijfsnaam, websiteadres en de openbare tekst van de eigen website van een locatie), zonder order-, document- of chauffeursgegevens en zonder contactgegevens uit uw Druma-account; de openbare tekst van de eigen website van een bedrijf en de handelsnaam van een eenmanszaak kunnen incidenteel persoonsgegevens bevatten.

Ja, per bedrijf, en het wordt afgedwongen in de database en niet alleen in de webapp — het geldt dus ook voor directe API-toegang, niet alleen voor iemand die de browser gebruikt. De eerlijke reikwijdte: het geldt voor de planner-applicatie en bevoorrechte serveracties. Het geldt niet voor de chauffeursapp (chauffeurs loggen in met een pincode en hebben geen authenticator-flow), niet voor gedeelde portaallinks en niet voor API-tokens.

Nee, en we beweren ook niet van wel. Wat er is: zes interne volledige beveiligingsaudits, de meest recente in augustus 2026, en een gepubliceerde beschrijving van onze maatregelen die u aan dit product kunt toetsen. Ons streven is CyberFundamentals Basic — het niveau dat het Centrum voor Cybersecurity België organisaties uitdrukkelijk aanbeveelt van hun leveranciers te eisen. Als een certificaat voor u een harde eis is, halen we die drempel vandaag niet.

Binnen 48 uur nadat wij kennisnemen van een inbreuk op persoonsgegevens die uw gegevens treft, en in elk geval zonder onredelijke vertraging. Dat is een contractuele verplichting in de DPA, en ons interne draaiboek werkt naar een strakker doel van 24 uur. Eerlijk over de grens: die verplichting geldt voor inbreuken op persoonsgegevens. Een beschikbaarheids- of integriteitsincident zonder persoonsgegevens leidt vandaag niet tot een contractuele melding. Druma wordt door één persoon beheerd en er is geen 24/7-bereikbaarheidsdienst.

Dagelijkse automatische back-ups, 7 dagen bewaard. Onze gedocumenteerde doelstellingen zijn een herstelpunt van 24 uur en een hersteltijd van 8 werkuren, met de procedure, zeven scenario's en de bekende lacunes op papier en op aanvraag beschikbaar. Twee dingen willen we niet overdrijven: een volledig herstel is nog niet geoefend, dus deze cijfers zijn afgeleid van het gedrag van het platform en niet aangetoond; en de back-ups staan momenteel in hetzelfde leveranciersaccount als productie, wat het belangrijkste punt in ons eigen risicoregister is.

Op beide vragen nee, vandaag. Inloggen gaat met e-mail en wachtwoord of Google/Microsoft OAuth; er is geen SAML- of OIDC-single sign-on en geen domeinafdwinging. Er is ook geen toegezegd beschikbaarheidspercentage — onze Algemene Voorwaarden zeggen dat uitdrukkelijk in plaats van het te laten insinueren. Als een van beide een eis is, laat het ons weten; geen van beide is een geheim en beide staan op de roadmap, niet in het product.