Infrastructuur
Waar cosmetiFULL op draait, en waarvoor die bedrijven gecertificeerd zijn
In een gereguleerd vak komt vroeg of laat de vraag van wie de fundamenten zijn. Hieronder staan de bedrijven waarop de dienst draait, waarvoor elk van hen gecertificeerd is, en een link naar het bedrijf dat het certificaat houdt, op zijn eigen domein, zodat je het bij de eigenaar leest en niet bij ons. De certificeringen zijn van hen, en wat ze werkelijk dekken staat verderop, voluit.
Cloudflare, waar de site en de apps draaien
ISO 27001:2022 · ISO 27018:2019 · ISO 27701:2019 · SOC 2 Type II
Cloudflare host deze site, draait de applicaties en bewaart hun gegevens en bestanden. Cloudflare verklaart sinds 2019 gecertificeerd te zijn volgens ISO 27001 en op dit moment volgens ISO 27001:2022, sinds 2022 volgens ISO 27018:2019, en sinds 2021 volgens ISO 27701:2019 als PII processor en als PII controller, met een SOC 2 Type II-rapport sinds 2019. De certificaten zelf krijg je via een Cloudflare-account of op aanvraag, en het SOC 2-rapport komt vrij onder een geheimhoudingsovereenkomst.
Anthropic, de modellen die lezen en redeneren
ISO 27001:2022 · ISO/IEC 42001:2023 · SOC 2 Type I · SOC 2 Type II
LabelCheck stuurt je etiket naar modellen die Anthropic heeft gebouwd om het rapport te maken, en diezelfde modellen beantwoorden de vragen die je erover stelt. Anthropic verklaart ISO 27001:2022 te hebben voor informatiebeveiliging en ISO/IEC 42001:2023 voor managementsystemen voor kunstmatige intelligentie, plus SOC 2 Type I en Type II. ISO/IEC 42001 is de eerste internationale norm met eisen voor het besturen van AI, en dat is de norm die je zelf kunt nakijken zonder iemand iets te vragen: Anthropic heeft het certificaat openbaar aangekondigd, afgegeven door Schellman Compliance, LLC, een certificatie-instelling voor ISO die geaccrediteerd is door de ANSI National Accreditation Board. De andere documenten lopen op aanvraag via het vertrouwensportaal van Anthropic.
Proton, de post voor cosmetifull.com
ISO 27001 · SOC 2 Type II
De post van en naar onze adressen loopt via Proton, een Zwitsers bedrijf, onder de Zwitserse federale wet inzake gegevensbescherming. Proton verklaart sinds 2 mei 2024 gecertificeerd te zijn volgens ISO 27001 en over een SOC 2 Type II-rapport te beschikken. Het certificaat staat gelinkt op de eigen vertrouwenspagina van Proton.
Amazon Web Services, transactionele post vanuit de applicaties
ISO 27001:2022 · ISO 27017:2015 · ISO 27018:2019 · ISO 27701:2019
Berichten die de applicaties je sturen, zoals het opnieuw instellen van een wachtwoord, gaan via Amazon Web Services de deur uit vanuit de regio Frankfurt. Amazon Web Services publiceert de index van zijn compliance-programma’s, en die kan iedereen lezen. De certificaten en de auditrapporten zelf lopen via AWS Artifact, waarvoor je een AWS-account nodig hebt.
Wat hun certificaten echt dekken
Een certificaat geldt voor het bedrijf dat het heeft behaald en voor de reikwijdte die dat bedrijf onder audit heeft gebracht. De ISO 27001 van Cloudflare gaat over de manier waarop Cloudflare de informatiebeveiliging binnenshuis regelt. Wij zijn klant bij hen, en voor de software die daarbovenop draait staan wij zelf in. Voor wie een leverancier beoordeelt is dat het bruikbare onderscheid: de fundamenten worden gedekt door de certificaten hierboven, en ons eigen deel staat in het onderdeel hieronder en op de pagina Vertrouwen.
Wat we zelf doen
Op elke pagina van deze site staan de wettelijke identiteit van het bedrijf, het handelsregisternummer en het btw-nummer, en de build faalt zodra een van de drie ontbreekt. Lettertypen, afbeeldingen en stijlbladen komen van ons eigen domein, dus als je een pagina opent gaat je IP-adres alleen naar ons en naar het bedrijf dat de site host: geen derde partij komt te weten dat je hier was. Een inline script draait alleen als zijn vingerafdruk in de Content Security Policy is toegelaten. De feiten uit de privacyverklaring staan in één bestand in onze broncode, en elke build legt de afgewerkte site daarnaast, zodat de verklaring waar blijft. Geheimen staan in de versleutelde opslag van Cloudflare, en nooit in de repository. Dit alles draait in dezelfde build die de pagina heeft gemaakt die je nu leest.
Vraag om een certificaat
Schrijf naar security@cosmetifull.com met de leverancier en het certificaat dat je nodig hebt. Is het document openbaar, dan sturen we je de link, en anders vertellen we je hoe de eigenaar het vrijgeeft.
security@cosmetifull.com