Security & Compliance — Server Side Support

Alle klant-VPS-en draaien in Amsterdam (UpCloud, nl-ams1)
GTM server-containers 100% binnen de EU
Dashboard op Google Cloud Run in europe-west1 (België)
Geen data-doorvoer buiten de EU zonder expliciete klant-keuze (bijv. Meta CAPI naar Meta)

Login via Google OAuth (SSO met klant's eigen Google-account)
Multi-user per klant met primary-owner-rol voor provisioning
Admin-endpoints IAM-gated op Cloud Run (service-account-only)
Geen wachtwoorden opgeslagen → geen credential-leak-risico
OAuth-callback met CSRF-bescherming via signed state-cookie (login-CSRF mitigatie)

Drie momenten, steeds het minimum: inloggen (alleen identiteit: openid, e-mail, profiel) → koppelen bij het starten van je setup (Tag Manager en Analytics) → databronnen (Google Ads, BigQuery, Search Console) alleen als jij ze zelf verbindt
Geen refresh token (access_type=online): het toegangstoken zit in een beveiligd sessiecookie dat niet door scripts leesbaar is, duurt maximaal 24 uur en staat niet in onze database
Wijzigingen in je GTM-container doet ons service-account; je GA4-property geven we alleen een Viewer-koppeling en alleen als jij de event-breakdown activeert
Google Ads kent één toestemming (“bekijken en bewerken”); wij voeren daarmee alleen leesopdrachten uit. BigQuery en Search Console zijn alleen-lezen
Gegevens uit die bronnen worden per vraag opgehaald en niet opgeslagen
Intrekken: overzicht in het dashboard, intrekken bij Google (myaccount.google.com/permissions)
Gebruik van Google-gegevens voldoet aan het Google API Services User Data Policy, inclusief Limited Use — zie het privacystatement

Live event-payloads worden niet persistent gelogd
Alleen aggregated request-volume in klant-dashboard
Geen persoonsgegevens van je websitebezoekers in onze eigen systemen; met de Advanced Data Keeper staan die op jouw eigen server
Publieke tracking-scanner bewaart alleen cookie-namen van gescande sites — geen waarden of inhoud. Het scanrapport verloopt automatisch na 24 uur; de naam van het gescande domein bewaren we, zodat we weten welke sites de checker gebruiken (geen cookie-inhoud, geen bezoekersdata).
Enhanced Matching & CAPI: SHA-256 hashing server-side vóór verzending
First-party cookies op klant-domein, geen cross-site tracking
GA4 Data API-reads via ons service-account (alleen Viewer-rol op klant-property). Van klant-GA4 bewaren we alleen aggregate event-counts per event-naam — geen user-IDs, bedragen of sessie-details. Alle Google-toestemmingen staan in het privacystatement.

Unattended-upgrades op elke VPS (auto-patch Ubuntu)
fail2ban actief op SSH-poort
Self-heal systemd-timer herstelt containers bij boot-issues
Rate-limiting op alle publieke endpoints
Idempotent webhooks via atomic claims (Firestore transactions)
HTTP security-headers op alle publieke services: Strict-Transport-Security, X-Frame-Options, X-Content-Type-Options, Referrer-Policy, Content-Security-Policy
Server-side request forgery (SSRF) mitigatie op publieke scanner: outbound-requests resolveren tegen IP-blocklist (loopback, private, link-local, cloud-metadata)
nginx regex-allowlist op gebruiker-input query-parameters (click-ID-endpoints) — geen cookie-attribuut-injection-vector

Onze rol: data processor (klant is controller)
Advanced Data Keeper (add-on): gegevens die de klant zelf via zijn server-container bewaart staan op de VPS van de klant, met verplichte bewaartermijn (standaard 30, maximaal 400 dagen) en verwijderen via het dashboard. Wij gebruiken daarvan alleen aantallen en opslaggrootte; voor die gegevens is de klant controller en zijn wij processor
DPA (Data Processing Agreement) beschikbaar op aanvraag
EU data-residency gegarandeerd voor eigen infra
Recht op verwijdering: via dashboard of mail binnen 30 dagen
Breach-notificatie: binnen 72 uur volgens AVG art. 33

Security & Compliance — transparant, per klant geïsoleerd