Een beveiligingsproduct moet zelf betrouwbaar zijn.

Onze principes

• Alleen EU. Hosting, data, e-maillevering en elke verwerker zitten in de Europese Unie. We gebruiken geen enkele niet-EU-dienst om dit product te draaien.
• Niets op je website. Geen tracker, geen script, geen cookie, geen pixel. Noroshi observeert je externe postuur vanuit onze eigen infrastructuur.
• Verificatie vóór scannen. Diepe scans lopen alleen op domeinen waarvan het eigendom via een DNS-TXT-record is bewezen. We scannen nooit domeinen die niet verifieerbaar zijn.
• Deterministische bevindingen. Elke alert komt uit een vaste, reproduceerbare controle met een concrete oplossing. We sturen geen AI-gegenereerde speculatie.
• Dataminimalisering. We bewaren wat de controles nodig hebben en niets meer: geen data van eindbezoekers, geen volledige pagina-inhoud (alleen hashes en structurele metadata).
• Jouw data is van jou. Verwijderen van een domein gaat via selfservice; volledige export en accountverwijdering op verzoek. Bewaartermijnen zijn per datatype gedocumenteerd.

Opgebouwd rond ISO 27001

Noroshi is niet gecertificeerd volgens ISO 27001. Dat zeggen we gewoon. Wat we wél kunnen zeggen: het product, onze procedures en onze hostingkeuzes zijn ontworpen rond dezelfde eisen voor informatiebeveiligingsbeheer, en de praktijken hieronder draaien vandaag in productie. Een formele certificering is een geplande volgende stap, geen huidige claim.

• Toegangscontrole. Elke dashboardactie controleert rol en eigendom server-side. Acties alleen voor de eigenaar, zoals uitnodigingen, verwijdering van de werkruimte en facturatie, zijn voor andere teamleden niet bereikbaar.
• Veilige ontwikkeling. Typecontrole, linting en geautomatiseerde tests bewaken elke wijziging. Uitgaande verzoeken van onze scanner worden getoetst aan een strikt toelatingsbeleid.
• Backups & herstel. Nachtelijk versleutelde databasebackups, 14 dagen bewaard, op onze eigen EU-infrastructuur.
• Auditeerbare gebeurtenissen. Scans, alerts, verificatiestappen en betalingen worden gelogd, zodat elk resultaat tot zijn oorzaak te herleiden is.
• Incidentafhandeling. Beveiligingsmeldingen bereiken een bewaakte mailbox en worden snel beantwoord. Productie-incidenten krijgen een gedateerde invoer in onze interne registratie.

Wat we nooit doen

• ✕ Penetratietests, exploit-payloads of credential-aanvallen uitvoeren op je systemen. We observeren van buitenaf, we vallen nooit aan.
• ✕ Cookies of tracking op je website plaatsen, of je bezoekers op enige manier profileren.
• ✕ Je data verkopen, delen of geld op laten brengen. Jouw scanresultaten zijn van jou.
• ✕ Domeinen scannen zonder geverifieerd eigendom.
• ✕ Niet-EU-clouddiensten, lettertypen of scripts ergens in ons product gebruiken.

Verwerkers & datalocaties

Een korte, bewust gekozen lijst. Alles binnen de EU.

Vragen of een beveiligingsmelding?

Als je een kwetsbaarheid in onze dienst hebt gevonden, of een vraag hebt over hoe we met data omgaan, mail ons dan op info@noroshi.eu . We nemen elke melding serieus en reageren snel.