Beveiligings-incidenten
Geen enkele app is helemaal zonder risico. Daarom houden we een openbare lijst bij van problemen en hoe ze zijn opgelost. Hier zie je de huidige stand en wat we doen als er iets gebeurt.
Laatst gecontroleerd: 24 april 2026
Geen problemen te melden
Stand van zaken: alles werkt, geen bekende lekken
Ernstige datalekken
0
Lekken met persoonsgegevens
Ongeoorloofde toegang / lange storing
0
Ongeoorloofde toegang of langdurige storingen
Bijgehouden sinds
1 januari 2024
Sinds deze pagina online staat
Deze pagina werken we bij bij elk nieuw probleem. Klopt er iets niet? Mail security@okidoky.nl.
Hoe wij met problemen omgaan
Vier vaste regels voor hoe we problemen melden. Niet om u bang te maken — wel zodat u weet wat u van ons kunt verwachten.
Alles wordt openbaar gemeld
Zelfs problemen die uiteindelijk geen gevolgen hadden. Liever een regel op de lijst met 'opgelost binnen 1 uur, geen gegevens zichtbaar geweest' dan stilte die later vragen oproept.
Binnen 72 uur gemeld
De privacywet schrijft voor dat een datalek binnen 72 uur bij de toezichthouder gemeld moet worden. Dezelfde termijn houden we aan voor de melding hier op de site.
Volledige uitleg na elk probleem
Bij elk gemeld probleem: wat er gebeurde, wanneer, wie het raakte, hoe het is opgelost en wat we ervan leren. Gewoon in normale taal.
Getroffen gebruikers direct op de hoogte
E-mail naar de accounts die het raakt binnen 72 uur (ook als het er nog geen 10 zijn). Niet alleen een update op deze pagina — we nemen actief contact op waar nodig.
4 niveaus voor 4 situaties
Niet elk probleem is even ernstig. Hoe we het melden hangt af van de ernst — zodat u zelf kunt zien hoe groot iets was.
- Niveau 1
Datalek met persoonsgegevens
Ongeoorloofde toegang tot accounts, transacties of andere persoonsgegevens. Directe gevolgen voor gebruikers.
Reactietijd: Openbare melding binnen 24 uur + directe e-mail naar getroffen accounts + melding bij de toezichthouder
- Niveau 2
Ongeoorloofde toegang / langdurige storing
Aanvalspoging ontdekt, ongeoorloofde toegang tot onze eigen systemen (géén klantgegevens), of meer dan 4 uur dat alles plat ligt.
Reactietijd: Openbare melding binnen 72 uur + uitleg van de oorzaak + plan om herhaling te voorkomen
- Niveau 3
Verhoogd risico / net goed afgelopen
Een zwakke plek ontdekt door onszelf of door iemand die het netjes meldt. Gerepareerd voordat er misbruik van werd gemaakt.
Reactietijd: Openbare melding binnen 14 dagen + de versie waarin het is opgelost + dank aan wie het meldde
- Niveau 4
Storing (geen beveiligingsprobleem)
Storing van 1-4 uur zonder beveiligingsoorzaak, of e-mails die vertraagd zijn. Geen gevolgen voor je privacy.
Reactietijd: Melding op de status-pagina (niet hier). Zie status.okidoky.nl.
Wat telt als een beveiligingsprobleem?
Niet elk foutje is een beveiligingsprobleem. Hier lees je wat wel en niet meetelt.
Telt WEL
Ongeoorloofde toegang
Een account dat toegang kreeg dat niet gepermitteerd was.
Data-blootstelling
Gebruikersdata die publiek zichtbaar werd, zelfs kort.
Bevestigde kwetsbaarheid
Een security-bug die geëxploiteerd kon worden, of is.
Telt NIET
Gepland onderhoud
Aangekondigde maintenance-windows met voorafgaand bericht.
Storing bij een leverancier
Bijvoorbeeld de e-maildienst die we gebruiken heeft een storing. Zie de status-pagina.
Foutjes zonder gevolgen voor je privacy
Schermfoutjes, fouten in een rapport, typefouten — die houden we apart bij, niet hier.
Twijfelgeval? Dan melden we het liever wél dan niet.
Wat gebeurt er als iets gemeld wordt?
Van het eerste signaal tot de uitleg achteraf — zo gaan we te werk.
- T+0h
We merken het op
Via onze eigen bewaking, een melding van buitenaf of een bericht van een gebruiker. Daarna pakken we het meteen op.
- T+0-1h
Eerst stoppen
We zetten het getroffen deel stil en trekken eventuele toegang in. Dit gebeurt binnen een uur — eerst de schade stoppen, daarna pas iedereen informeren.
- T+24h
Melden en informeren
E-mail naar getroffen gebruikers + een melding op deze pagina + (bij een datalek) melding bij de toezichthouder binnen 72 uur.
- T+14d
Oplossen
We zoeken de oorzaak, lossen het op en letten extra goed op. De lijst hierboven krijgt de status 'opgelost'.
- T+30d
Uitleg achteraf
Binnen 30 dagen: een uitgebreide uitleg. Wat ging er fout, waarom, wat hebben we geleerd en wat doen we om herhaling te voorkomen. Hier op de pagina.
Een probleem melden
Heeft u een zwakke plek gevonden? Laat het ons weten, dan kunnen we het repareren voordat iemand er misbruik van maakt. We reageren altijd persoonlijk.
Meldpunt
security@okidoky.nl
Voor gevoelige details kunt u uw mail versleutelen. Vraag ons om de sleutel.
Beloning
Vermelding + dank
We zijn te klein om geld uit te keren, maar voor een bevestigd serieus probleem krijgt u een vermelding op deze pagina met uw naam en link — plus een jaar gratis Premium of een Lifetime-licentie als dank.
Wat we van melders vragen
- Meld het eerst bij ons — geef ons minstens 90 dagen om het op te lossen voordat u het openbaar maakt
- Geen echte gebruikersgegevens bekijken of kopiëren (gebruik een test-account dat u zelf aanmaakt)
- Geen aanvallen die onze systemen platleggen
- Tussen uw melding en onze oplossing: gebruik de zwakke plek niet voor eigen gewin of om bij gegevens te komen
Voor beveiligingstools
Voor automatische beveiligingstools hebben we een standaard bestandje online staan met ons contactadres en een link naar deze pagina.
/.well-known/security.txtVeelgestelde vragen over incidents
Waarom zou ik een lege lijst vertrouwen? Kan iedereen claimen 'geen incidents'.
Terechte scepsis. Een paar dingen: 1. Als we iets zouden verbergen, zou het uitkomen. Meldingen bij de toezichthouder en onderzoeken zijn na te trekken. 2. We staan ingeschreven bij de KVK (98709364). Bewust liegen over beveiliging maakt de eigenaar persoonlijk aansprakelijk. 3. Onze server-logboeken bewaren we 90 dagen, zodat we bij een onderzoek alles kunnen laten zien. Maar: u hoeft ons niet op ons woord te geloven. U kunt elke melding hier vergelijken met openbare bronnen.
Wat als een leverancier (zoals onze hosting of de betaaldienst) een datalek heeft?
Dan melden wij dat hier ook — ook al ligt de oorzaak niet bij ons. Wij blijven verantwoordelijk richting u. Zie /sub-verwerkers voor de volledige lijst. Concreet: onze hosting heeft voor zover bekend geen grote datalekken gehad. De betaaldienst had in 2024 een phishing-voorval (geen datalek) — dat raakte ons niet, omdat onze koppeling rechtstreeks tussen servers loopt.
Hoe weet ik dat deze pagina niet gewoon elk jaar weer op 'geen incidents' staat?
Goede vraag. Een paar manieren om het te controleren: 1. Het internet-archief (web.archive.org) bewaart deze pagina van tijd tot tijd. U kunt zelf zien of we iets hebben aangepast. 2. Bij elk probleem zou de datum van 'laatst gecontroleerd' hierboven veranderen en de teller stijgen. Wilt u ons werk laten controleren door een onafhankelijke partij? Dat kunnen we regelen.
Melden jullie ook bij de toezichthouder?
Bij een datalek met persoonsgegevens: ja, binnen 72 uur, zoals de wet voorschrijft. We melden dan zowel aan getroffen gebruikers als aan de toezichthouder. Bij minder ernstige problemen is dat niet verplicht; die melden we wel hier op de pagina.
Waarom geven jullie geen geldbeloning voor gevonden problemen?
Eerlijk: we zijn te klein om er geld voor te geven. Zo'n programma trekt ook veel meldingen van lage kwaliteit aan die tijd kosten. Onze aanpak: wie een serieus probleem meldt, krijgt een persoonlijke vermelding op deze pagina + een jaar gratis Premium — en bij blijvende hulp een Lifetime-licentie als dank. Als Okidoky groter wordt, kijken we er opnieuw naar.
Hoe we je gegevens beschermen
Zo'n pagina voorkomt geen problemen — maar we kunnen wel laten zien wat we doen om risico's klein te houden. Lees onze beveiligings-maatregelen of bekijk de sub-verwerkers.