Onze compliance-status
Wat we wel en niet hebben aan certificeringen, en wat onze leveranciers hebben.
Laatst bijgewerkt: 30 september 2026
Kort gezegd
Okidoky werkt volgens de AVG, betalingen lopen via Mollie (met een vergunning van De Nederlandsche Bank) en onze server staat in Duitsland, bij IONOS SE. Okidoky is van RULIDO, een eenmanszaak die bij de KvK staat ingeschreven onder nummer 98709364. Een verwerkersovereenkomst voor organisaties is in voorbereiding: we publiceren hem pas als een jurist hem heeft getoetst.
MAAR: we hebben zelf geen ISO 27001 of SOC 2 certificeringen. Die zijn €15.000-€40.000 per audit voor een bootstrapped SaaS — nu niet haalbaar. Als u een leverancier nodig heeft met zo'n certificaat: zie onze fallback-sectie onderaan.
Actieve compliance-status
Zes concrete punten die nu gelden. Te controleren via openbare registers of op deze website.
KVK-registratie
KVK 98709364
Ingeschreven bij de Kamer van Koophandel onder nummer 98709364. RULIDO is een eenmanszaak (geen rechtspersoon). Te controleren via kvk.nl.
BTW-plichtige entiteit
NL
BTW-geregistreerd in Nederland. Ontvangt BTW-conforme facturen automatisch. Voor B2B met geldig BTW-nummer: reverse charge.
AVG/GDPR-compliant
GDPR / AVG
We werken volgens de AVG: we verwerken niet meer gegevens dan nodig, vragen toestemming waar dat moet, u kunt uw gegevens exporteren en uw account verwijderen, en we melden datalekken zoals de wet dat voorschrijft. Privacyvragen: info@okidoky.nl.
PSD2-betalingen
PSD2 via Mollie
Alle betalingen via Mollie B.V., die een PSD2-vergunning heeft van De Nederlandsche Bank. Sterke klantauthenticatie (SCA) volgens PSD2 regelt Mollie.
EU-datahosting
IONOS SE · DE
Okidoky draait op een virtuele server bij IONOS SE in Duitsland; daar staan de app, de database met uw account en kasboek, en onze eigen mailserver. Wat er buiten de EU terecht kan komen: wat we naar OpenAI (VS) sturen — bonnetjesfoto's en omschrijvingen uit bankimports van Premium-accounts, en de maandtotalen voor het maandoverzicht bij de nieuwsbrief — en gebruiksgegevens via Google Analytics, AdSense en de servers voor lettertypes en iconen. Zie de sub-verwerkerspagina.
Openbare lijst van sub-verwerkers
/sub-verwerkers
Op /sub-verwerkers staan de externe diensten die gegevens van gebruikers kunnen zien, met doel, gegevens en land.
Eerlijk over wat ontbreekt
Bootstrapped SaaS heeft niet alle certificeringen die grote concurrenten wel hebben. Hier is wat niet klopt — en waarom.
ISO 27001 (Information Security Management)
Niet (nog) in bezitInternationale standaard voor informatiebeveiligings-managementsystemen. Veel enterprise-klanten verwachten dit van leveranciers.
Waarom niet: Een eerste audit kost al snel €15.000-€25.000, plus jaarlijkse her-audits en honderden uren eigen werk. Voor een eenmanszaak is dat nu niet haalbaar. De fysieke beveiliging van het datacenter ligt bij onze hostingprovider IONOS (zie de tabel hieronder).
SOC 2 Type II (US-standaard)
Niet (nog) in bezitAmerikaanse auditing-standaard voor service-organisaties, populair bij US-bedrijven en SaaS. Focus op security, beschikbaarheid, privacy.
Waarom niet: Nog duurder dan ISO 27001 (€20.000-€40.000 per audit, nog eens voor Type II dat 6 maanden gedrag beoordeelt). Vooral relevant voor US-markt — wij zijn NL/EU-focused. Als we ooit uitbreiden naar VS, is dit de eerste die we overwegen.
PCI DSS (direct)
Niet (nog) in bezitStandaard voor veilige verwerking van betaalkaarten. Vereist voor wie zelf kaartnummers verwerkt.
Waarom niet: Niet van toepassing op ons: wij verwerken NOOIT kaartnummers direct. Alle betalingen lopen via Mollie (PCI DSS Level 1 gecertificeerd). We zien alleen transaction-IDs, nooit kaartdetails. PCI DSS hebben we dus niet nodig — en op bank-niveau hebben we het dus indirect wel.
NEN 7510 (zorg-specifiek)
Niet (nog) in bezitNederlandse norm voor informatiebeveiliging in de zorgsector.
Waarom niet: Niet relevant: Okidoky is voor persoonlijke/huishoudelijke financiën, geen zorgdata. Deze norm is voor ziekenhuizen, huisartsen en zorg-SaaS. We documenteren dit expliciet omdat sommige audit-lijstjes ernaar vragen.
Verwerkersovereenkomst (DPA)
Niet (nog) in bezitEen verwerkersovereenkomst legt vast hoe wij gegevens verwerken als we dat in opdracht van een organisatie doen, bijvoorbeeld voor begeleiders of verenigingen.
Waarom niet: De tekst is in voorbereiding. We publiceren hem pas als een jurist hem heeft getoetst. Heeft uw organisatie er nu al een nodig? Mail naar info@okidoky.nl.
Certificeringen waar we WEL profijt van hebben
Onze belangrijkste leveranciers hebben certificeringen die wij zelf (nog) niet hebben. Let op: die gelden voor hun eigen diensten, niet voor Okidoky zelf.
| Provider | Certificeringen | Wat u daaraan heeft |
|---|---|---|
IONOS | ISO 27001 | Volgens IONOS zelf is IONOS ISO 27001-gecertificeerd (genoemd in de verwerkersovereenkomst van IONOS). IONOS beheert het datacenter en de hardware; de software op de server (app, database, mailserver) beheren we zelf, en daar gaat die certificering niet over. |
Mollie | PCI DSS L1PSD2GDPR | Alle kaartdata wordt door Mollie verwerkt onder PCI DSS Level 1. Wij zien nooit uw kaartnummer. |
OpenAI | SOC 2 Type 2GDPR (SCCs) | AI-functies onder SOC 2 Type 2: bonnetjesscan en bankimport-categorieën (Premium) en de samenvatting in het maandoverzicht bij de nieuwsbrief. OpenAI traint niet op je input-data en bewaart die niet permanent. De gratis bonnetjesscan draait 100% lokaal. |
Certificeringen-planning
Eerlijke tijdlijn voor wanneer we welke certificeringen verwachten. Geen beloftes — indicaties.
Verwerkersovereenkomst publiceren
Zodra een jurist de tekst heeft getoetst, publiceren we een verwerkersovereenkomst op deze website, met versienummer en datum.
ISO 27001 gap-analyse
Externe consultant inhuren voor gap-analyse. Identificeren welke van de 93 controls we al feitelijk toepassen vs wat ontbreekt. Géén audit-commitment, wel voorbereiding.
Full ISO 27001 audit (als omzet het toelaat)
Bij €500k+ jaarlijkse omzet is een volledige audit bespreekbaar. Dit geeft enterprise-klanten het papier dat ze nodig hebben. Voor nu: te duur, te veel overhead.
Deze planning is onze beste inschatting per 30 september 2026. Omstandigheden (omzet, klanteisen, regelgeving) kunnen de volgorde veranderen. We updaten dit minimaal jaarlijks.
Heeft u een ISO-gecertificeerde leverancier nodig?
Sommige bedrijven hebben een interne policy die ISO 27001 of SOC 2 eist. Dat is een valide reden om NIET met ons in zee te gaan — we willen niet dat u die policy overtreedt door ons te kiezen. Hier zijn de opties:
Concrete opties
Security-vragenlijst invullen
Veel enterprise-security-teams accepteren een ingevulde vragenlijst (VAIS, CAIQ, SIG) als alternatief voor formele certificering. Wij vullen zo'n lijst binnen 2 weken in — mail security@okidoky.nl met uw lijst.
Alternatieve leverancier kiezen
Voor wie écht ISO 27001 nodig heeft: Twinfield (Wolters Kluwer) of Exact — allen ISO 27001 gecertificeerd. Niet voor privé-kasboek misschien, maar voor business-admin wel.
Wachten tot wij het hebben
Als onze roadmap (2028+) voor u werkt: zet ons op een "opnieuw beoordelen" lijst. We sturen actief bericht zodra we ISO 27001 certificering hebben — in uw inbox binnen 5 minuten na certificaat-ontvangst.
Veelgestelde vragen compliance
Kan ik een DPA (Data Processing Agreement) ondertekenen?
Nog niet. De verwerkersovereenkomst is in voorbereiding en wordt eerst door een jurist getoetst; daarna publiceren we hem op deze website. Heeft uw vereniging of organisatie er nu al een nodig? Mail naar info@okidoky.nl, dan laten we u weten wanneer hij klaar is.
Is AVG/GDPR echt voldoende voor ons bedrijf?
Voor de meeste NL-bedrijven en verenigingen: ja. De AVG is de strengste privacywet ter wereld. Als u compliant bent voor uw eigen verwerking, dan zijn wij als verwerker ook compliant. Uitzonderingen: • Zorgsector: NEN 7510 vereist (dan zijn we niet geschikt) • Financiële sector die bank-niveau verantwoording nodig heeft: mogelijk ISO 27001 vereist • US-bedrijven met EU-data: SCCs zijn voldoende, maar soms wil HQ ook SOC 2
Waarom niet alsnog ISO 27001 doen, ook al is het duur?
Drie redenen: 1. Kosten: een audit kost tienduizenden euro's plus honderden uren eigen werk. Dat moet uit de prijs komen, of gaat ten koste van de ontwikkeling van de app. 2. Weinig vraag: voor een huishoudboekje is ISO 27001 zelden een eis. Wie er wel om vraagt, is meestal een grote organisatie die geen persoonlijk kasboek zoekt. 3. De hosting: de fysieke beveiliging van het datacenter ligt bij IONOS. De beveiliging van de server, de database en de app doen we zelf; daar zou een audit vooral over gaan. Als deze balans verandert, overwegen we het opnieuw.
Staat uw DPA-template publiek ergens?
Nog niet. We publiceren de verwerkersovereenkomst pas als een jurist hem heeft getoetst. Daarna staat hij op deze website, met versienummer en datum, zodat u altijd kunt zien welke versie geldt.
Hebben jullie een penetratie-test laten doen?
Nog niet formeel (€5k-€15k per engagement). Wel: • npm audit bij elke dependency-update (bekende CVE's worden direct opgelost) • Manual code-review bij elke nieuwe feature • OWASP Top 10 als referentie bij elke release • Responsible disclosure programma via security@okidoky.nl Een formele penetratie-test — en geautomatiseerde CI-scanning tools zoals Snyk of GitHub Dependabot — staat op de 2027-roadmap.
Specifieke vraag over compliance?
Voor vragen over de verwerkersovereenkomst, security-vragenlijsten of uw specifieke situatie: mail ons direct. Binnen 48 uur antwoord.