我们的合规状态
我们在认证方面有什么、没有什么，以及我们的供应商有什么。
最后更新: 2026年9月30日
简而言之
Okidoky 按照 GDPR 运营，付款通过 Mollie 处理（持有荷兰中央银行 DNB 颁发的许可证），我们的服务器位于德国 IONOS SE。Okidoky 属于 RULIDO，这是一家在荷兰商会 (KVK) 注册的个体经营企业（eenmanszaak），注册号 98709364。面向机构的数据处理协议正在准备中：只有经律师审核后我们才会发布。
但是:我们自己没有 ISO 27001 或 SOC 2 认证。对于自筹资金的 SaaS,这些每次审计 €15,000-€40,000 — 现在不可行。如果您需要具有此类证书的供应商:请参阅下面的回退部分。
活动合规状态
目前适用的六个具体要点。可通过公共登记册或本网站核实。
KVK 注册
KVK 98709364
已在荷兰商会注册，编号 98709364。RULIDO 是个体经营企业（eenmanszaak），不是法人实体。可通过 kvk.nl 核实。
增值税纳税实体
NL
在荷兰注册增值税。自动接收符合增值税的发票。对于具有有效增值税号的 B2B:反向征收。
符合 GDPR/AVG
GDPR / AVG
我们按照 GDPR 运营：只处理必要的数据，在需要时征求同意，您可以导出数据并删除账户，并按法律要求报告数据泄露。隐私问题：info@okidoky.nl。
PSD2 付款
PSD2 via Mollie
所有付款均通过 Mollie B.V. 处理，其拥有荷兰央行颁发的 PSD2 许可证。PSD2 规定的强客户认证 (SCA) 由 Mollie 负责。
欧盟数据托管
IONOS SE · DE
Okidoky 运行在德国 IONOS SE 的虚拟服务器上；应用、存有您账户和账本的数据库以及我们自有的邮件服务器都在这台服务器上。可能传输到欧盟以外的数据：我们发送给 OpenAI（美国）的内容——Premium 账户的小票照片和银行导入描述，以及随新闻通讯发送的月度概览所用的月度总额——以及通过 Google Analytics、AdSense 和字体、图标服务器产生的使用数据。详见子处理方页面。
公开的子处理方列表
/sub-verwerkers
/sub-verwerkers 页面列出了可以看到用户数据的外部服务，包括用途、数据和所在国家。
对缺失的内容诚实
自筹资金的 SaaS 没有大型竞争对手拥有的所有认证。这是什么不对 — 以及为什么。
ISO 27001 (信息安全管理)
(尚未) 持有信息安全管理系统的国际标准。许多企业客户期望供应商具备此认证。
为什么没有: 首次审计的费用很容易就达到 €15,000-€25,000，另加每年的复审和数百小时的自有工作量。对于一家个体经营企业来说，目前无法承担。数据中心的物理安全由我们的托管服务商 IONOS 负责（见下表）。
SOC 2 Type II (美国标准)
(尚未) 持有服务组织的美国审计标准,在美国公司和 SaaS 中很流行。专注于安全、可用性、隐私。
为什么没有: 比 ISO 27001 更贵 (每次审计 €20,000-€40,000,Type II 评估 6 个月行为又一次)。尤其与美国市场相关 — 我们专注于荷兰/欧盟。如果我们曾经扩展到美国,这是我们首先考虑的。
PCI DSS (直接)
(尚未) 持有支付卡安全处理标准。自己处理卡号的人需要。
为什么没有: 不适用于我们:我们从不直接处理卡号。所有付款通过 Mollie (PCI DSS 一级认证)。我们只看到交易 ID,从不看到卡详细信息。我们不需要 PCI DSS — 在银行级别我们间接确实有。
NEN 7510 (医疗保健特定)
(尚未) 持有荷兰医疗保健部门信息安全标准。
为什么没有: 不相关:Okidoky 用于个人/家庭财务,无医疗保健数据。此标准用于医院、全科医生和医疗保健 SaaS。我们明确记录这一点,因为一些审计清单会问到。
数据处理协议 (DPA)
(尚未) 持有数据处理协议规定了我们受机构委托处理数据时的处理方式，例如为辅导员或协会处理数据。
为什么没有: 文本正在准备中。只有经律师审核后我们才会发布。如果您的机构现在就需要，请发邮件至 info@okidoky.nl。
我们确实受益的认证
我们的主要供应商拥有我们自己（尚未）拥有的认证。请注意：这些认证适用于他们自己的服务，而不是 Okidoky 本身。
| 提供商 | 认证 | 这对您意味着什么 |
|---|---|---|
IONOS | ISO 27001 | 据 IONOS 自己称，IONOS 已通过 ISO 27001 认证（见 IONOS 的数据处理协议）。IONOS 负责数据中心和硬件；服务器上的软件（应用、数据库、邮件服务器）由我们自己管理，该认证不涵盖这部分。 |
Mollie | PCI DSS L1PSD2GDPR | 所有卡数据由 Mollie 在 PCI DSS 一级下处理。我们从不查看您的卡号。 |
OpenAI | SOC 2 Type 2GDPR (SCCs) | 符合 SOC 2 Type 2 的 AI 功能：小票扫描和银行导入分类（Premium），以及随新闻通讯发送的月度概览中的摘要。OpenAI 不使用您的输入数据训练模型，也不永久存储这些数据。免费小票扫描 100% 本地运行。 |
认证规划
我们预期哪些认证的诚实时间表。没有承诺 — 指示。
发布数据处理协议
律师审核文本后，我们将在本网站发布数据处理协议，并注明版本号和日期。
ISO 27001 差距分析
雇用外部顾问进行差距分析。确定我们实际应用了 93 个控制中的哪些以及缺少什么。无审计承诺,但有准备。
完整 ISO 27001 审计 (如果营收允许)
年营收 €500k+ 时可讨论完整审计。这为企业客户提供他们需要的文件。目前:太贵、太多开销。
此计划是我们截至 2026 年 9 月 30 日的最佳估计。情况 (营收、客户要求、法规) 可以改变顺序。我们至少每年更新此。
您需要 ISO 认证的供应商吗?
一些公司有要求 ISO 27001 或 SOC 2 的内部政策。这是不与我们合作的正当理由 — 我们不希望您通过选择我们来违反该政策。这里是选项:
具体选项
填写安全问卷
许多企业安全团队接受已完成的问卷 (VAIS、CAIQ、SIG) 作为正式认证的替代方案。我们在 2 周内填写此类列表 — 邮件 security@okidoky.nl 附上您的列表。
选择替代供应商
对于真正需要 ISO 27001 的人:Twinfield (Wolters Kluwer)、Exact — 都通过 ISO 27001 认证。也许不适用于个人账本,但适用于业务管理。
等待直到我们拥有它
如果我们的路线图 (2028+) 适合您:将我们列入'重新评估'列表。一旦我们获得 ISO 27001 认证,我们将主动发送通知 — 在证书接收后 5 分钟内到达您的收件箱。
常见合规问题
我可以签署 DPA (数据处理协议) 吗?
暂时还不行。数据处理协议正在准备中，将先由律师审核，之后我们会在本网站发布。如果您的协会或机构现在就需要，请发邮件至 info@okidoky.nl，协议完成后我们会通知您。
GDPR 真的对我们公司够了吗?
对于大多数荷兰公司和协会:是。GDPR 是世界上最严格的隐私法。如果您自己的处理合规,那么我们作为处理者也合规。 例外: • 医疗保健部门:需要 NEN 7510 (那么我们不合适) • 需要银行级问责制的金融部门:可能需要 ISO 27001 • 具有欧盟数据的美国公司:SCC 足够,但有时总部也想要 SOC 2
为什么不做 ISO 27001,即使它很贵?
三个原因： 1. 成本：一次审计需要数万欧元，外加数百小时的自有工作量。这笔费用要么体现在价格上，要么会挤占应用的开发投入。 2. 需求很少：对于家庭记账应用来说，ISO 27001 很少是必要条件。提出这一要求的通常是大型机构，而它们并不需要个人账本。 3. 托管：数据中心的物理安全由 IONOS 负责。服务器、数据库和应用的安全由我们自己负责；审计主要针对的正是这部分。 如果这种平衡发生变化，我们会重新考虑。
您的 DPA 模板是否在某处公开?
暂时还没有。只有经律师审核后，我们才会发布数据处理协议。届时它将发布在本网站上，并注明版本号和日期，方便您随时查看适用的版本。
您是否进行过渗透测试?
尚未正式进行 (每次 €5k-€15k)。但是: • 每次依赖更新时运行 npm audit (已知 CVE 立即修复) • 每个新功能的手动代码审查 • 每次发布以 OWASP Top 10 作为参考 • 通过 security@okidoky.nl 的负责任披露程序 正式渗透测试 — 以及 Snyk 或 GitHub Dependabot 等自动化 CI 扫描工具 — 在 2027 路线图上。
具体合规问题?
如有关于数据处理协议、安全问卷或您具体情况的问题：请直接给我们发邮件。48 小时内回复。