🏠 Thuis
Hoop bouwen
Help elk gezin aan een thuis — gefinancierd via OseloHelp.com, onze belastingvrije non-profitorganisatie.
Beveiliging en je gegevens
Hoe TimTim.Live partners, kopers en hun gegevens veilig houdt. Alles op deze pagina is hoe het vandaag werkt.
Sleutels en inloggen
- We tonen een geheime sleutel maar één keer. We bewaren alleen een door elkaar gehusselde kopie (een SHA-256-hash), dus zelfs wij kunnen hem niet lezen.
- Testsleutels en live sleutels zijn gescheiden. Testsleutels zien alleen voorbeeldevenementen en komen nooit aan echt geld.
- Een websitesleutel werkt alleen op de websites die je ervoor opgeeft.
- Je logt in met een eenmalige link die naar je e-mail wordt gestuurd. Er is geen partnerwachtwoord om te stelen.
- Iedereen in je team heeft een eigen login en alleen de toegang die nodig is voor zijn werk.
Extra sloten voor grote partners
- OAuth 2.0: ruil je client-ID en geheim in voor een token dat één uur geldig is.
- Sloten op serveradres: een sleutel werkt alleen vanaf de servers die je opgeeft.
- Certificaatsloten (mTLS) op api.timtim.live: een sleutel werkt alleen met je eigen TLS-certificaat.
Gegevens onderweg
- Elk adres van TimTim.Live gebruikt HTTPS. Browsers krijgen te horen dat ze bij ons nooit gewoon HTTP mogen gebruiken.
Berichten die we je sturen
- Elke webhook is ondertekend met HMAC-SHA256 en het tijdstip waarop hij is verstuurd. Weiger alles wat ouder is dan vijf minuten.
- Je webhookgeheimen worden versleuteld bewaard (AES-256-GCM).
- We sturen nooit berichten naar privé- of interne netwerkadressen, en we volgen nooit doorverwijzingen.
Kopers en betalingen
- We geven partners nooit de naam, het e-mailadres, het adres, het telefoonnummer of de kaartgegevens van een koper.
- Kaartbetalingen gebeuren op de eigen beveiligde betaalpagina van Stripe. Kaartnummers komen nooit op de servers van TimTim.Live.
- Kooplinks zijn ondertekend, dus niemand kan een nep-link maken om jouw verdienste te stelen.
Waar gegevens staan
- Onze servers staan in de Verenigde Staten, in Ashburn, Virginia (Oracle Cloud).
- Deze diensten verwerken gegevens voor ons: Stripe (betalingen), Cloudflare (netwerkbescherming), Oracle Cloud (servers) en Resend (e-mail).
Hoe lang we dingen bewaren
- Geschiedenis van webhookleveringen: 30 dagen.
- Beëindigde OAuth-tokens: één dag, daarna verwijderd.
- Statuscontroles: 90 dagen.
- API-gebruik wordt per dag geteld. In die tellingen bewaren we nooit je sleutels of wat je stuurt.
Letten op problemen
- We controleren elk openbaar onderdeel elke minuut vanaf het internet. Je kunt de resultaten zien op onze statuspagina.
- Ons team krijgt een melding als de site niet meer antwoordt.
- Partners goedkeuren en geld versturen kan alleen een medewerker met naam die daar toestemming voor heeft. Er is geen gedeeld wachtwoord voor.
Wat we nog niet hebben
- We hebben nog geen SOC 2-rapport of ISO 27001-certificaat.
- Nog geen extern bedrijf heeft onze beveiliging getest (een penetratietest).
- We hebben geen betaald bugbountyprogramma.
- We passen deze pagina aan als daar iets van verandert.
Als er iets misgaat
- Is een sleutel misschien uitgelekt? Zet hem uit in je dashboard. Hij werkt dan meteen niet meer. Maak daarna een nieuwe.
- Een beveiligingsprobleem gevonden? Mail [email protected]. Een echt mens leest elk rapport.
- Test alsjeblieft niet op gegevens van anderen, en geef ons tijd om een probleem op te lossen voordat je het deelt.
