Security · Trust

Self-hosted by design. Governancedata blijft in infrastructuur die u beheert.

Olivares verwerkt prompts en uitvoer van beheerde sessies. De I/O-recorder berekent een SHA-256-hash per frame en koppelt hash en lengte in een keten aan het auditregister; hij slaat de frame-inhoud niet op.

Gegevensverwerking

Wat we raken, en wat bij u blijft

Sessies verwerken prompts en uitvoer; de opname bewaart hashes als bewijs, niet hun inhoud. Governancegegevens blijven standaard in uw infrastructuur. Providertools bewaren hun eigen transcripten in hun configuratiemap op uw host; het vrijgeven van een sessie verwijdert die niet. Gehoste aanbieders ontvangen wat de sessie verstuurt. Berichten in communicatiekanalen worden opgeslagen met de voor het kanaal ingestelde inhoudsbescherming.

Draait in uw infrastructuur

Self-hosting geeft controle over server en opslag. Aanroepen van gehoste modellen, verbonden bronnen en ingestelde exports kunnen uw netwerkgrens overschrijden.

Bewijs van sessieopnamen

De opname koppelt SHA-256-hashes en framelengten in een keten aan het auditregister, zonder prompt- of uitvoerbytes te bewaren. Opname is automatisch bij kritieke starts en kan ook door beleid of de operator worden aangevraagd.

Geheimen maskeren

Geheime waarden uit de ingestelde kluis worden gemaskeerd voordat de uitvoer de recorder bereikt. Persoonsgegevens kunnen voorkomen in prompts, uitvoer, providertranscripten en opgeslagen communicatieberichten. De providertool schrijft eigen transcripten buiten dit maskeringspad.

Detectie en agentacties

Passieve ontdekking leest ingestelde bronnen. Beheerde agents kunnen via hun tools handelen; controleer rechten, beleid en inloggegevens vóór de start.

Netwerkbestemmingen

Bijvoorbeeld: activering en vernieuwing van Business-licenties benaderen de licentiedienst; gehoste aanbieders en ingestelde integraties gebruiken netwerkverbindingen. Zelf hosten maakt deze handelingen niet offline.

Grenzen van bewaartermijnen

Opnamen en bewijs in het auditregister zijn alleen aan te vullen (append-only): een bewaartermijn wist ze niet. Providertranscripten op uw host volgen het bewaarbeleid van die tool. Olivares bepaalt niet het bewaarbeleid van een externe dienst.

Kwetsbaarheidsmelding

Meld een beveiligingsprobleem

We verwelkomen gecoördineerde melding en handelen te goeder trouw met onderzoekers die hetzelfde doen. Bevindingen in het beveiligingsmodel zelf zijn nadrukkelijk welkom.

Meld vertrouwelijk aan

security@olivares.ai

Open voor een vermoedelijke kwetsbaarheid geen publieke issue, pull request of discussie. PGP is op verzoek beschikbaar voordat u details verstuurt.

Volledig beleid Beleid voor kwetsbaarheidsmelding (SECURITY.md) Machineleesbaar contact /.well-known/security.txt (RFC 9116)

Wat u kunt verwachten

Ontvangstbevestiging binnen 3 werkdagen
Eerste beoordeling binnen 10 werkdagen
Gecoördineerde melding tot 90 dagen, eerder als er een fix uitkomt

Stuur alstublieft geen

Geen echte secrets, credentials of tokens (redacteer ze), geen persoonsgegevens van klanten of derden en geen productiedumps, en geen live exploitatie van systemen die niet van u zijn. Beschrijf gevoelige impact in plaats van die bij te voegen — we regelen een veilig kanaal.

De ondersteunde lijn is de laatste getagde release; beveiligingsfixes landen op main en verschijnen in de volgende getagde release.

Subverwerkers

Wie data nog meer verwerkt

Deze website gebruikt geen subverwerkers voor analytics, advertenties of tracking. Het is een statische site met self-hosted fonts, een strikte same-origin Content-Security-Policy en geen cookies. De site wordt geleverd via een content delivery network, dat alleen de verbindingsmetadata verwerkt die nodig is om de pagina te leveren — we verzamelen geen persoonsgegevens wanneer u browst.

Olivares is software voor self-hosting. U kiest modelaanbieders en uitvoer- of telemetriebestemmingen. Diensten voor onze website, licenties en communicatie staan apart in het Vertrouwenscentrum.

Vertrouwenscentrum

Gegevensverwerking

Verwerkersovereenkomst (AVG art. 28)

Een verwerkersovereenkomst is op verzoek beschikbaar voor enterprise-inkoop. Omdat Olivares AI self-hosted is, blijft u in de meeste deployments zelf de verwerkingsverantwoordelijke en verwerker van uw eigen data binnen uw eigen infrastructuur; een verwerkersovereenkomst kan toch worden gesloten om de verantwoordelijkheden binnen een commerciële relatie vast te leggen.

Vraag een verwerkersovereenkomst aan

Compliancehouding

Eerlijk over waar we staan

Olivares AI is niet gecertificeerd onder SOC 2, ISO/IEC 27001, de EU AI Act of enig ander framework, en er loopt geen audit. We ontwerpen het product zo dat het aansluit op de controls die deze frameworks toetsen — auditlogging, toegangscontrole, integriteit, encryptie en wijzigingsbeheer — zodat het klaar is om geauditeerd te worden wanneer het zover is. Formele certificering (bijvoorbeeld SOC 2 Type 2) is een latere stap die de architectuur mogelijk moet maken; het is geen voorwaarde voor de eerste release.

Frameworks waar we naartoe ontwerpen

SOC 2 / ISO 27001

Controledoelstellingen waar we naartoe ontwerpen — niet gecertificeerd, op de roadmap.
EU AI Act

Ontworpen om de control- en documentatieverwachtingen ervan te ondersteunen.
CSA MAESTRO

Een methodologie voor threat modelling waar we tegen mappen — geen certificeerbare standaard.
OWASP agentic threats

Gemapt tegen de lijst met agentic threats en mitigaties.
CISA / NIST-richtlijnen

Richtlijnen, geen certificeerbare standaard — design-toward, geen conformiteitsclaim.

Waar we aansluiting op externe frameworks beschrijven, gaat het om een technische mapping, geen certificering — en voor standaarden die nog niet definitief zijn, is het een design-toward-signaal zonder conformiteitsclaim.

Build-integriteit

Releases worden cryptografisch ondertekend, worden geleverd met een software bill of materials en dragen build provenance.
Eén enkele, geheugenveilige statische binary in minimale, hardened container images.
Minimale, vastgepinde dependencies — geen installatiescripts die ongeverifieerde code uitvoeren.
Dependency- en secret-scanning bewaakt elke wijziging in CI.

Deze garanties gelden voor elke getagde release.

Hersteldoelen

Kritiek 7 dagen
Hoog 14 dagen
Gemiddeld 30 dagen
Laag volgende geplande release

Onze toegezegde herstelcadans, geldig vanaf de eerste getagde release. Actief geëxploiteerde kwetsbaarheden worden als kritiek behandeld.

Business: runtimebeveiliging en uw eigen sleutels

Community bevat guardrails, egress-DLP en de deny-closed-controles. Business voegt een contentfirewall toe, controles op server-tool-egress en computergebruik, een circuit breaker, MCP-tool-pinning, threat intelligence en sleutels in uw eigen sleuteldienst.

Wat Business toevoegt

Trust-vragen

Waar gaat mijn data naartoe?

Bent u SOC 2- of ISO 27001-gecertificeerd?

Nog niet. Het product is ontworpen om aan te sluiten op de controledoelstellingen van SOC 2 en ISO 27001, zodat het klaar is om geauditeerd te worden, maar formele certificering staat op de roadmap en is nog niet behaald. We claimen geen certificering die we niet hebben.

Hoe meld ik een beveiligingskwetsbaarheid?

Mail vertrouwelijk naar security@olivares.ai — open alstublieft geen publieke issue. Ons volledige beleid, inclusief reactietermijnen, staat op deze pagina en er wordt naar verwezen vanuit /.well-known/security.txt (RFC 9116). We bevestigen ontvangst binnen drie werkdagen.

Bieden jullie een verwerkersovereenkomst aan?

Ja, een verwerkersovereenkomst conform AVG artikel 28 is op verzoek beschikbaar voor enterprise-inkoop. Neem contact op via enterprise@olivares.ai.

Vragen van uw security- of inkoopteam?

Meld een kwetsbaarheid bij ons securitycontact, of neem contact op voor inkoop, een verwerkersovereenkomst of een security review.

Meld een kwetsbaarheid Contact inkoop