Beveiliging · Vertrouwen
Elke publieke release wordt ondertekend, geattesteerd en met een software-stuklijst geleverd — u verifieert herkomst en integriteit met openbare tools in plaats van ons te vertrouwen. De eerste getagde release, v26.8.0, is gepubliceerd; de artefacten ervan zijn het bewijs.
Toeleveringsketen
De release-pipeline genereert deze artefacten automatisch, en elk ervan staat op de eerste getagde release, v26.8.0 (2026-09-01): download de artefacten en verifieer ze met openbare tools.
Elke release-binary wordt gebouwd door GitHub Actions met SLSA-herkomstattestatie via slsa-github-generator. De attestatie bewijst dat de binary is gebouwd van de vastgelegde broncode, in een geharde build-omgeving, zonder handmatige interventie.
Hoe verificatie werktHet checksums-manifest en de container-image worden ondertekend met Sigstore cosign (sleutelloze modus via Fulcio + Rekor); de archieven dragen SBOM- en OpenVEX-attestaties en de set draagt SLSA-herkomst — elk via een eigen pad geverifieerd. U kunt verifiëren zonder dat wij een publieke sleutel distribueren — het transparantielogboek is de vertrouwensbasis.
VerificatiegidsElke release bevat SBOM in zowel CycloneDX- als SPDX-formaat, met een lijst van elke afhankelijkheid met versie en licentie. Machine-leesbaar, controleerbaar.
Hoe u de SBOM verifieertBekende kwetsbaarheden en hun toepasselijkheid op elke release worden gepubliceerd als OpenVEX-documenten. VEX-verklaringen onderscheiden "getroffen", "niet getroffen" en "in onderzoek".
Hoe adviezen worden geverifieerdEen machine-leesbaar beleid voor kwetsbaarheidsmeldingen op /.well-known/security.txt, conform RFC 9116. Bevat contactgegevens, beleidslink en vervaldatum.
security.txt bekijkenArchitectuur
Onbekende status wordt geweigerd, niet toegestaan. Elke beleidsbeslissing gebruikt standaard weigering — een engine die zijn beleidsopslag niet kan bereiken, weigert alle verzoeken in plaats van open te falen.
Het auditlogboek is alleen-toevoegen met cryptografische kettingvorming. Gebeurtenissen kunnen niet stilzwijgend worden gewijzigd of verwijderd — manipulatie breekt de keten en is detecteerbaar.
De engine draait volledig in uw omgeving. Licentieverificatie is offline (Ed25519-handtekeningcontrole). Geen telemetrie, geen verplichte netwerkoproepen, geen activeringsserver.
Op Cedar gebaseerde RBAC en ABAC met beperkte toekenningen. Aangepaste rollen, delegatieplafonds en noodtoegang met dubbele controle. De standaard rechtenset is leeg.
Compliance
Wij publiceren wat live is en wat nog niet is gestart. Wij claimen geen certificeringen die wij niet hebben verkregen.
RFC 9116 security.txt
Machine-leesbaar beleid voor kwetsbaarheidsmeldingen, live op /.well-known/security.txt.
SLSA Build Level 3
Herkomstattestatie via slsa-github-generator — gebouwd en in CI beproefd; wordt gepubliceerd met elke getagde release.
SBOM (CycloneDX + SPDX)
Software-stuklijst gegenereerd voor elke release-build.
Sleutelloze cosign-handtekeningen
Sigstore-gebaseerde artefactondertekening via Fulcio + Rekor.
OpenVEX-adviezen
Toepasselijkheidsverklaringen voor kwetsbaarheden per release.
SOC 2 Type II
Gepland. Vereist voor de beheerde cloud, niet voor zelf hosten.
ISO 27001
Gepland. Tijdlijn niet vastgelegd.
Onafhankelijke penetratietest
Gepland. Wordt gepubliceerd na voltooiing.
Framework-gereedheid
Het product brengt mogelijkheden in kaart voor 26 compliance-frameworkcatalogi. Hieronder het gereedheidspostuur voor de frameworks die het meest gevraagd worden door enterprise-kopers. Elk item is een gereedheidsmapping — geen certificering.
Mapping van Bijlage A-controles met bewijsverwijzingen. Niet gecertificeerd.
AIMS-gereedheidsmapping — het product genereert het bewijs dat een AIMS vereist. Niet gecertificeerd.
Mapping van Trust Services Criteria (Security / Common Criteria). Niet geattesteerd.
Bijlage IV sjabloon voor technische documentatie. Het product is governance-tooling, niet zelf een Bijlage III-systeem.
Zelfbeoordelingen CAIQ v4 en AI-CAIQ (AICM v1.0) voorbereid. Niet ingediend bij het STAR Registry.
RTBF-runbook met crypto-shred, residentie-attestatie, retentie en juridische bewaring. Zelf gehost: de klant is verwerkingsverantwoordelijke en verwerker.
Subcategorie-mapping inclusief het Generatieve AI Profiel (AI 600-1).
Export van ICT-risicoweergave; de generator voor het Informatieregister is een enterprise-add-on.
Verplichtingenmapping met ICT-toeleveringsketen-postuur en bewijs van incidentmelding.
Vertrouwenspakket
Het vertrouwenspakket is te downloaden vanuit dit Trust Center en wordt meegeleverd in de publieke broncode-repository. Enterprise-kopers kunnen het volledige pakket aanvragen — inclusief vooraf ingevulde vragenlijsten en de evaluatiegids — via enterprise@olivares.ai.
Beschikbare bestanden zijn openbare Markdown-momentopnamen met bronherkomst. Items zonder deelbare bron blijven op aanvraag beschikbaar.
CSA Cloud Controls Matrix v4 — 17 domeinen met bewijsverwijzingen.
Downloaden (Markdown)CSA AI Controls Matrix v1.0 — 18 domeinen inclusief Model Security.
Downloaden (Markdown)33 vooraf geverifieerde antwoorden afgestemd op SIG 2026, CSA AI-CAIQ en gangbare kopersvragenlijsten.
Downloaden (Markdown)Kopersgerichte architectuur: drie vertrouwenszones, deployment-topologieën, HA/DR, dimensionering.
Downloaden (Markdown)Waardebewijs in 10 werkdagen — pass/fail-criteria tegen de echte binary.
Downloaden (Markdown)Volledige vergelijking Community (AGPL) vs Enterprise — de volledige Enterprise-add-onset.
Downloaden (Markdown)Bedreigingsmodel-verificatie met file:line-bewijs — pentest-klaar.
Op aanvraag beschikbaarVoluntary Product Accessibility Template voor de admin-console.
Downloaden (Markdown)Gegevensverwerking
Olivares AI is zelf gehoste software. Olivares-governancedata — inventaris, toegangskaart, beleidsstatus en auditbewijs — blijft standaard in infrastructuur die u beheert, en er zijn geen subverwerkers van klantgegevens. Verzoeken aan gehoste modelaanbieders, en alle uitvoer- of telemetriebestemmingen die u configureert, gaan naar de leveranciers die u kiest — uw leveranciers, niet de onze; het product catalogiseert ze in de inventaris voor uw risicobeheer van derden. Olivares zelf doet geen verplichte calls home.
Als een beheerd cloudaanbod wordt geïntroduceerd, worden subverwerkers hier vermeld voordat enige gegevensverwerking begint.
Onze website, licenties en communicatie draaien op:
Websitehosting, DNS en botbescherming.
Transactionele e-mail en nieuwsbriefbezorging.
Merchant of record voor commerciële licenties.
Broncodehosting en community.
We gebruiken geen client-side analyticsprovider en voeren geen analytics in de browser uit.
Zelf verifiëren
Elke artefactbewering op deze pagina is verifieerbaar met openbare tools tegen de gepubliceerde release — het meegeleverde script verifieert de bestanden die het herkent (het cosign-ondertekende checksums-manifest, de SBOM- en OpenVEX-attestaties, de SLSA-herkomst) en zegt wat het heeft overgeslagen; container-images worden per digest geverifieerd. Download eerst de artefacten; pipe nooit een installer in een shell.
# Download de release-artefacten (v26.8.0 of later) en draai daarna de
# meegeleverde verifier vanuit die directory:
scripts/verify-release.sh # sleutelloos (Sigstore)
scripts/verify-release.sh --key cosign.pub --offline # air-gapped, geen netwerkHet script controleert cosign-handtekeningen, SLSA-herkomst en de SBOM- en OpenVEX-attestaties. De volledige handmatige commandoketen is gedocumenteerd in de verify-a-release-gids in de docs.
Implementeer de demo-omgeving in vijf minuten en voer vervolgens het volledige waardebewijs uit in 10 werkdagen. De evaluatiegids bevat pass/fail-criteria tegen de echte binary — geen slides, geen sandbox, geen demo-omgeving die verschilt van productie.
Nog niet. Voor beide bestaan readiness-mappings — SOC 2 (Trust Services Criteria) en ISO 27001 (Annex A-controls) — met verwijzingen naar bewijs in de codebase. SOC 2 Type II is gepland voor de beheerde cloud. Wij publiceren onze positie, geen claims.
Nog niet. Een onafhankelijke penetratietest is gepland en wordt na voltooiing gepubliceerd.
Draai het meegeleverde verificatiescript (scripts/verify-release.sh) over de gedownloade artefacten van v26.8.0 of later, of verifieer handmatig met cosign — het checksums-manifest is cosign-ondertekend, de archieven dragen SBOM- en OpenVEX-attestaties, en de set draagt SLSA-herkomst. Geen vertrouwen in ons vereist: het transparantielogboek is de vertrouwensbasis.
Olivares AI is zelf gehost — uw gegevens blijven in uw eigen infrastructuur. De leverancier ziet, slaat nooit op en verwerkt uw gegevens niet. Er zijn geen subverwerkers. De beheerde cloud (indien beschikbaar) zal toezeggingen voor dataresidentie bieden.
Ja — een verwerkersovereenkomst conform art. 28 AVG is op aanvraag beschikbaar via enterprise@olivares.ai voor enterprise-inkoop, ook self-hosted, waar u verwerkingsverantwoordelijke en verwerker van uw eigen data blijft. Een toekomstige managed cloud publiceert haar eigen DPA en subverwerkerslijst.
Het product brengt 26 frameworkcatalogi in kaart, waaronder EU AI Act, NIST AI RMF, ISO 42001, SOC 2, ISO 27001, GDPR, NIS 2, DORA, OWASP Agentic, CSA AICM en Amerikaanse staatsspecifieke AI-wetten. Elk framework bestaat uit data met bewijs per controle — geen certificeringsclaim.
Installeer een ondertekende release of compileer vanuit de broncode, start de demo-omgeving in vijf minuten en volg de 10-daagse evaluatiegids. Elk criterium is pass/fail tegen de echte binary. Neem contact op met enterprise@olivares.ai voor een enterprise-evaluatielicentie tijdens de POV.
De AGPL-build is het volledige platform — niets is verwijderd. Enterprise voegt zijn volledige set risicobeperking- en schaalmogelijkheden toe (multi-IdP, content-firewall, WORM-retentie, DORA-register en meer) plus een juridische uitzondering op de AGPL-copyleft en commerciële support waarvan de omvang bij de lancering wordt gepubliceerd. De volledige feature-matrix staat in het vertrouwenspakket.
Elke publieke release wordt ondertekend, geattesteerd en gedocumenteerd geleverd — verifieer de integriteit zelf. De eerste getagde release, v26.8.0, is gepubliceerd.