Beveiliging eerst ontwerpmatig.
Beveiliging op enterpriseniveau is geen add-on — het is fundamenteel. Elke laag van Team Two is gebouwd om uw gegevens te beschermen, aan compliance-eisen te voldoen en uw securityteam vertrouwen te geven.
Compliance
Gebouwd voor gereguleerde sectoren.
In lijn met ISO 27001
Onze beveiligingspraktijken volgen de ISO 27001-maatregelen: gedocumenteerd beleid, toegangsbeheer, risicobeoordeling en incidentafhandeling. We zijn nog niet ISO 27001-gecertificeerd; certificering staat op onze roadmap.
Gebouwd volgens de AVG
We verwerken persoonsgegevens volgens de AVG (GDPR). We sluiten verwerkersovereenkomsten (DPA), ondersteunen de rechten van betrokkenen (inzage, verwijdering, overdraagbaarheid) en documenteren de rechtsgrond voor verwerking. Zie ons privacybeleid en de lijst met subverwerkers.
Gebouwd voor de EU AI-verordening
Ontworpen met de EU AI-verordening in gedachten: menselijk toezicht, transparantie over wanneer iemand met een AI-agent praat, en audit trails voor acties van agents. Uw verplichtingen hangen af van hoe u agents inzet, en wij helpen u daaraan te voldoen.
Infrastructuur
Gehost in de EU. Beveiligd op elke laag.
Klantgegevens worden opgeslagen in AWS Stockholm (eu-north-1). Modelinferentie loopt via de aanbieders die u kiest, vermeld op onze pagina met subverwerkers. Lokale vLLM of uw eigen sleutels houden inferentie binnen uw eigen omgeving.
AWS Stockholm (eu-north-1)
Primair datacenter in Stockholm, Zweden. Klantgegevens worden in de EU opgeslagen.
VPC-isolatie
Dedicated Virtual Private Cloud met private subnets, netwerk-ACL’s en security groups. Geen publiek toegankelijke database-eindpunten.
Versleuteling in rust
Alle gegevens versleuteld met AES-256. Database, bestandsopslag, back-ups — alles in rust is versleuteld met door AWS KMS beheerde sleutels.
Versleuteling tijdens transport
TLS 1.3 afgedwongen op alle verbindingen. Interne service-naar-service-communicatie versleuteld. Certificate pinning voor kritieke paden.
Geautomatiseerde back-ups
Point-in-time recovery met geautomatiseerde dagelijkse back-ups, 30 dagen bewaard. Cross-region back-upreplicatie beschikbaar voor Enterprise.
DDoS-bescherming
AWS Shield en WAF beschermen alle eindpunten. Rate limiting, IP-allowlisting en geautomatiseerde dreigingsdetectie aan de edge.
Gegevensbescherming
Uw gegevens blijven van u.
Tenant-isolatie
Elke databasequery is beperkt tot tenant-ID. Row-level security voorkomt dat gegevens tussen organisaties uitlekken. Aparte versleutelingssleutels per tenant beschikbaar bij Enterprise.
Credential-versleuteling
Alle credentials van derden (Slack, Jira, Notion-tokens) worden voor opslag versleuteld met AES-256-GCM. Alleen tijdens runtime ontsleuteld, nooit gelogd, nooit in platte tekst gecached.
Data residency
Klantgegevens worden opgeslagen in de EU (Stockholm). Als u cloudmodelaanbieders zoals Anthropic of OpenAI gebruikt, verwerken zij prompts onder standaardcontractbepalingen of het EU-VS Data Privacy Framework. Met lokale vLLM of uw eigen sleutels bepaalt u zelf waar inferentie draait.
Bewaring & verwijdering
Configureerbare bewaartermijnen per tenant. Volledige ondersteuning voor recht op wissing — als u verwijdert, verwijderen wij. Geen datamining, geen secundair gebruik.
Geen training op uw gegevens
Uw gesprekken, documenten en agentinteracties worden nooit gebruikt om een model te trainen — het onze of van derden. Uw gegevens zijn uw concurrentievoordeel, niet het onze.
BYOK (Bring Your Own Keys)
Koppel uw eigen Anthropic-, OpenAI- of vLLM-omgeving. U betaalt de aanbieder rechtstreeks en uw eigen overeenkomst met hen is van toepassing. Lokale vLLM houdt inferentie binnen uw eigen infrastructuur.
Platformbeveiliging
Verdediging in de diepte op elke laag.
Authenticatie
Kortlevende JWT-toegangstokens (15 minuten) met refresh-tokens van 7 dagen, en API-sleutels (SHA-256-gehasht, prefix ap_).
Op rollen gebaseerde toegangscontrole
Drielagen hiërarchie van rollen (Admin > Manager > Member) met gedetailleerde rechten. agents:read, knowledge:write, settings:admin — elke actie afgebakend en afgedwongen.
Tenant Guard
Elk API-verzoek wordt gevalideerd tegen de tenant van de geauthenticeerde gebruiker. Cross-tenant-toegang is architectonisch onmogelijk — niet alleen beleid, maar code.
Audit logging
Elke POST-, PUT-, PATCH-, DELETE-aanvraag automatisch vastgelegd. Gebruiker, actie, resource, IP-adres, tijdstempel — onwijzigbaar opgeslagen voor compliancereview.
Toolbeleid & sandboxing
Op bestanden gebaseerde tools gebruiken workspace guards om directory traversal te voorkomen. Tooltoegang configureerbaar per agent. Output-redactie verwijdert gevoelige patronen vóór levering.
Sessie-isolatie
Deterministische sessiesleutels (tenantId:agentId:channel:userId) waarborgen gespreksisolatie. Geen sessie kan de context van een andere tenant benaderen.
LLM- & AI-veiligheid
AI die u kunt vertrouwen en verifiëren.
Human-in-the-loop
Goedkeuringspoorten laten agents pauzeren en om menselijk oordeel vragen vóór het uitvoeren van gevoelige acties. Consultatiemodus, verhelderende vragen en escalatiepaden zijn ingebouwd.
Agentgrenzen
Elke agent heeft een gedefinieerde persona, toolset en kennisdomein. Agents kunnen hun grenzen niet overschrijden — ze hebben alleen toegang tot wat u expliciet verleent.
Mitigatie van prompt injection
Systeemprompts zijn geïsoleerd van gebruikersinvoer. Invoersanitisatie, outputvalidatie en handhaving van grenzen verkleinen het oppervlak voor prompt injection.
Configureerbare tooltoegang
Toolbeleid per agent bepaalt welke tools beschikbaar zijn. Master agents krijgen spawn-tools; sub-agents niet — recursieve agentketens worden voorkomen.
Providerflexibiliteit
Routeer gevoelige workloads via lokale vLLM (gegevens verlaten uw netwerk niet) of cloudproviders met gatewaybeleid. Automatische fallback waarborgt beschikbaarheid.
Volledige observability
Realtime streaming toont elke fase: routing, denken, tool calls, voortgang van sub-agents. Elke token gevolgd, elke beslissing auditbaar. Geen black boxes.
Operationele beveiliging
Hoe wij het schip besturen.
SOC 2 Type II
Momenteel in uitvoering. Onze beheersmaatregelen voor beveiliging, beschikbaarheid en vertrouwelijkheid worden formeel geaudit. Verwachte afronding Q3 2026.
Penetratietests
Jaarlijkse penetratietests door derden van erkende bureaus. Bevindingen verholpen binnen SLA-termijnen. Rapporten beschikbaar voor Enterprise-klanten onder NDA.
Incident response
Gedocumenteerd incidentresponseplan met gedefinieerde ernstniveaus, escalatiepaden en communicatieprotocollen. 24-uurs meldingscommitment voor securitygebeurtenissen.
Kwetsbaarhedenbeheer
Continue dependency scanning, geautomatiseerde CVE-monitoring en een patchmanagementbeleid. Kritieke kwetsbaarheden binnen 24 uur aangepakt.
Medewerkerbeveiliging
Achtergrondcontroles, security awareness training, least-privilege-toegang en verplichte 2FA voor alle medewerkers. Toegang tot productiesystemen beperkt en geaudit.
Responsible disclosure
We verwelkomen security researchers. Meld kwetsbaarheden aan security@tt2.ai. We reageren binnen 48 uur en erkennen geldige bevindingen.
Vragen over beveiliging?
Ons securityteam helpt u graag. Vraag ons beveiligingswhitepaper aan, bekijk onze DPA of plan een diepgaande securitysessie.