Beveiliging en versleuteling
Onze aanpak van beveiliging is gedocumenteerd, controleerbaar en transparant.
MITRE ATT&CK Mobile-dekking
Onze functies steunen op meerdere beveiligingscontroles die gekoppeld zijn aan het MITRE ATT&CK Mobile-framework, een openbare kennisbank die aanvalstechnieken op telefoons beschrijft.
Dreigingsmodel
Trasimène richt zich op gedocumenteerde dreigingen uit het MITRE ATT&CK Mobile-framework: phishing en quishing, kwaadaardige apps, netwerkonderschepping (MITM), datalekken en spyware. De exacte reikwijdte van de detecties hangt af van de mogelijkheden die elk platform (Android, iOS) biedt: we documenteren wat de app wél en niet kan detecteren, zonder 100% bescherming te beloven.
Naleving van standaarden
OWASP Mobile Top 10, OWASP MASTG, NIST SP 800-63B, AVG en ISO 25010 sturen onze keuzes. De server en de website worden gedekt door geautomatiseerde tests: meer dan 1.700 tests voor de website en meer dan 300 testbestanden voor de server in oktober 2026. Ons beleid voor verantwoorde openbaarmaking is openbaar (security.txt): elke melding krijgt een ontvangstbevestiging en een antwoord. Wat derden hebben gecontroleerd, staat bij elkaar op de pagina Bewijs en transparantie.
Versleuteling
AES-256-GCM voor de kluis, TLS 1.2 en 1.3 voor de communicatie tussen de app, de website en onze servers, WireGuard voor de VPN. De versleutelingssleutels van de kluis worden opgeslagen in Google Cloud Secret Manager, één sleutel per account.
Beheer van sleutels en geheimen
De versleutelingssleutels van de kluis (één per account, willekeurig aangemaakt) en de infrastructuurgeheimen worden opgeslagen in Google Cloud Secret Manager, in rust versleuteld door Google en automatisch gerepliceerd om beschikbaar te blijven. De toegang ertoe is via de IAM-rechten van Google Cloud beperkt tot de diensten van Trasimène en bevoegde personen, en elke uitlezing van een sleutel van de kluis wordt gelogd; er wordt nooit een sleutel naar de telefoon verzonden. De inhoud van de kluis wordt versleuteld met AES-256-GCM; wij bewaren geen kaartgegevens.
Datalocatie
De website, de API en de gegevens (accounts, resultaten, versleutelde kluis) worden gehost op Google Cloud, regio europe-west1 (België, EU). De VPN-servers zijn machines die we huren bij Google Cloud in 19 landen, waarvan 5 in de EU, en die door Trasimène worden geïnstalleerd en beheerd. Er worden geen gegevens verkocht. De dienstverleners en de doorgiften buiten de EU staan beschreven in ons privacybeleid.
Privacy
Er worden geen gegevens verkocht en de app toont geen advertenties. Trasimène verzamelt de gegevens die de dienst nodig heeft. De app stuurt daarnaast gebruiksmetingen naar Firebase Analytics en PostHog, die je in de instellingen van de app kunt uitschakelen (“Gebruiksstatistieken”), en foutrapporten naar Sentry en Firebase Crashlytics. Als je daarmee instemt wanneer je je account aanmaakt op Android of op trasimene.com, worden het aanmaken van het account en een abonnement gemeld aan Meta, TikTok, Snapchat, LinkedIn en Google Analytics om onze campagnes te meten; zonder je toestemming wordt niets verzonden, en vanaf een iPhone wordt nooit iets verzonden. De details en hoe je je toestemming intrekt, staan in ons privacybeleid.
Responsible disclosure
Een kwetsbaarheid gevonden? Mail ons op contact@trasimene.com. Onze reactietermijnen, onze toezegging aan onderzoekers die te goeder trouw handelen en onze dankbetuigingen staan op de pagina Bewijs en transparantie, waarnaar ons security.txt-bestand (/.well-known/security.txt) verwijst.