Bewijs en transparantie

In oktober 2026 zijn twee dingen door anderen dan wijzelf vastgesteld:

• De uitgever. TRASIMENE SAS is ingeschreven in het Franse nationale ondernemingsregister onder SIREN 103 240 560: een vereenvoudigde vennootschap op aandelen (société par actions simplifiée), opgericht op 30 maart 2026, met hoofdkantoor op 61 rue de Lyon, 75012 Paris, met Mohamed Essid als voorzitter. Apple identificeert hetzelfde bedrijf met zijn DUNS-nummer 286714569 op de App Store-pagina. Het register raadplegen: annuaire-entreprises.data.gouv.fr.
• De gepubliceerde apps. Elke versie van de app wordt door Apple beoordeeld voordat ze in de App Store verschijnt, en door Google voordat ze op Google Play verschijnt. De Android-app is uitgebracht op 9 juli 2026, de iPhone-app op 4 augustus 2026.

• App Store-pagina
• Google Play-pagina
• Frans nationaal ondernemingsregister

Een onafhankelijke beoordeling komt alleen op deze pagina met de naam van de instantie, de datum en het volledige rapport.

Trasimène werkt zonder knop om in te drukken. Je telefoon meet zijn instellingen, zijn netwerk en, op Android, zijn apps; onze servers vergelijken die metingen met regels en met lijsten van dreigingen die elke dag worden bijgewerkt, en sturen dan een groen, rood of grijs resultaat terug, uitgelegd in je eigen taal. Op Android vindt de analyse standaard elke 30 minuten plaats. Op iPhone vindt ze plaats wanneer iOS het toelaat.

In oktober 2026 voert de app tot 157 controles uit op Android en 48 op iPhone. Onze controles volgen het openbare MITRE ATT&CK Mobile-framework, dat de aanvalstechnieken op telefoons beschrijft (attack.mitre.org). Elke waarschuwing vertelt wat er is gezien en wat je moet doen.

Een grijs resultaat betekent dat de meting niet kon plaatsvinden: er ontbreekt een machtiging, de VPN staat uit, of het systeem staat het niet toe. Een grijs resultaat wordt nooit als groen getoond.

Als een regel niet klopt, passen we die aan op de server. De correctie werkt binnen enkele minuten en je telefoon krijgt die bij de volgende scan, zonder update van de app.

Onze informatie over dreigingen komt uit openbare, erkende bronnen: URLhaus, ThreatFox, MalwareBazaar en Feodo Tracker (abuse.ch), OpenPhish, Phishing.Database, CERT Polska, Google Safe Browsing, VirusTotal in laatste instantie (dat de vingerafdruk van een bestand of een sitenaam ontvangt, nooit het bestand), Have I Been Pwned voor gelekte adressen, de lijst van misbruikte kwetsbaarheden van CISA en de NVD-database. De volledige lijst, per gebruik, staat op de pagina Hoe Trasimène werkt.

Erkende testbestanden

De antivirusbranche gebruikt onschuldige testbestanden om te controleren of een beveiliging reageert: het EICAR-bestand, gepubliceerd door de Europese organisatie met dezelfde naam, en de bestanden van AMTSO, de vereniging van beveiligingsleveranciers en testlaboratoria, waaronder een Android-testapp. Sinds 22 oktober 2026 herkennen onze servers de vingerafdrukken van deze bestanden, in al hun gepubliceerde vormen, en behandelen ze die als elke andere bekende dreiging. Deze bestanden downloaden: eicar.org en amtso.org.

• Trasimène richt zich op wat een telefoon echt kwetsbaar maakt: zijn instellingen, zijn netwerk, zijn links en, op Android, zijn apps.
• Als een app een probleem vormt, vertelt Trasimène je welke, waarom en hoe je hem verwijdert. De beslissing blijft bij jou.
• De VPN meldt je de gevaarlijke sites die je benadert, zonder je verbinding in jouw plaats te verbreken. Het opzoeken van namen is toevertrouwd aan Quad9, een Zwitserse dienst die van zijn kant de kwaadaardige domeinen weert die hij kent.
• Op iPhone schermt iOS elke app af van de andere: geen enkele app ziet de lijst met andere apps, hun bestanden, je sms-berichten of hun meldingen. Trasimène werkt binnen dat kader, met 48 controles: jailbreak, iOS-versie, profielen en beheer op afstand, netwerk en Wi-Fi, links in QR-codes, lekken van je e-mailadres.

• VPN. De inhoud van je verkeer wordt niet gelezen en niet vastgelegd. Onze servers bewaren de geschiedenis van je VPN-verbindingen (server, adres dat je in de tunnel krijgt, tijdstip van verbinden en verbreken), die 72 uur na het einde van de toegang wordt gewist, en de hoeveelheid data die je elke maand uitwisselt, die 13 maanden wordt bewaard. Gedurende 48 uur bewaren ze ook de sites uit onze lijsten met bedreigingen en advertenties die je hebt benaderd, met hoe vaak, de meest opgevraagde sitenamen die niet bestaan, en cijfers over je verbindingen en de opgevraagde namen (aantal, poorten, duur, lengte), zonder adres en zonder sitenaam.
• Kluis. Je wachtwoorden, notities en bestanden worden op onze servers versleuteld met AES-256-GCM, met een sleutel die uniek is voor je account en wordt bewaard in een geheimenbeheerder met beperkte toegang, die elke uitlezing van een sleutel logt. Deze sleutel is niet afgeleid van je wachtwoord: je krijgt je kluis terug door je aan te melden op een nieuwe telefoon, zonder herstelzin die je moet bewaren. Onze servers ontsleutelen de inhoud om die in de app aan je te tonen. Capaciteit: 5 GB, tot 30 MB per bestand, 10.000 wachtwoorden en 10.000 notities. De sleutel en de kluis worden 30 dagen na het verwijderen van je account vernietigd.
• Resultaten van de controles. Het resultaat van elke controle (groen, rood of grijs, met de uitleg) wordt 30 dagen bewaard, om de geschiedenis en de rapporten te tonen. Het detail van een afwijking kan een site of een app noemen; het verdwijnt samen met de afwijking.
• Android-apps. Om je apps te beoordelen, bewaren onze servers voor elke app de technische naam, de vingerafdruk van het bestand, de handtekening van de uitgever en de herkomst, tot 30 dagen na de laatste scan waarin de app is gezien. De bestanden van de apps zelf verlaten je telefoon nooit.
• Gebruiksmeting. De app stuurt gebruiksmetingen (geopende schermen, stappen van het traject) naar Firebase Analytics en PostHog om het product te verbeteren. Ze staan aanvankelijk aan en worden uitgeschakeld in de instellingen van de app, met de schakelaar “Gebruiksstatistieken”. Foutrapporten gaan naar Sentry en Firebase Crashlytics.

De gegevens van je account (e-mailadres, naam, voorkeuren) blijven bewaard zolang je account bestaat. Het detail van elk gegeven, de bewaartermijn en de rechtsgrondslag ervan staat in het privacybeleid.

Je gegevens worden aan niemand verkocht. De app toont geen advertenties en bevat geen enkele tool van Meta, TikTok, Snapchat of LinkedIn. Alle beveiliging is gratis, zonder proefperiode en zonder tijdslimiet; alleen de VPN is betaald: € 3,99/maand of € 39,99/jaar.

Om de dienst te laten draaien, vertrouwen we gegevens toe aan dienstverleners, elk voor één specifieke taak:

• Hosting: Google Cloud, regio europe-west1 (Europese Unie), voor de API, de website, de databases en de bestanden van de kluis; de sleutels van de kluis staan in de geheimenbeheerder van Google Cloud. De 19 VPN-servers zijn Google Cloud-machines, één per land, geïnstalleerd en beheerd door Trasimène.
• Gebruiksmeting, uit te schakelen: Firebase Analytics (Google) en PostHog (servers in de Europese Unie).
• Foutrapporten: Sentry (servers in de Europese Unie voor de apps en de website) en Firebase Crashlytics.
• Betaling: Apple in de iPhone-app, Google in de Android-app; RevenueCat en Stripe op trasimene.com. We zien en bewaren geen enkel kaartgegeven.
• E-mails: Resend, voor bevestigings-, waarschuwings- en factuurberichten, en voor de nieuwsbrief als je daarop bent ingeschreven.
• Bewaking van datalekken: Have I Been Pwned ontvangt elk e-mailadres dat je wilt laten bewaken en laat ons weten of het in een bekend datalek voorkomt; controle bij het toevoegen, daarna elke 24 uur.
• Reputatie van links en bestanden: Google Safe Browsing en VirusTotal, die het adres van een link of de vingerafdruk van een bestand ontvangen, nooit het bestand.

Meting van onze campagnes, met je toestemming: wanneer je een account aanmaakt met je e-mailadres op Android of op trasimene.com, vraagt een niet-aangevinkt vakje of je ons wilt helpen te weten welke campagnes echte gebruikers opleveren. Als je ermee instemt, worden het aanmaken van het account en een abonnement gemeld aan onze advertentieplatforms (Meta, TikTok, Snapchat, LinkedIn) met een hash van je e-mailadres. Meta, TikTok en Snapchat ontvangen bij de registratie ook je IP-adres en de technische beschrijving van je browser of telefoon (user-agent). Google Analytics ontvangt een account-ID, nooit je adres. Zonder je toestemming wordt niets verzonden, en vanaf een iPhone wordt nooit iets verzonden. Je trekt je toestemming op elk moment in via de instellingen van je account.

Onze verklaringen aan de appwinkels. Het privacylabel van de App Store en de sectie Gegevensveiligheid van Google Play geven, in het formaat dat elke winkel voorschrijft, weer wat de app verzamelt en deelt. We stellen ze zelf op en herlezen ze bij elke wijziging, zodat ze overeenkomen met ons privacybeleid en met deze pagina.

Elke dienstverlener, de doorgiften buiten de Europese Unie en je rechten worden beschreven in het privacybeleid.

Een kwetsbaarheid gevonden in de app, de website of de API? Schrijf naar contact@trasimene.com. Ons security.txt-bestand, op het adres /.well-known/security.txt, vermeldt dit contactadres en verwijst naar dit beleid.

We bevestigen de ontvangst binnen 5 werkdagen en geven je binnen 15 werkdagen een eerste beoordeling. We verhelpen bevestigde kwetsbaarheden met voorrang en houden je op de hoogte tot de publicatie van de correctie.

We ondernemen geen juridische stappen tegen iemand die te goeder trouw handelt: die de gegevens van andere gebruikers niet leest, wijzigt of bewaart, die de dienst niet verstoort, en die ons de tijd geeft om het probleem te verhelpen voordat hij of zij iets publiceert.

Dankbetuigingen

Met hun toestemming wordt elke persoon die ons een bevestigde kwetsbaarheid heeft gemeld hier genoemd, met de datum.

• Hoe Trasimène werkt
• Beveiliging en versleuteling
• Privacybeleid
• Bedrijf en pers
• security.txt-bestand