Responsible disclosure

Zo meld je een kwetsbaarheid

Mail je bevindingen naar security@datacation.nl. Geef genoeg informatie, zodat we het probleem kunnen reproduceren. Meestal is dit genoeg:

• de URL, het endpoint of het IP-adres waar het om gaat
• wat de kwetsbaarheid is, en wat een aanvaller ermee kan
• de stappen om het te reproduceren, bijvoorbeeld een request en response, een kort script of screenshots
• waar je het vond: op onze live website of in een testomgeving

Je kunt ons in het Nederlands of in het Engels schrijven.

Wat we van je vragen

Om onze gebruikers en hun gegevens te beschermen, vragen we je om:

• het probleem zo snel mogelijk te melden nadat je het hebt gevonden
• niet verder te gaan dan nodig is om aan te tonen dat het probleem bestaat. Download dus niet meer gegevens dan nodig, en bekijk, wijzig of verwijder geen gegevens van anderen
• het probleem niet met anderen te delen totdat we het hebben opgelost
• geen social engineering, phishing of fysieke aanvallen te gebruiken tegen Datacation of onze medewerkers
• geen denial-of-service-aanvallen, spam of geautomatiseerde belastingtests uit te voeren, en niets te doen waar echte gebruikers last van krijgen
• geen backdoor te plaatsen en niets achter te laten op onze systemen. Moet je voor een proof of concept toch iets aanmaken? Laat ons dan weten wat, zodat we het kunnen opruimen

Wat wij beloven

• Binnen 3 werkdagen bevestigen we dat we je melding hebben ontvangen.
• Binnen 7 werkdagen krijg je onze beoordeling en, als dat kan, een verwachte datum voor de oplossing.
• We houden je op de hoogte terwijl we aan een oplossing werken, en laten het je weten zodra het probleem is opgelost.
• We behandelen je melding vertrouwelijk. We delen je persoonsgegevens niet zonder jouw toestemming met derden, tenzij de wet ons daartoe verplicht.
• Heb je je aan de regels op deze pagina gehouden en te goeder trouw gehandeld? Dan ondernemen we geen juridische stappen tegen je vanwege je melding.
• Als je dat wilt, noemen we je naam als ontdekker van het probleem wanneer we erover publiceren.
• We streven ernaar het probleem binnen 60 dagen na je melding op te lossen. Of en wanneer we details openbaar maken, bepalen we samen met jou. Duurt een oplossing langer, dan leggen we je uit waarom.

We hebben geen betaald bug bounty-programma en betalen niet voor meldingen. Meldingen te goeder trouw zijn natuurlijk wel van harte welkom.

Waar dit beleid over gaat

Meer informatie

Beveiligingstools en scanners vinden onze contactgegevens in /.well-known/security.txt.

Hoe we omgaan met de persoonsgegevens in je melding, lees je in ons privacybeleid.

Laatst bijgewerkt op 16 oktober 2026.