Security: how EverStamp protects files and data

In één oogopslagAt a glance

Onderwerp	Stand	Toelichting
Topic	Status	Notes
Controle zonder vertrouwen in EverStamp	grotendeels	Elke foto en elk dossier is te controleren met open standaarden (C2PA, RFC 3161, de Europese vertrouwenslijst) en de wortels van Apple en Google. Alleen de bevestiging dat EverStamp het dossier registreerde komt van ons: live van het register, of bij een dossier uit de app vanaf versie 1.1 als handtekening van het register in het dossier, te controleren met onze gepubliceerde sleutel. Zonder die bevestiging is het oordeel nooit groen.
Verification without trusting EverStamp	largely	Every photo and every file can be checked with open standards (C2PA, RFC 3161, the European trust list) and the roots of Apple and Google. Only the confirmation that EverStamp registered the file comes from us: live from the registry, or for a file from the app from version 1.1 as the registry’s signature in the file, checkable with our published key. Without that confirmation the verdict is never green.
Foto's op onze servers	nee, tenzij je deelt, een verzoek beantwoordt of je organisatie bewaren aanzet	Foto's blijven op het toestel. Een deellink zet een versleuteld archief tijdelijk bij ons, met een sleutel die alleen in de link zit. Een levering (het antwoord op een verzoek) en bewaren bij EverStamp (een keuze van de organisatie, voor al haar dossiers) zetten het archief bij ons met de sleutel versleuteld in de kluis van het register. Omdat wij de sleutel beheren, kan EverStamp het technisch openen; dat doen wij alleen op schriftelijk verzoek van de organisatie, of als een bevoegde rechter of autoriteit ons daartoe met een bevel of vordering op grond van de wet verplicht. Zo’n bevel of vordering toetsen wij, wij verstrekken niet meer dan gevorderd, en wij melden het de organisatie vooraf of zo snel als dat mag, tenzij de wet die melding verbiedt. Via het dashboard of de API openen alleen een eigenaar, beheerder of API-sleutel van de organisatie het, en elke opening via het dashboard of de API staat in haar auditlog. Een eigenaar of beheerder kan ook een projectlink maken; wie die link heeft, krijgt dan de sleutel van elk dossier in die link dat die opent, tot de link eindigt, hooguit na 90 dagen.
Photos on our servers	no, unless you share a file, answer a request, or your organisation turns on storage at EverStamp	Photos stay on the device. A share link places an encrypted archive with us temporarily, under a key that sits only in the link. A delivery (the answer to a request) and storage at EverStamp (a choice of the organisation, for all its files) place the archive with us with the key encrypted in the vault of the registry. Because we manage the key, EverStamp can technically open it; we do so only at the organisation’s written request, or if a competent court or authority obliges us to by an order or demand based on the law. We review such an order or demand, we provide no more than is demanded, and we tell the organisation in advance or as soon as that is allowed, unless the law forbids that notice. Through the dashboard or the API only an owner, administrator or API key of the organisation opens it, and every opening through the dashboard or the API is written to its audit log. An owner or administrator can also make a project link; whoever has that link then gets the key of each file in that link they open, until the link ends, after 90 days at most.
Versleuteling onderweg en in rust	onderweg ja, in rust deels	TLS met HSTS. Archieven (deellinks, leveringen, bewaarde dossiers) zijn met AES-256-GCM versleuteld, en de geheimen in de database ook. De database van het register zelf, met onder meer namen, checklists en veldwaarden, staat niet versleuteld op de schijf van de server, net als de recente back-ups daar; de kopieën buiten de server zijn versleuteld met een sleutel die niet op de server staat.
Encryption in transit and at rest	in transit yes, at rest partly	TLS with HSTS. Archives (share links, deliveries, kept files) are encrypted with AES-256-GCM, and so are the secrets in the database. The registry database itself, with among other things names, checklists and field values, is not encrypted on the server’s disk, nor are the recent backups there; the copies off the server are encrypted with a key that is not on the server.
Signeersleutel in een HSM	ja	AWS KMS (Frankfurt); de sleutel verlaat de HSM nooit.
Signing key in an HSM	yes	AWS KMS (Frankfurt); the key never leaves the HSM.
Toestelsleutel in echte hardware, met attestatie	ja	Apple App Attest (iPhone) of Android Key Attestation bij het aanmelden, en elke registratie met die sleutel ondertekend: alleen onze app, met een sleutel die volgens Apple of Google in de beveiligde hardware van een echt toestel is gemaakt, komt binnen; een gejailbreakt of via een lek geroot toestel, of een uitgelekte attestatiesleutel, kan toch door de attestatie komen.
Device key in genuine hardware, attested	yes	Apple App Attest (iPhone) or Android Key Attestation when the device is enrolled, and every registration signed with that key: only our app, with a key that according to Apple or Google was created in the secure hardware of a real device, gets in; a jailbroken device, one rooted through an exploit, or a leaked attestation key can still pass the attestation.
Auditlog van handelingen	ja	Elke handeling op het dashboard en via de API, met wie en wanneer; plus een openbaar, gestempeld logboek.
Audit log of actions	yes	Every action in the dashboard and through the API, with who and when; plus a public, timestamped log.
Monitoring en statuspagina	ja	Doorlopend, op de server en door een onafhankelijke externe monitor; everstamp.app/status.
Monitoring and status page	yes	Continuous, on the server and by an independent external monitor; everstamp.app/status.
Back-ups en herstel	ja	Elk uur, op drie plekken bij twee leveranciers: op de server, en daarbuiten versleuteld bij Cloudflare R2 en in een Storage Box van Hetzner, met een sleutel die niet op de server staat; een ontbrekende kopie geeft een melding; herstel van het register volgens een runbook.
Backups and recovery	yes	Every hour, in three places with two providers: on the server, and off the server encrypted at Cloudflare R2 and in a Hetzner Storage Box, with a key that is not on the server; a missing copy raises an alert; recovery of the registry according to a runbook.
Gegevens in de EU	ja	Servers in Duitsland; opslag en database in EU-regio's. De lijst van subverwerkers staat onderaan.
Data in the EU	yes	Servers in Germany; storage and database in EU regions. The list of subprocessors is at the bottom.
Verwijderen op verzoek	ja	Een organisatie kan zichzelf opheffen: alles wordt gewist of ontdaan van namen en contactgegevens, tot in het register. De koppelingen van telefoons worden ingetrokken in plaats van gewist, zodat de app een keer kan melden dat hij is ontkoppeld; de naam van de organisatie blijft daardoor nog veertien dagen in die ingetrokken koppeling, alleen zichtbaar voor dat toestel.
Deletion on request	yes	An organisation can close itself down: everything is erased or stripped of names and contact details, right into the registry. The links of phones are revoked rather than deleted, so that the app can report once that it has been unlinked; the organisation’s name therefore stays in that revoked link for another fourteen days, visible only to that device.
Export van alle gegevens	ja	Een zip met alles van de organisatie, als json en csv, door een beheerder zelf te maken.
Export of all data	yes	A zip with everything belonging to the organisation, as JSON and CSV, generated by an administrator.
MFA voor je gebruikers	ja	Inloggen gaat zonder wachtwoord, via een link naar het e-mailadres of met Google of Microsoft, met een tweede stap via een app met codes (TOTP) voor wie die instelt. De eigenaar kan de tweede stap verplicht maken voor beheerders of voor iedereen; de database dwingt dat af, ook voor wie de database rechtstreeks aanspreekt. De eis zit op het aanvaarden van een uitnodiging en op de gegevens van de organisatie, niet op het zien van de uitnodiging zelf.
MFA for your users	yes	Sign-in is passwordless, through a link sent to the email address or with Google or Microsoft, with a second step through an authenticator app (TOTP) for anyone who sets it up. The owner can make the second step mandatory for administrators or for everyone; the database enforces it, also for anyone who calls the database directly. The requirement sits on accepting an invitation and on the data of the organisation, not on seeing the invitation itself.

Het ontwerp: wat je zelf kunt nagaanThe design: what you can check yourself

EverStamp is gebouwd op één uitgangspunt: wat een dossier vastlegt, moet je zo veel mogelijk kunnen nagaan zonder EverStamp te vertrouwen. Daarom wordt elke foto op het toestel getekend, met open standaarden, en kan iedereen de controles zelf doen.

EverStamp is built on a single principle: what a file records should, as far as possible, be checkable without trusting EverStamp. So every photo is signed on the device, with open standards, and anyone can redo the checks.

Op het toestel. Elke foto krijgt direct na de opname een vingerafdruk (hash) en een digitale handtekening met een sleutel die alleen op dat toestel bestaat. Het C2PA-manifest volgt zodra het toestel verbinding heeft; zonder verbinding komt het dus later. In een dossier staan de opnames op volgorde; uit al hun vingerafdrukken samen berekent de app de vingerafdruk van het dossier: verandert of ontbreekt er een opname, dan klopt die niet meer.
On the device. Every photo is hashed immediately after capture and signed with a key that exists only on that device. The C2PA manifest follows once the device has a connection, so without one it comes later. In a file the captures are in order; from all their fingerprints together the app computes the fingerprint of the file: if a capture changes or goes missing, it no longer matches.
Gekwalificeerde tijd. Het zegel over het dossier krijgt een tijdstempel van een dienst op de Europese vertrouwenslijst (eIDAS). De verificatiepagina controleert die lijst zelf, en de status van de dienst op het moment van stempelen.
Qualified time. The seal over the file receives a timestamp from a service on the European trust list (eIDAS). The verification page checks that list itself, and the status of the service at the moment of stamping.
Een tijdstempel per foto. Met de add-on krijgt elke foto een gekwalificeerde tijdstempel van SK ID Solutions. Zodra het register stempels per foto op het standaardniveau zet, komen die van SSL.com; wij gebruiken die niet als gekwalificeerde tijdstempel, en de verificatiepagina keurt ze tegen een vastgepind anker in plaats van de Europese vertrouwenslijst. Zo'n stempel verandert niets aan het niveau van het dossier: dat blijft het gekwalificeerde zegel.
A timestamp per photo. With the add-on every photo receives a qualified timestamp from SK ID Solutions. Once the registry puts per-photo stamps on the standard level, they come from SSL.com; we do not use them as qualified timestamps, and the verification page checks them against a pinned anchor instead of the European trust list. Such a stamp changes nothing about the level of the file: that remains the qualified seal.
Een openbaar logboek. Elk dossier wordt genoteerd in een openbaar logboek dat per uur gekwalificeerd wordt gestempeld, met elke periode gekoppeld aan de vorige. Een spiegel op onze eigen server verifieert de keten elke dag; iedereen mag er een draaien.
A public log. Every file is noted in a public log that is qualified-timestamped per hour, with each period linked to the one before it. A mirror on our own server verifies the chain every day; anyone is free to run one.
Verificatie in je eigen browser. everstamp.app/verify controleert het hele dossier in de browser; het bestand gaat niet weg. Alleen als het dossier een registerbewijs bevat dat de pagina niet zelf kan nagaan, zoals bij een dossier van vóór versie 1.1, gaat de vraag of ons register de vingerafdruk van dit dossier kent naar ons; een nieuwer dossier heeft meestal de handtekening van het register zelf, zodra het registerbewijs erin zit. Bij die vraag gaat alleen die vingerafdruk mee, en in de logbestanden van onze server maken wij die onleesbaar. De stempels en de C2PA-handtekeningen zijn ook te controleren met OpenSSL, c2patool en pyHanko, en dat hebben we gedocumenteerd. c2patool toont een Android-foto die tot en met 8 oktober 2026 is ondertekend als geldig maar niet vertrouwd; foto's die daarna zijn ondertekend, dragen een certificaat van een uitgever op de vertrouwenslijst van C2PA. Hetzelfde geldt voor een iPhone-foto die tot en met 23 september 2026 is ondertekend. De bevestiging dat EverStamp het dossier registreerde, nodig voor groen, komt van ons: live van het register, of bij een dossier uit de app vanaf versie 1.1 als handtekening van het register in het dossier.
Verification in your own browser. everstamp.app/verify checks the whole file in the browser; the file does not leave it. Only if the file carries a registry receipt that the page cannot check itself, as with a file from before version 1.1, does the question whether our registry knows the fingerprint of this file go to us; a newer file usually carries the registry’s signature itself, once the registry receipt is in it. With that question only that fingerprint travels, and in the log files of our server we make it unreadable. The timestamps and the C2PA signatures can also be checked with OpenSSL, c2patool and pyHanko, and we have documented how. c2patool shows an Android photo signed on or before 8 October 2026 as valid but not trusted; photos signed after that carry a certificate from an issuer on the C2PA trust list. The same holds for an iPhone photo signed on or before 23 September 2026. The confirmation that EverStamp registered the file, needed for green, comes from us: live from the registry, or for a file from the app from version 1.1 as the registry’s signature in the file.

Wat wij niet zien. Foto's, notities en posities blijven op het toestel. Het register bewaart per dossier een hash, een volgnummer en de wortel, en bij een dossier van een organisatie of een verzoek ook de naam van het dossier, de checklist, de veldwaarden en de naam van het lid of de gast; nooit beelden. Alleen een deellink, een levering of bewaren bij EverStamp zet een archief bij ons, versleuteld met AES-256-GCM. Bij een deellink zit de sleutel in de link en wordt hij nooit naar ons verstuurd; bij een levering en bij bewaren houdt het register hem versleuteld in zijn kluis voor de organisatie, en geeft het hem alleen af aan de organisatie, via haar dashboard of haar API, of, met een projectlink die zij maakt, aan wie die link heeft. Omdat wij de sleutel beheren, kan EverStamp zo'n archief technisch openen; dat doen wij alleen op schriftelijk verzoek van de organisatie, of als een bevoegde rechter of autoriteit ons daartoe met een bevel of vordering op grond van de wet verplicht. Zo’n bevel of vordering toetsen wij, wij verstrekken niet meer dan gevorderd, en wij melden het de organisatie vooraf of zo snel als dat mag, tenzij de wet die melding verbiedt. Elke opening via het dashboard of de API staat in het auditlog van de organisatie.

What we do not see. Photos, notes and positions stay on the device. Per file the registry holds a hash, a sequence number and the root, and for a file of an organisation or a request also the name of the file, the checklist, the field values and the name of the member or the guest; never images. Only a share link, a delivery or storage at EverStamp places an archive with us, encrypted with AES-256-GCM. With a share link the key sits in the link and is never sent to us; with a delivery and with storage the registry keeps it encrypted in its vault for the organisation, and hands it only to the organisation, through its dashboard or its API, or, through a project link it makes, to whoever has that link. Because we manage the key, EverStamp can technically open such an archive; we do so only at the organisation’s written request, or if a competent court or authority obliges us to by an order or demand based on the law. We review such an order or demand, we provide no more than is demanded, and we tell the organisation in advance or as soon as that is allowed, unless the law forbids that notice. Every opening through the dashboard or the API is written to the organisation’s audit log.

Gegevens en waar ze staanData, and where it is held

Wat	Waar	Bewaartermijn
What	Where	Retention
Het register (hashes, volgnummers, wortels, toestelkoppelingen)	Eigen server bij Hetzner, Nürnberg (DE)	Onbeperkt: het is de vertrouwensbasis. Persoonsnamen erin worden gewist bij opheffen; de naam van de organisatie blijft nog veertien dagen in de ingetrokken koppeling van een telefoon, alleen zichtbaar voor dat toestel.
The registry (hashes, sequence numbers, roots, device bindings)	Our own server at Hetzner, Nuremberg (DE)	Indefinite: it is the basis of trust. Personal names in it are erased on closure; the organisation’s name stays for another fourteen days in a phone’s revoked link, visible only to that device.
Organisaties, leden, opdrachten, verzoeken, auditlog	Register (Hetzner) en dashboarddatabase (Supabase, EU)	Zolang de organisatie bestaat; bij opheffen gewist, behalve de naam van de organisatie in de ingetrokken koppeling van een telefoon, die na veertien dagen weggaat; contactgegevens van gasten dertig dagen na afloop
Organisations, members, jobs, requests, audit log	Registry (Hetzner) and dashboard database (Supabase, EU)	For as long as the organisation exists; erased on closure, except the organisation’s name in a phone’s revoked link, which goes after fourteen days; guests’ contact details thirty days after the request ends
Gedeelde archieven, leveringen en bewaarde dossiers	Cloudflare R2, EU-jurisdictie, versleuteld; de sleutel van een levering of bewaring versleuteld in het register (Hetzner)	Zolang de link geldig is: standaard 30 dagen bij Basis en 30 bij Plus en Business, hooguit 30, 90 of 365 dagen; leveringen en bewaarde dossiers zolang het abonnement loopt, of een kortere termijn die je zelf instelt. Bij verlopen of intrekken gaan bestand en sleutel weg; een versleutelde regel zonder bestand blijft hooguit 17 dagen in een back-up
Shared archives, deliveries and kept files	Cloudflare R2, EU jurisdiction, encrypted; the key of a delivery or a kept file encrypted in the registry (Hetzner)	For as long as the link is valid: 30 days by default on Basis and 30 on Plus and Business, at most 30, 90 or 365 days; deliveries and kept files for as long as the subscription runs, or a shorter period you set yourself. On expiry or withdrawal the file and the key are removed; an encrypted row without a file stays in a backup for 17 days at most
Back-ups van het register	Op de server zelf, en versleuteld met age in Cloudflare R2 en de Hetzner Storage Box	Elke kopie is uiterlijk 17 dagen na het maken weg, op de server en versleuteld daarbuiten; het back-upscript rekent die grens zelf na
Backups of the registry	On the server itself, and encrypted with age in Cloudflare R2 and the Hetzner Storage Box	Every copy is gone at most 17 days after it was made, on the server and encrypted off the server; the backup script checks that limit itself
Back-ups van de dashboarddatabase	Supabase (EU)	De back-ups maakt Supabase, volgens de instelling van ons abonnement daar (nu 7 dagen)
Backups of the dashboard database	Supabase (EU)	Supabase makes the backups, under the setting of our plan there (now 7 days)
Betalingen en facturen	Dashboarddatabase (Supabase, EU) en Mollie	Tot zeven jaar na het einde van het jaar van de factuur, de fiscale bewaarplicht, ook na het opheffen van de organisatie
Payments and invoices	Dashboard database (Supabase, EU) and Mollie	Until seven years after the end of the year of the invoice, the statutory retention for tax records, also after the organisation is closed
Kortingen	Dashboarddatabase (Supabase, EU); lezen alleen eigenaar en beheerder, schrijven alleen de dienstsleutel vanuit Beheer	Percentage, einddatum, wanneer gezet en door welke beheerder van EverStamp, tot de korting wordt weggehaald of de organisatie opgeheven; op de factuur een eigen regel (‘Korting 50%’), met de termijn van de factuur; de reden in het beheerlog
Discounts	Dashboard database (Supabase, EU); read by owner and administrator only, written only by the service key from Beheer	Percentage, end date, when set and by which EverStamp administrator, until the discount is removed or the organisation is closed; on the invoice its own line (‘Discount 50%’), with the term of the invoice; the reason in the management log
Supportvragen	Dashboarddatabase (Supabase, EU); de mails via Resend en in onze mailbox bij Google Workspace	Twee jaar nadat een vraag is gesloten gewist door de dagtaak; ook na het opheffen van de organisatie, dan zonder koppeling met de organisatie; de mails in onze mailbox bij Google Workspace zolang dat nodig is om de vraag af te handelen en op te volgen
Support questions	Dashboard database (Supabase, EU); the emails through Resend and in our mailbox at Google Workspace	Deleted by the daily job two years after a question is closed; also after the organisation is closed, then without the link to the organisation; the emails in our mailbox at Google Workspace for as long as needed to handle and follow up the question
Beheerlog (handelingen van de beheerder van EverStamp en mislukte betaalpogingen)	Dashboarddatabase (Supabase, EU), alleen voor de beheerder	12 maanden, daarna gewist door de dagtaak; tijd, account, handeling, onderwerp (ook een account) en details (zoals een foutmelding, de reden bij een creditnota, de reden en identiteitscheck bij een reset van de tweede stap, of de reden bij een korting met percentage en einddatum van voor en na), waarin bij uitzondering een naam kan staan
Management log (actions of the EverStamp administrator and failed payment attempts)	Dashboard database (Supabase, EU), for the administrator only	12 months, then deleted by the daily job; time, account, action, subject (also an account) and details (such as an error message, the reason for a credit note, the reason and identity check of a reset of the second step, or the reason for a discount with the percentage and end date before and after), which can exceptionally contain a name
Nieuws en productnieuws (wat een lid las, en de keuze voor productnieuws per e-mail)	Dashboarddatabase (Supabase, EU)	Zolang het account bestaat; bij verwijderen van het account gaan keuze, afmeldcode en leestijden mee. Geen e-mailadres; per melding alleen het tijdstip van mailen en het aantal ontvangers
News and product news (what a member read, and the choice for product news by email)	Dashboard database (Supabase, EU)	For as long as the account exists; when the account is deleted, the choice, the unsubscribe code and the read times go with it. No email address; per message only when it was mailed and the number of recipients
Cookies van het dashboard	In de browser, alleen op dashboard.everstamp.app, van het dashboard zelf	lang (taal), tz (tijdzone) en nav (menu open of ingeklapt) een jaar; de inlogcookies van Supabase: de sessie loopt af na 8 uur zonder activiteit en na hooguit 7 dagen (instellingen van ons Supabase-project), het cookie zelf blijft hooguit 400 dagen; de inlogpagina onthoudt in de browser (localStorage, geen cookie) het laatst gebruikte e-mailadres, alleen om het in te vullen als een link verlopen is; alleen functioneel, geen tracking. Vercel Web Analytics zet geen cookie, en everstamp.app zelf zet geen cookies
Cookies of the dashboard	In the browser, only on dashboard.everstamp.app, set by the dashboard itself	lang (language), tz (time zone) and nav (menu open or collapsed) one year; the Supabase sign-in cookies: the session ends after 8 hours without activity and after 7 days at most (settings of our Supabase project), the cookie itself stays at most 400 days; the sign-in page keeps the last used email address in the browser (localStorage, not a cookie), only to fill it in when a link has expired; only functional, no tracking. Vercel Web Analytics sets no cookie, and everstamp.app itself sets no cookies
E-mail (inloggen, uitnodigingen, verzoeken, offerteaanvragen, contactberichten, betalingen, supportvragen, productnieuws, beveiliging)	Resend	Een inlog- of uitnodigingsmail: het adres en een link, bij een uitnodiging ook de naam van de organisatie. Een verzoekmail aan een gast: de naam van de organisatie, de titel, de einddatum, de notitie van kantoor en de link, geen dossierinhoud. Een offerteaanvraag: de naam, het e-mailadres, de organisatie en het bericht die de aanvrager invult. Een bericht via het contactformulier van de site: de naam, het e-mailadres, de organisatie als die is ingevuld, het onderwerp en het bericht. Een betaalmail aan elke eigenaar: het bedrag en waarvoor; bij een betaling of creditnota ook het nummer, met de factuur of creditnota als pdf-bijlage; na een mislukte incasso zonder bijlage. Een herinnering aan elke eigenaar, een keer, 30 dagen voordat een korting of gratis periode afloopt: de naam van de organisatie, het percentage en de einddatum; niet aan de mailbox voor facturen. Heeft de eigenaar een mailbox voor facturen opgegeven, dan krijgt die alleen de factuur of creditnota als pdf, in een neutrale mail zonder link. Een supportvraag: aan support@ de naam, het e-mailadres en de organisatie van wie de vraag stelt, het onderwerp en het bericht; aan de klant een bevestiging met het nummer en het onderwerp van de vraag, en elk antwoord van EverStamp. Een reset van de tweede stap: aan het lid een melding met een link om opnieuw in te loggen. Productnieuws, alleen aan leden die het zelf aanzetten: het e-mailadres, het onderwerp, de tekst in de taal van het account en een afmeldlink met een persoonlijke code, ook in de koppen List-Unsubscribe en List-Unsubscribe-Post. EverStamp bewaart geen kopie van de verstuurde mail, behalve wat in onze mailbox bij Google Workspace binnenkomt (offerteaanvragen, contactberichten en supportvragen): dat bewaren wij zolang dat nodig is om de vraag af te handelen en op te volgen; wat Resend bewaart staat bij de subverwerkers.
Email (sign-in, invitations, requests, quote requests, contact messages, payments, support questions, product news, security)	Resend	A sign-in or invitation email: the address and a link, for an invitation also the organisation’s name. A request email to a guest: the organisation’s name, the title, the end date, the office’s note and the link, no file content. A quote request: the name, email address, organisation and message the requester enters. A message through the site’s contact form: the name, the email address, the organisation if given, the subject and the message. A payment email to each owner: the amount and what it is for; for a payment or credit note also the number, with the invoice or credit note as a PDF attachment; after a failed direct debit without an attachment. A reminder to each owner, once, 30 days before a discount or free period ends: the organisation’s name, the percentage and the end date; not to the mailbox for invoices. If the owner set a mailbox for invoices, it gets only the invoice or credit note as a PDF, in a plain email without a link. A support question: to support@ the name, email address and organisation of the person asking, the subject and the message; to the customer a confirmation with the number and subject of the question, and each answer from EverStamp. A reset of the second step: to the member a notice with a link to sign in again. Product news, only to members who switched it on: the email address, the subject, the text in the language of the account and an unsubscribe link with a personal code, also in the List-Unsubscribe and List-Unsubscribe-Post headers. EverStamp keeps no copy of the email it sends, except what arrives in our mailbox at Google Workspace (quote requests, contact messages and support questions): we keep that for as long as needed to handle and follow up the question; what Resend keeps is listed with the subprocessors.
Toegangslog, systeemjournaal en de logs van de dienst op de servers	Hetzner	Hooguit 30 dagen
Server access logs, system journal and the service’s logs	Hetzner	At most 30 days

Versleuteling en sleutelsEncryption and keys

Onderweg: TLS met HSTS op alle adressen; de app praat met het register en de opslag, en verder alleen met Apple of Google, voor de adressuggestie bij de stempelbalk, voor de attestatie van de toestelsleutel (Apple) en voor Play Integrity (Google). De app van 1.1 haalt het tijdanker via ons register; de app van 1.0 haalt het rechtstreeks bij de relays van drand (zij zien dan je IP-adres, geen gegevens van jou).
In transit: TLS with HSTS on every address; the app talks to the registry and the storage, and otherwise only to Apple or Google, for the address suggestion on the stamp bar, for the attestation of the device key (Apple) and for Play Integrity (Google). The app from 1.1 fetches the time anchor through our registry; the app of 1.0 fetches it directly from drand’s relays (they then see your IP address, no data of yours).
De signeersleutel van EverStamp (C2PA) staat in AWS KMS in Frankfurt, in een HSM. De dienst mag alleen signeren; exporteren kan niet, ook niet door ons.
The EverStamp signing key (C2PA) is held in AWS KMS in Frankfurt, inside an HSM. The service may only sign; it cannot be exported, not even by us.
De sleutel van het register tekent elke periode van het openbare logboek en het registerbewijs in een dossier uit de app vanaf versie 1.1 (een dossier uit 1.0 draagt die handtekening niet; daar blijft de navraag bij het register de weg). Met deze publieke sleutel controleer je die handtekening ook zonder EverStamp.
keyId f0ff346b9c8859ab, sha-256 van de SPKI f0ff346b9c8859ab2d7ac3b95e91cd1dbaa331bc457600ecd94e4ebe6115980b:
```
-----BEGIN PUBLIC KEY-----
MFkwEwYHKoZIzj0CAQYIKoZIzj0DAQcDQgAEx5w9x+GbwtFtLf+8pyM4Rbl4Jr1R
8GWBGKvqOS1WfYm8hrFA+cy6yDa0c8NxHVog4JNJDg2zzv+b5G2s/piErQ==
-----END PUBLIC KEY-----
```
Getekend is, met ECDSA P-256 en SHA-256, de tekst everstamp-tree-head-v1, een regeleinde en de JSON-array [keyId, format, period, previous, root, count, stampedAt, signedAt] zonder spaties (zoals JSON.stringify hem schrijft), met format altijd everstamp/3. Het registerbewijs in het dossier draagt de andere velden en de handtekening (registerSig, base64 van de DER-handtekening).
The registry's key signs every period of the public log and the registry receipt in a file from the app from version 1.1 (a file from 1.0 does not carry that signature; for it the question to the registry remains the way). With this public key you can check that signature without EverStamp.
keyId f0ff346b9c8859ab, SHA-256 of the SPKI f0ff346b9c8859ab2d7ac3b95e91cd1dbaa331bc457600ecd94e4ebe6115980b:
```
-----BEGIN PUBLIC KEY-----
MFkwEwYHKoZIzj0CAQYIKoZIzj0DAQcDQgAEx5w9x+GbwtFtLf+8pyM4Rbl4Jr1R
8GWBGKvqOS1WfYm8hrFA+cy6yDa0c8NxHVog4JNJDg2zzv+b5G2s/piErQ==
-----END PUBLIC KEY-----
```
What is signed, with ECDSA P-256 and SHA-256, is the text everstamp-tree-head-v1, a newline and the JSON array [keyId, format, period, previous, root, count, stampedAt, signedAt] without spaces (as JSON.stringify writes it), with format always everstamp/3. The registry receipt in the file carries the other fields and the signature (registerSig, base64 of the DER signature).
Toestelsleutels ontstaan in de beveiligde hardware van het toestel en verlaten die nooit: de Secure Enclave op een iPhone, StrongBox of de TEE op Android. Apple App Attest of Android Key Attestation verklaart bij het aanmelden dat de sleutel in de beveiligde hardware van een echt toestel is gemaakt, voor onze app, en elke registratie wordt daarna met die sleutel ondertekend; dat de app ongewijzigd draaide, stelt de attestatie niet vast.
Device keys are created in the secure hardware of the device and never leave it: the Secure Enclave on an iPhone, StrongBox or the TEE on Android. Apple App Attest or Android Key Attestation attests when the device is enrolled that the key was created in the secure hardware of a real device, for our app, and every registration is then signed with that key; the attestation does not establish that the app ran unmodified.
Uitgelekte attestatiesleutels en opengebroken toestellen. Attestatiesleutels van Android-toestellen zijn eerder uitgelekt (keyboxes). Daarmee kan een sleutel buiten de beveiligde hardware zich voordoen als een sleutel in StrongBox of de TEE, tot Google hem intrekt. Het register haalt de intrekkingslijst van Google elke dag op en weigert daarna elk verzoek van een toestel met een ingetrokken certificaat in zijn keten. Een dossier dat zo’n toestel vóór de intrekking registreerde, blijft op de verificatiepagina groen: die kent de lijst niet. Ook App Attest kan slagen op een opengebroken (gejailbreakte) iPhone; op zo’n toestel kan een ouder beeld als nieuwe opname worden aangeboden.
Leaked attestation keys and jailbroken devices. Attestation keys of Android devices have leaked before (keyboxes). With one, a key outside the secure hardware can pass itself off as a key in StrongBox or the TEE until Google revokes it. The registry fetches Google’s revocation list every day and from then on refuses every request from a device with a revoked certificate in its chain. A file that such a device registered before the revocation stays green on the verification page, which does not know the list. App Attest, too, can succeed on a jailbroken iPhone; on such a device an older image can be presented as a new capture.
Deellinks: AES-256-GCM op het toestel, sleutel in het fragment van de link (achter #, dat een browser niet verstuurt), optioneel ingepakt met een wachtwoord (PBKDF2, 600.000 ronden, minstens acht tekens).
Share links: AES-256-GCM on the device, with the key in the fragment of the link (after the #, which a browser does not transmit), optionally wrapped with a password (PBKDF2, 600,000 rounds, eight characters at least).
Leveringen en bewaarde dossiers: dezelfde versleuteling op het toestel; de sleutel gaat naar het register en ligt daar versleuteld in de kluis, met een sleutel die niet in de database staat. Via het dashboard of de API wordt hij alleen gebruikt op verzoek van een ingelogde eigenaar of beheerder van de organisatie, of van een API-sleutel van die organisatie (voorwaarden 6.3). Elke opening via het dashboard of de API komt in het auditlog van die organisatie te staan, met wie of welke API-sleutel en wanneer. Veldwerkers en lezers kunnen ze in het dashboard niet openen. Een eigenaar of beheerder kan een projectlink maken, voor hooguit 90 dagen: wie die link heeft, krijgt per dossier dat die opent of downloadt één sleutel en een download-url van vijf minuten, en voor elke video een eigen download-url van vijf minuten, nooit alle sleutels tegelijk. Het register bewaart alleen een hash van het geheime deel van de link. Het maken en het intrekken van zo’n link komen in het auditlog. Een opening via de link krijgt daar geen eigen regel; het dashboard telt bij de link hoe vaak er een dossier mee is geopend. Omdat wij de sleutel beheren, kan iemand van EverStamp met toegang tot de servers zo’n archief technisch ook buiten het dashboard om openen, en dan zonder regel in dat auditlog. Dat doen wij alleen op schriftelijk verzoek van de organisatie, of als een bevoegde rechter of autoriteit ons daartoe met een bevel of vordering op grond van de wet verplicht. Zo’n bevel of vordering toetsen wij, wij verstrekken niet meer dan gevorderd, en wij melden het de organisatie vooraf of zo snel als dat mag, tenzij de wet die melding verbiedt. Een werkwijze waarin de organisatie zelf de sleutel houdt en EverStamp alleen versleutelde gegevens bewaart, is technisch voorbereid, maar nog niet gebouwd.
Deliveries and kept files: the same encryption on the device; the key goes to the registry and lies there encrypted in the vault, with a key that is not stored in the database. Through the dashboard or the API it is used only at the request of a signed-in owner or administrator of the organisation, or an API key of that organisation (terms 6.3). Every opening through the dashboard or the API is written to that organisation’s audit log, with who or which API key, and when. Field workers and readers cannot open them in the dashboard. An owner or administrator can make a project link, for at most 90 days: whoever has that link gets, per file they open or download, one key and a download url valid for five minutes, and for each video its own download url valid for five minutes, never all keys at once. The registry keeps only a hash of the secret part of the link. Making and revoking such a link go into the audit log. An opening through the link gets no line of its own there; the dashboard counts, with the link, how often a file was opened through it. Because we manage the key, someone at EverStamp with access to the servers can technically also open such an archive outside the dashboard, and then without a line in that audit log. We do so only at the organisation’s written request, or if a competent court or authority obliges us to by an order or demand based on the law. We review such an order or demand, we provide no more than is demanded, and we tell the organisation in advance or as soon as that is allowed, unless the law forbids that notice. A way of working in which the organisation holds the key itself and EverStamp keeps only encrypted data is technically prepared, but not built yet.
Geheimen in de database (webhookgeheimen, leveringssleutels) zijn versleuteld met een sleutel die niet in de database staat. API-sleutels bewaren we als sha-256.
Secrets in the database (webhook secrets, delivery keys) are encrypted with a key that is not stored in the database. API keys are stored as SHA-256.
Back-ups worden versleuteld met age; de geheime sleutel staat niet op de server.
Backups are encrypted with age; the secret key is not on the server.

ToegangAccess

Rollen: eigenaar, beheerder, veldwerker, lezer. Rechten liggen vast in de database (row level security), niet alleen in de schermen.
Roles: owner, administrator, field worker, reader. Permissions are enforced in the database (row level security), not only in the screens.
Inloggen op het dashboard gaat zonder wachtwoord, met een eenmalige link naar het e-mailadres, volgens de instelling van ons Supabase-project nu 15 minuten geldig, of met Google (alleen de scopes openid, email en profile) of Microsoft (alleen openid en email); een uitnodiging wordt pas gekoppeld na een bevestigde inlog op precies dat adres, en telt pas als lidmaatschap nadat de genodigde haar zelf aanvaardt. Na dat inloggen staat de uitnodiging op het keuzescherm, ook bij een organisatie die de tweede stap eist: daar zet de genodigde eerst de code en aanvaardt zij daarna. Een koppeling zonder aanvaarding geeft niets, ook niet aan wie de database rechtstreeks aanspreekt. Weigeren kan altijd en zonder code, en de organisatie kan een uitnodiging intrekken zolang die onbeantwoord is; verloopt de link in de uitnodiging, dan werkt gewoon inloggen met dat adres.
Signing in to the dashboard is passwordless, with a one-time link to the email address, under the setting of our Supabase project now valid for 15 minutes, or with Google (only the scopes openid, email and profile) or Microsoft (only openid and email); an invitation is only linked after a confirmed sign-in on exactly that address, and counts as a membership only once the invited person accepts it. After that sign-in the invitation stands on the chooser, also at an organisation that requires the second step: there the invited person sets the code first and accepts afterwards. A link without acceptance gives nothing, not even to anyone who calls the database directly. Declining is always possible and needs no code, and the organisation can withdraw an invitation while it is unanswered; if the link in the invitation has expired, signing in with that address works.
Alle beheerdersaccounts van EverStamp bij onze leveranciers hebben een tweede factor.
All of EverStamp’s administrator accounts at our providers have a second factor.
API-sleutels zijn per organisatie, in te trekken, en beperkt per minuut; het register remt daarnaast per adres.
API keys are per organisation, revocable and rate-limited per minute; the registry also throttles per address.
Eigen sessies en uitloggen. Iedereen ziet de eigen sessies in het dashboard (het apparaat zoals de browser zich meldt, het IP-adres en wanneer de sessie voor het laatst actief was) en kan ze beëindigen; niemand ziet die van een ander. Een sessie eindigt na 8 uur zonder activiteit en na hooguit 7 dagen; dat zijn instellingen van ons Supabase-project. Een eigenaar kan een lid overal uitloggen, ook bij andere organisaties, want de sessies horen bij het account; dat komt in het auditlog van de organisatie. Een browser die al open staat, kan daarna nog hooguit een kwartier verder, tot het toegangstoken verloopt. Eigenaar en beheerder zien wanneer elk lid voor het laatst inlogde. Een eigenaar kan de tweede stap van een lid resetten, als dat account geen actief lid is van een andere organisatie waar de eigenaar geen eigenaar is. EverStamp doet het voor wie alles kwijt is, na een identiteitscheck die wij niet openbaar beschrijven. Beide komen in het auditlog van de organisatie, het lid krijgt een mail, en alle sessies van het account eindigen.
Own sessions and signing out. Everyone sees their own sessions in the dashboard (the device as the browser reports it, the IP address and when the session was last active) and can end them; nobody sees another person’s. A session ends after 8 hours without activity and after 7 days at most; those are settings of our Supabase project. An owner can sign a member out everywhere, also at other organisations, because sessions belong to the account; that is recorded in the organisation’s audit log. A browser that is already open can carry on for at most fifteen minutes after that, until its access token expires. Owner and administrator see when each member last signed in. An owner can reset the second step of a member, if that account is not an active member of another organisation where the owner is not an owner. EverStamp does it for someone who has lost everything, after an identity check we do not describe publicly. Both are recorded in the organisation’s audit log, the member gets an email, and every session of the account ends.
De dienst zelf draait zonder root, in een systemd-sandbox, met één open poort achter een reverse proxy, en zonder externe softwarebibliotheken in het register.
The service itself runs without root, in a systemd sandbox, with one open port behind a reverse proxy, and with no external software libraries in the registry.

Auditlog en controleAudit log and oversight

Elke handeling op het dashboard en via de API staat in het auditlog van de organisatie: wie, wat, wanneer; bij de API de naam van de sleutel. Het register noteert per aanroep wie handelde. Toegangslogs bewaren we hooguit 30 dagen. Het openbare logboek is voor iedereen leesbaar en te verifiëren: register.everstamp.app/v1/log.

Every action in the dashboard and through the API is recorded in the organisation’s audit log: who, what, when; for the API, the name of the key. The registry records who acted on each call. Access logs are kept for at most 30 days. The public log is readable and recomputable by anyone: register.everstamp.app/v1/log.

Beschikbaarheid en herstelAvailability and recovery

Monitoring: doorlopend, op de server en door een onafhankelijke externe monitor; een storing en het herstel gaan direct naar de beheerder.
Monitoring: continuous, on the server and by an independent external monitor; an outage and its recovery go straight to the administrator.
Status: everstamp.app/status toont of het register bijloopt en of het dashboard bereikbaar is.
Status: everstamp.app/status shows whether the registry is keeping up and whether the dashboard is reachable.
Als het register stilstaat werkt de app door: het toestel tekent elke foto met zijn eigen sleutel; de handtekening van EverStamp, de tijdstempel en het registerbewijs volgen zodra het register terug is.
If the registry is down the app carries on: the device signs every photo with its own key; EverStamp’s signature, the timestamp and the registry receipt follow once the registry is back.
Back-ups van het register elk uur, op drie plekken bij twee leveranciers: op de server, en daarbuiten versleuteld bij Cloudflare R2 en in een Storage Box van Hetzner, met een sleutel die niet op de server staat; een ontbrekende kopie geeft een melding; herstel van het register volgens een runbook.
Backups of the registry every hour, in three places with two providers: on the server, and off the server encrypted at Cloudflare R2 and in a Hetzner Storage Box, with a key that is not on the server; a missing copy raises an alert; recovery of the registry according to a runbook.
Vertrouwenslijst: wekelijks opnieuw opgehaald en vergeleken; een verschil wordt door een mens beoordeeld voordat het in gebruik gaat.
Trust list: fetched and compared again weekly; a difference is assessed by a person before it is put into use.

Ontwikkeling en uitrolDevelopment and release

Het contract tussen app, register en dashboard is één bron met een vingerafdruk; elke wijziging gaat door de testsuites van alle onderdelen, en wordt vóór de release apart op beveiliging nagekeken, met eigen proeven. De server volgt een aparte tak die alleen met een release vooruitgaat. Elke release is met SSH ondertekend; de server installeert hem pas als hij de handtekening heeft nagemeten tegen een vaste lijst van vertrouwde sleutels, en weigert een release die niet nieuwer is dan wat er draait of daar niet op voortbouwt. Een release van het register gaat niet de deur uit als er een ernstige kwetsbaarheid (CRITICAL of HIGH) te lang openstaat zonder beschreven maatregel, of als het contract dat de server laadt niet bij de bron hoort. Het dashboard wordt bij elke build op dezelfde manier op kwetsbaarheden nagekeken. Een pakket dat OSV als kwaadaardig kent, houdt de build van het dashboard altijd tegen; bij een release van het register telt een malwaremelding van GitHub altijd als rood. De verificatiepagina is een enkel bestand. Het enige wat het buiten je browser doet, is ons register vragen of het de regel kent; een Content Security Policy in het bestand staat alleen de eigen scripts van dat bestand toe, en alleen een verbinding met ons register, zodat wat je controleert niet stiekem kan veranderen. Een link onder een volledig groene uitkomst gaat via ons register naar de site; die klik staat, zoals elke opvraag, hooguit dertig dagen in onze toegangslog. Uit diezelfde toegangslogs tellen we per dag hoe vaak de controlepagina en de deellinkpagina werden geopend, langs welke weg (QR, pdf of link) en door hoeveel verschillende bezoekers, en hoe vaak er werd doorgeklikt naar de site. Verschillende bezoekers onderscheiden we aan het IP-adres en de browser, alleen tijdens het tellen. We bewaren alleen de aantallen, zonder IP-adres, browser, dossier of deellink; die aantallen bewaren we zonder termijn, want ze zeggen niets over een persoon.

The contract between app, registry and dashboard is a single source with a fingerprint; every change goes through the test suites of all the components, and is reviewed separately for security before release, with its own tests. The server follows a separate branch that only advances with a release. Every release is signed with SSH; the server installs it only after checking the signature against a fixed list of trusted keys, and refuses a release that is not newer than what is running or does not build on it. A release of the registry does not go out if a serious vulnerability (CRITICAL or HIGH) has been open too long without a documented mitigation, or if the contract the server loads does not match the source. The dashboard is checked for vulnerabilities the same way at every build. A package that OSV knows as malicious always stops the dashboard build; for a release of the registry, a malware alert from GitHub always counts as red. The verification page is a single file. The only thing it does outside your browser is ask our registry whether it knows the entry; a Content Security Policy in the file allows only that file’s own scripts, and only a connection to our registry, so that what you are checking cannot quietly change. A link under a fully green result goes through our registry to the website; that click is kept, like every request, for at most thirty days in our access log. From those same access logs we count per day how often the verification page and the share link page were opened, by which route (QR, pdf or link) and by how many different visitors, and how often someone clicked through to the site. We tell visitors apart by IP address and browser, only while counting. We keep only the numbers, without an IP address, browser, file or share link; we keep those numbers without a time limit, because they say nothing about a person.

Kwetsbaarheden en non-conformiteit meldenReporting vulnerabilities and non-conformance

Vond je een kwetsbaarheid, een afwijking in een dossier of in de controle ervan, of een manifest van EverStamp dat niet aan de C2PA-specificatie voldoet? Mail security@everstamp.app. Dit adres staat ook in /.well-known/security.txt (RFC 9116) en is het meldadres uit ons C2PA-conformancerecord. Je krijgt binnen twee werkdagen antwoord. Wie te goeder trouw onderzoekt en meldt, hoeft van ons geen juridische stappen te vrezen; noem ons alsjeblieft niet publiek voordat het is opgelost.

Found a vulnerability, a discrepancy in a file or in how it is checked, or an EverStamp manifest that does not conform to the C2PA specification? Email security@everstamp.app. The address is also in /.well-known/security.txt (RFC 9116) and is the reporting address in our C2PA conformance record. You will have a reply within two working days. We will not take legal action against anyone who researches and reports in good faith; please do not name us publicly before it is resolved.

Misbruik of illegale inhoud melden. Vertrouw je een verzoek of een deellink niet, of meen je dat een deellink of een bewaard dossier illegale inhoud bevat? Meld het via security@everstamp.app. Wat wij in een melding vragen en wat wij ermee doen, staat in artikel 8 van de voorwaarden. Een melding is voor ons geen reden om versleutelde inhoud te openen.

Reporting misuse or illegal content. Do you not trust a request or a share link, or do you believe that a share link or a stored file contains illegal content? Report it to security@everstamp.app. What we ask in a notice and what we do with it is in article 8 of the terms. A notice is not a reason for us to open encrypted content.

SubverwerkersSubprocessors

Wie	Waarvoor	Waar
Who	What for	Where
Hetzner Online GmbH	de server van het register en een tweede back-updoel	Duitsland
Hetzner Online GmbH	the registry server and a second backup target	Germany
Cloudflare	DNS, versleutelde archieven van deellinks en leveringen, back-upkopie	EU-jurisdictie (R2); Data Privacy Framework (Cloudflare is gecertificeerd) en standaardcontractbepalingen voor wat het buiten de EU verwerkt
Cloudflare	DNS, encrypted archives for share links and deliveries, backup copy	EU jurisdiction (R2); Data Privacy Framework (Cloudflare is certified) and standard contractual clauses for anything it processes outside the EU
Supabase	de dashboarddatabase (ook betalingen, facturen en supportvragen) en het inloggen	EU-regio; standaardcontractbepalingen met Supabase Pte. Ltd. (Singapore)
Supabase	the dashboard database (including payments, invoices and support questions) and sign-in	EU region; standard contractual clauses with Supabase Pte. Ltd. (Singapore)
Vercel	het dashboard en de website	draait in Frankfurt; de hoofdvestigingen voor verwerking staan volgens de verwerkersovereenkomst in de VS (Data Privacy Framework en standaardcontractbepalingen)
Vercel	the dashboard and the website	runs in Frankfurt; according to the data processing agreement the primary processing facilities are in the US (Data Privacy Framework and standard contractual clauses)
Amazon Web Services (KMS)	de signeersleutel van EverStamp in een HSM	Frankfurt (Data Privacy Framework en standaardcontractbepalingen)
Amazon Web Services (KMS)	the EverStamp signing key in an HSM	Frankfurt (Data Privacy Framework and standard contractual clauses)
Resend	e-mail voor inloggen, uitnodigingen, verzoeken, offerteaanvragen, contactberichten, betalingen, supportvragen, productnieuws en beveiligingsmeldingen	verzending vanuit de EU; account-, log- en metagegevens in de VS (Data Privacy Framework en standaardcontractbepalingen)
Resend	email for sign-in, invitations, requests, quote requests, contact messages, payments, support questions, product news and security notices	sent from the EU; account data, logs and metadata in the US (Data Privacy Framework and standard contractual clauses)
Google Workspace	onze mailboxen op everstamp.app, zoals info@, privacy@ en support@, met offerteaanvragen, contactberichten en supportvragen	wereldwijd mogelijk; Cloud Data Processing Addendum (Data Privacy Framework en standaardcontractbepalingen)
Google Workspace	our mailboxes at everstamp.app, such as info@, privacy@ and support@, with quote requests, contact messages and support questions	possibly worldwide; Cloud Data Processing Addendum (Data Privacy Framework and standard contractual clauses)
Vercel Web Analytics	paginaweergaven op het dashboard en de website, zonder cookies: het adres van de pagina, zonder zoekterm en zonder de naam van de organisatie. Bij Vercel, volgens de instelling van ons abonnement daar (nu 12 maanden).	als Vercel hierboven
Vercel Web Analytics	page views on the dashboard and the website, without cookies: the address of the page, without search terms and without the organisation’s name. At Vercel, under the setting of our plan there (now 12 months).	as Vercel above
Sentry (Functional Software, Inc.)	foutmeldingen van het dashboard, uit de server en de browser, via onze server verstuurd (de browser praat nooit rechtstreeks met Sentry) en opgeschoond: nooit headers, cookies, het IP-adres van de bezoeker of de ingelogde gebruiker; e-mailadressen, rekeningnummers, telefoonnummers, tokens, kenmerken (van ons en van Mollie), factuurnummers en de naam van de organisatie in een adres gaan eruit; bij uitzondering kan een stukje ingevoerde tekst meegaan, zoals een naam; bewaard volgens de instelling van ons abonnement daar (nu 30 dagen)	EU-regio (Frankfurt); de verwerkersovereenkomst laat verwerking in de VS en andere landen toe (Data Privacy Framework en standaardcontractbepalingen)
Sentry (Functional Software, Inc.)	error reports from the dashboard, from the server and the browser, sent through our server (the browser never talks to Sentry directly) and scrubbed: never headers, cookies, the IP address of the visitor or the signed-in user; email addresses, account numbers, phone numbers, tokens, identifiers (ours and those of Mollie), invoice numbers and the organisation name in an address are removed; exceptionally a piece of entered text can remain, such as a name; kept under the setting of our plan there (now 30 days)	EU region (Frankfurt); the data processing agreement allows processing in the US and other countries (Data Privacy Framework and standard contractual clauses)

Zelfstandige verwerkingsverantwoordelijkenIndependent controllers

Deze partijen verwerken gegevens voor een eigen doel, als eigen verwerkingsverantwoordelijke; ze zijn geen subverwerkers in de zin van de voorwaarden.

These parties process data for their own purpose, as controllers in their own right; they are not subprocessors within the meaning of the terms.

Wie	Waarvoor	Waar
Who	What for	Where
Apple	de toestelattestatie (App Attest) bij het aanmelden van een iPhone, een coördinaat voor de adressuggestie, en de app op iPhone (App Store)	wereldwijd
Apple	device attestation (App Attest) when an iPhone is enrolled, a coordinate for the address suggestion, and the app on iPhone (App Store)	worldwide
Google (Android)	Play Integrity bij het aanmelden van een Android-toestel en bij elk dossier, een coördinaat voor de adressuggestie, en de app op Android (Play)	wereldwijd
Google (Android)	Play Integrity when an Android device is enrolled and with every file, a coordinate for the address suggestion, and the app on Android (Play)	worldwide
SK ID Solutions AS	de gekwalificeerde tijdstempels (eIDAS) op dossiers, rapporten, foto's met een stempel per foto en het register, sinds 14 september 2026; krijgt van onze server alleen een hash, niets van de gebruiker, en levert daarmee een eigen dienst. Dossiers van daarvoor dragen een stempel van BOSA (Belgische overheid), die de controlepagina op dezelfde manier controleert	Estland
SK ID Solutions AS	the qualified timestamps (eIDAS) on files, reports, photos with a per-photo stamp and the registry, since 14 September 2026; receives from our server a hash only, nothing about the user, and provides a service of its own with it. Files from before that date carry a stamp from BOSA (Belgian federal government), which the verification page checks the same way	Estonia
SSL.com	de tijdstempel (RFC 3161) in de C2PA-handtekening per foto op het standaardniveau, zodra het register die stempels daar zet; krijgt van onze server alleen een hash van de handtekening van de foto, niets van de gebruiker, en levert daarmee een eigen dienst. Dezelfde uitgever tekent ons C2PA-certificaat (iPhone sinds 23 september 2026, Android sinds 8 oktober 2026)	Verenigde Staten
SSL.com	the timestamp (RFC 3161) in the C2PA signature per photo on the standard level, once the registry sends those stamps there; receives from our server a hash of the photo's signature only, nothing about the user, and provides a service of its own with it. The same issuer signs our C2PA certificate (iPhone since 23 September 2026, Android since 8 October 2026)	United States
Mollie B.V.	de betalingen voor Business: iDEAL, kaart en SEPA-incasso; de betaalgegevens voert de betaler zelf bij Mollie in, wij bewaren ze niet	Amsterdam; voor verwerking buiten de EER gebruikt Mollie standaardcontractbepalingen
Mollie B.V.	payments for Business: iDEAL, card and SEPA direct debit; the payer enters the payment details at Mollie, we do not keep them	Amsterdam; for processing outside the EEA Mollie uses standard contractual clauses
Europese Commissie (VIES)	de controle van het btw-nummer van een bedrijf buiten Nederland, voor de verlegging van de btw	EU
European Commission (VIES)	checking the VAT number of a company outside the Netherlands, for the VAT reverse charge	EU
Google (inloggen met Google)	het inloggen op het dashboard, als iemand daarvoor kiest: Google ziet dat je bij EverStamp inlogt, en wij krijgen alleen account-id, e-mailadres, naam en het adres van de profielfoto (de scopes openid, email en profile)	wereldwijd; Data Privacy Framework en standaardcontractbepalingen
Google (sign in with Google)	signing in to the dashboard, for anyone who chooses it: Google sees that you sign in to EverStamp, and we receive only the account ID, email address, name and the address of the profile photo (the scopes openid, email and profile)	worldwide; Data Privacy Framework and standard contractual clauses
Microsoft (inloggen met Microsoft)	het inloggen op het dashboard, als iemand daarvoor kiest, met een persoonlijk account of een account van werk of school: Microsoft ziet dat je bij EverStamp inlogt, en wij krijgen alleen account-id, e-mailadres, of dat is geverifieerd, en de naam als die wordt meegestuurd (de scopes openid en email); geen Microsoft Graph. Bij een account van werk of school is ook de organisatie die het beheert verantwoordelijk	wereldwijd; Data Privacy Framework en standaardcontractbepalingen
Microsoft (sign in with Microsoft)	signing in to the dashboard, for anyone who chooses it, with a personal account or one from work or school: Microsoft sees that you sign in to EverStamp, and we receive only the account ID, email address, whether it is verified, and the name if it is sent (the scopes openid and email); no Microsoft Graph. For a work or school account, the organisation that manages it is responsible as well	worldwide; Data Privacy Framework and standard contractual clauses

Andere diensten, zonder persoonsgegevensOther services, without personal data

Deze diensten krijgen geen gegevens van gebruikers en zijn daarom geen subverwerkers in de zin van de voorwaarden.

These services receive no user data and are therefore not subprocessors within the meaning of the terms.

Wie	Waarvoor	Waar
Who	What for	Where
GitHub	de broncode, zonder persoonsgegevens	VS
GitHub	the source code, without personal data	US
UptimeRobot s. r. o.	controleert of onze openbare adressen antwoorden	Slowakije; verwerking ook buiten de EER
UptimeRobot s. r. o.	checks that our public addresses respond	Slovakia; processing also outside the EEA

Vragen voor je beoordeling: privacy@everstamp.app. EverStamp is een product van Digital Sandbox B.V.

Questions for your assessment: privacy@everstamp.app. EverStamp is a product of Digital Sandbox B.V.