Beveiliging
Waar je gegevens staan, en wie erbij kan.
Op elke pagina staat dat Lyto in de EU gehost wordt. Hier lees je wat dat betekent. Je leest ook wat we gebouwd hebben, en wat we nog niet hebben.
Lyto bewaart en verwerkt je gegevens in de EU. De database staat in Ierland en de app-functies draaien in Frankfurt. Je logt in met tweestapsverificatie. Bij gevoelige acties controleert Lyto die opnieuw. Je gegevens zijn versleuteld, zowel opgeslagen als onderweg. Row-level security houdt de gegevens van elk team apart. In augustus 2026 hebben we productie zelf getest. Een externe partij heeft dat nog niet gecontroleerd.
Waar je gegevens staan
Je database, je login en je geüploade bestanden staan bij Supabase in Ierland (regio eu-west-1). De serverfuncties van de app draaien bij Vercel in Frankfurt (regio fra1). Je gegevens worden dus in de EU bewaard en verwerkt.
Statische bestanden, zoals scripts, afbeeldingen en deze website, komen van het wereldwijde netwerk van Vercel.
Van de database maken we elke dag een back-up. Elke back-up bewaren we 7 dagen. Elk bedrijf dat voor ons met je gegevens werkt, staat in paragraaf 6 van de privacyverklaring.
Inloggen
- Tweestapsverificatie werkt met een authenticator-app. Zet je die aan, dan krijg je herstelcodes voor als je je telefoon kwijtraakt.
- Voor gevoelige acties moet je sessie de tweede stap gehaald hebben. Is dat niet zo, dan vraagt Lyto je eerst om tweestapsverificatie in te stellen of je code in te vullen.
- Sessiecookies zijn HttpOnly. Geen enkel script op een pagina kan ze lezen.
De bankkoppeling in Sum
Sum kan een zakelijke bankrekening koppelen via Enable Banking, een Finse aanbieder onder toezicht. De bankkoppeling is nog niet open voor klanten. Tot die tijd importeer je een bankafschrift als CAMT.053-, MT940- of CSV-bestand.
Zo werkt de bankkoppeling:
- Sum kan alleen lezen. Sum ziet saldo's en transacties, en kan geen geld overmaken.
- Je logt in bij je eigen bank. Lyto ziet en bewaart je bankwachtwoord nooit.
- Je kunt de koppeling altijd stoppen, in Sum of bij je bank.
In paragraaf 4 van de privacyverklaring lees je wat Sum van je bank bewaart en wanneer Sum het verwijdert.
Versleuteling
Opgeslagen gegevens zijn versleuteld met AES-256. Onderweg zijn ze versleuteld met TLS. Je gegevens staan op de infrastructuur van Supabase. Die is gecertificeerd voor SOC 2 Type 2 en ISO 27001. Dat zijn de certificeringen van Supabase. De details staan op supabase.com/security.
Teams zien elkaars gegevens niet
Elke tabel met gegevens van een team heeft row-level security. De database controleert bij elke rij of die bij jouw team hoort. Pas dan krijg je de rij te zien.
Hoe we testen
In augustus 2026 hebben we onze eigen productie aangevallen, zoals een aanvaller dat zou doen. We probeerden accounts over te nemen, bij andere teams te komen, code te injecteren en de servers te overbelasten. We vonden 52 problemen en hebben ze allemaal opgelost.
Dit was ons eigen werk. Een externe partij heeft het niet gecontroleerd. De details staan in de changelog van 12 augustus 2026.
Wat we nog niet hebben
- Een pentest door een extern bedrijf.
- Een eigen beveiligingscertificering, zoals ISO 27001 of SOC 2.
- Een openbare statuspagina.
Weggaan
Sum exporteert een auditfile in XAF 4.0 voor je boekhouder, je journaal als CSV en elk rapport als CSV. Zeg je op, dan kun je nog inloggen en alles exporteren. Hoe lang we je gegevens daarna bewaren, staat in paragraaf 8 van de privacyverklaring.
Een probleem melden
Vond je een beveiligingsprobleem? Mail een beschrijving en de stappen om het na te doen naar lytoapp@gmail.com. We antwoorden binnen twee werkdagen.