Beveiliging en gegevensbescherming
QrX verbindt betaalproviders, vervoerders en netwerken van pakketkluizen. Beveiliging bij QrX is gebaseerd op duidelijke verantwoordelijkheden: de betaalprovider verzorgt de betaling, de bezorgpartner verzorgt het pakket, en QrX coördineert de geverifieerde status daartussen. Dit artikel legt uit hoe dat consumenten, webwinkels en partners beschermt.
Betaalbeveiliging
QrX slaat nooit kaartgegevens op. Betalingen worden verwerkt door vergunde, PCI DSS-conforme betaalproviders (Stripe, Mollie en MultiSafePay). Kaartnummers en betaalgegevens gaan naar de betaalprovider, niet naar QrX.
QrX houdt nooit geld van klanten aan. De betaalprovider betaalt het geld uit aan de webwinkel onder de eigen PSP-overeenkomst van de webwinkel.
Sterke klantauthenticatie, zoals 3D Secure of een bevestiging in de bankapp, wordt toegepast door de betaalprovider en uw bank wanneer de betaalmethode dat vereist.
Geverifieerde betaalgebeurtenissen. QrX markeert een transactie alleen als betaald op basis van een bevestiging van de betaalprovider.
Echte betaalpagina's voor betalen aan de deur worden aangeboden op go.qr-x.app. Elke QR-code is gekoppeld aan één specifieke bestelling, zodat u het bedrag en de webwinkel kunt controleren voordat u betaalt.
Versleuteling en hosting
Alle verbindingen worden tijdens overdracht versleuteld met TLS 1.2 of hoger.
Primaire gegevensopslag is versleuteld in rust, en back-ups zijn versleuteld.
Het platform wordt gehost op Google Cloud in de Europese Economische Ruimte (EER). Wanneer een dienstverlener gegevens buiten de EER doorgeeft, wordt een geldig doorgiftemechanisme gebruikt, zoals de EU-modelcontractbepalingen (Standard Contractual Clauses).
Authenticatie en toegangsbeheer
Inloggen op het portaal met een verificatiecode. Bij het inloggen op PortalX wordt uw wachtwoord gecombineerd met een eenmalige verificatiecode.
Rolgebaseerde rechten. Teamleden zien en doen alleen wat hun rol toestaat.
Afscherming per account. De gegevens van elke webwinkel blijven binnen het eigen account en de eigen kanalen.
Ondertekende verzoeken. Portaalverzoeken worden met HMAC ondertekend om hun integriteit te beschermen.
API-beveiliging. De openbare API gebruikt een API-sleutel per verkoopkanaal van de webwinkel, die wordt ingewisseld voor een kortlevend Bearer-token (één uur geldig), met limieten per sleutel.
Ondertekende webhooks. Elke webhooklevering bevat een HMAC-SHA256-handtekening, zodat uw systeem kan controleren dat deze van QrX afkomstig is. Ondertekeningsgeheimen kunnen worden vernieuwd.
Alleen-schrijven-geheimen. Inloggegevens die u in PortalX opslaat, zoals uw eigen e-mail- of sms-afzenderaccounts, worden na het opslaan nooit meer getoond.
Beveiliging van communicatie
Transactionele e-mails worden verzonden via SendGrid, en sms- en WhatsApp-berichten via Bird, onder verwerkersovereenkomsten. Betaallinks, PIN-codes en verificatieberichten worden alleen verzonden naar de contactgegevens die voor de bestelling zijn opgegeven, en gevoelige links zijn ondertekend zodat ze niet kunnen worden geraden of gewijzigd.
Monitoring en traceerbaarheid
Applicatiefouten worden gemonitord met Sentry, en de beschikbaarheid van het platform wordt gepubliceerd op de QrX-statuspagina op status.qr-x.app.
Acties in PortalX worden vastgelegd in een activiteitenlog, zodat webwinkels kunnen zien wie wat wanneer heeft gedaan.
Fraude- en beveiligingscontroles kunnen een transactie markeren voor beoordeling. Een medewerker kan een markering op verzoek beoordelen. Of een betaling slaagt, wordt bepaald door de vergunde betaalprovider.
Privacy en AVG
QrX B.V. verwerkt persoonsgegevens onder de AVG en de Nederlandse wet. QrX is verwerkingsverantwoordelijke voor gegevens over webwinkelaccounts, facturatie, de website, support en beveiliging. Wanneer een webwinkel QrX gegevens van zijn klanten stuurt voor zendingen, Payment on Delivery, PIN-bezorging of retouren, is de webwinkel verwerkingsverantwoordelijke en QrX verwerker onder het QrX Data Processing Addendum (verwerkersovereenkomst). Lees het privacybeleid en het Data Processing Addendum voor meer informatie. QrX verkoopt nooit persoonsgegevens.
Wat u zelf kunt doen
Deel nooit wachtwoorden, verificatiecodes, API-sleutels of kaartgegevens in een chat, per e-mail of telefonisch. QrX zal hier nooit om vragen.
Bewaar API-sleutels alleen op uw server, en vernieuw ze als u denkt dat ze zijn uitgelekt.
Controleer voordat u betaalt of een betaalpagina op go.qr-x.app staat en het bedrag van uw bestelling toont.
Wanneer neemt u contact op met ons supportteam
Neem direct contact op met QrX-support als u onbevoegde toegang tot uw account vermoedt, een uitgelekte API-sleutel of webhookgeheim, een verdachte betaallink, of een datalek. Beveiligingsmeldingen worden altijd door een medewerker behandeld. Voor privacyverzoeken kunt u mailen naar [email protected].