In het kort
De korte antwoorden
| Vraag | Antwoord |
|---|---|
| Waar worden onze gegevens opgeslagen? | In de EU: de database en bestanden bij Supabase in Frankfurt, Duitsland. |
| Is het versleuteld? | Ja: onderweg met TLS, in opslag door de hostingpartij. Tokens van koppelingen (Jira, Azure DevOps, Teams, Slack) versleutelt UAT Studio daarnaast met AES-256; niemand kan ze teruglezen. |
| Hoe loggen mensen in? | Met hun Microsoft-werkaccount (Microsoft Entra ID), of met een eenmalige code per mail. Met Microsoft gelden jullie eigen inlogregels, ook jullie tweede stap. Met de code per mail voegen admins tweestapsverificatie toe met een authenticator-app; een workspace kan dat voor al zijn admins verplichten. Geen wachtwoorden die kunnen uitlekken, en alleen uitgenodigde mensen komen erin. |
| Moet onze IT de app goedkeuren voor inloggen met Microsoft? | Alleen als bij jullie alleen IT apps mag goedkeuren. UAT Studio vraagt Microsoft alleen om inloggen en het basisprofiel (openid, profile, email, User.Read). Een beheerder keurt de app één keer goed voor de hele organisatie met deze goedkeuringslink. |
| Wie ziet wat? | Rollen per workspace en per project: admins, testers (alleen hun eigen project en groep), stakeholders (alleen kijken) en ontwikkelaars (alleen issues). De database dwingt dit af bij elk verzoek. |
| Kan de support van UAT Studio onze gegevens zien? | Alleen met jullie toestemming, voor een beperkte tijd die een admin kiest. Elk bezoek en elke wijziging staat in het auditlog. |
| Is er een auditlog? | Ja, van elke wijziging aan testcases, resultaten, issues, mensen en toegang, met wie en wanneer. Admins kunnen het naar Excel exporteren. |
| Worden onze gegevens gebruikt om AI te trainen? | Nee. AI test design is een optionele add-on; de user stories, procesbeschrijvingen en issueteksten die ernaartoe gaan worden niet gebruikt om de AI te trainen, en namen van testers worden niet meegestuurd. |
| Kunnen we ons eigen AI-model gebruiken? | Ja. Een admin koppelt het model van je bedrijf: Microsoft Foundry / Azure OpenAI (modellen van OpenAI of Claude; ook de route voor Microsoft Copilot), OpenAI, Anthropic, Amazon Bedrock, of Google Gemini en Vertex AI. De teksten gaan dan naar je eigen aanbieder, binnen je eigen contract en regio, en niet via UAT Studio naar Anthropic. De sleutel wordt versleuteld bewaard en is niet terug te lezen. |
| Kunnen we een auditor laten zien wat er getest is? | Ja. Een admin downloadt per UAT een bewijsdossier: het go/no-go-rapport als pdf, elk resultaat per stap, de issues met hun geschiedenis, elke sign-off, de auditlog en de screenshots, met een SHA-256-controlewaarde per bestand. De controlewaarde van het hele dossier staat ook in de auditlog. |
| Is het toegankelijk? | UAT Studio streeft naar WCAG 2.1 niveau AA (EN 301 549). Elke release wordt automatisch op elk scherm gecontroleerd; een onafhankelijk onderzoek is nog niet gedaan. Zie de toegankelijkheidsverklaring. |
| Kunnen we onze gegevens eruit halen? | Ja, altijd: elk project naar Excel, en alles van de workspace met de bestanden als één download. Op verzoek verwijderen we de workspace. |
Hosting
Hosting en subverwerkers
UAT Studio is een product van Salvion (KvK 42076990). Voor het draaien ervan gebruiken we deze dienstverleners (subverwerkers):
| Dienstverlener | Waarvoor | Waar |
|---|---|---|
| Supabase | Database, inloggen en bestanden | EU (Frankfurt, Duitsland) |
| Cloudflare | Hosting van de app en de website, bescherming tegen aanvallen | Wereldwijd netwerk; geen opslag van jullie testdata |
| Resend | Versturen van e-mails (uitnodigingen, inlogcodes, meldingen) | EU (Ierland) |
| Anthropic | AI test design (testcases, en samenvattingen en uitwerkingen van issues), alleen als je workspace die add-on gebruikt en geen eigen AI-model heeft gekoppeld | Verenigde Staten, onder de EU-modelcontractbepalingen (SCC's) |
De koppelingen die je zelf instelt (Jira, Azure DevOps, Teams, Slack, Zapier, Make, webhooks) sturen gegevens naar jullie eigen accounts daar, zoals je ze instelt.
Beveiliging
Zo is UAT Studio beveiligd
- Toegangsregels in de database. Elke lees- en schrijfactie wordt gecontroleerd op de rol van de persoon, ook als iemand de API rechtstreeks aanroept.
- Inloggen met Microsoft (Microsoft Entra ID, voor elke organisatie met Microsoft 365) of met een eenmalige code per mail; alleen uitgenodigde adressen komen erin, en alleen e-mailadressen die Microsoft heeft bevestigd.
- Tweestapsverificatie met een authenticator-app; een workspace kan die voor al zijn admins verplichten. Inloggen met Microsoft telt als tweede stap.
- Tokens en geheimen van koppelingen worden versleuteld met AES-256 (AES-GCM), met de sleutel apart van de database; alleen de laatste vier tekens zijn zichtbaar. API-sleutels worden alleen als vingerafdruk bewaard.
- Bestanden (screenshots, bewijs) zijn alleen beschikbaar voor mensen met toegang tot het project, via kortlevende links.
- Auditlog van elke wijziging, met wie en wanneer, ook van supportbezoeken.
- Releases gaan door geautomatiseerde tests van de beveiligingsregels en de schermen voordat ze live gaan.
Privacy
Privacy en de AVG
Voor de gegevens in jullie workspace is jullie organisatie de verwerkingsverantwoordelijke en Salvion de verwerker. We sluiten een verwerkersovereenkomst (data processing agreement) met jullie; vraag hem aan via [email protected]. In onze privacyverklaring staat wat we zelf verwerken.
Tip voor je UATTestomgevingen zijn vaak een kopie van productie. Gebruik waar het kan testdata, en vraag testers screenshots met persoonsgegevens bij te snijden of onleesbaar te maken.
Inkopen
UAT Studio inkopen
- Betalen op factuur, per project, per maand of per jaar. We zetten jullie inkoopordernummer op de factuur.
- Begin met een gratis pilot van 14 dagen: geen creditcard, geen verplichting.
- Geen licenties per gebruiker: elke tester uit de business is inbegrepen, dus het aantal testers vraagt nooit om nieuwe goedkeuring.
- Leveranciersregistratie: we vullen jullie leveranciersformulier in en sturen op verzoek onze bedrijfs- en bankgegevens.
Vragen
Beveiligingsvragenlijsten
Stuur je beveiligings- of leveranciersvragenlijst naar [email protected]. Meestal krijg je hem binnen een paar werkdagen terug.