# AVG-codecheck

# Je privacyverklaring belooft iets. Doet je code dat ook?

De AVG-codecheck kijkt in je broncode hoe persoonsgegevens echt worden verwerkt: wat je opslaat, hoe lang, wie erbij kan en waar het naartoe gaat. Los te bestellen of als aanvulling op een security code review.

**Vanaf € 1.150 excl. btw**. Vaste prijs na het afbakenen van de scope

- **Aanlevering**: Leestoegang tot je repository
- **Kijkt naar**: Opslaan, bewaren, delen en verwijderen
- **Combinatie**: Met security code review
- **Start**: In overleg, meestal binnen twee weken
- **Rapport**: Binnen 10 werkdagen na de check
- **Vooraf**: NDA, code alleen voor deze check

[AVG-codecheck aanvragen](https://hackindex.nl/contact/details?parts=avg)

## Herken je dit?

- **Een klant stuurt een verwerkersovereenkomst.** Daarin beloof je passende maatregelen. Maakt de code dat waar?
- **Iemand vraagt om inzage of verwijdering.** Lukt dat volledig, ook uit logs en gekoppelde systemen?
- **De app verwerkt gevoelige gegevens.** Gezondheid, financiën, BSN of gegevens van kinderen vragen extra zorg.
- **Niemand weet meer precies wat er wordt opgeslagen.** Na een paar jaar ontwikkelen is dat overzicht vaak weg.

## De weg van een persoonsgegeven

De check volgt een persoonsgegeven vanaf het moment dat het binnenkomt tot het moment dat het weg moet zijn. Kies een stap.

### Binnenkomst: Verzamelen

Vraag je alleen wat je nodig hebt?

- Velden die worden opgeslagen maar nergens voor dienen
- Gevoelige gegevens die niet nodig zijn
- Toestemming die in de code niet wordt gerespecteerd

### Opslag: Opslaan

Hoe liggen de gegevens opgeslagen?

- Gevoelige gegevens zonder versleuteling
- Kopieën van dezelfde gegevens op meerdere plekken
- Documenten en ID-bewijzen die te makkelijk bereikbaar zijn

### Opslag: Logbestanden

Wat schrijft de app ongemerkt weg?

- Persoonsgegevens en wachtwoorden in logs
- Logs die nooit worden opgeruimd

### Gebruik: Toegang

Zien medewerkers meer dan nodig?

- Beheer met toegang tot alle gegevens
- Of wordt vastgelegd wie gegevens bekijkt

### Gebruik: Delen

Waar gaan de gegevens naartoe?

- Koppelingen die meer gegevens doorsturen dan nodig
- Diensten buiten de EU
- Een overzicht van alle verwerkers in de code

### Einde: Bewaren en verwijderen

Wordt er ooit iets weggegooid?

- Bewaartermijnen in de code naast je privacyverklaring
- Een verzoek om inzage of verwijdering volledig kunnen uitvoeren

## Zo ziet een bevinding eruit

Per bevinding wat er mis is, het bewijs, wat het betekent en hoe je het oplost.

### HI-OP-2026-T3PA-05: Burgerservicenummers en wachtwoorden komen in de logbestanden

- **Ernst**: Hoog

Bij een fout wordt het hele formulier gelogd, ook het BSN en het wachtwoord. De logs worden nooit opgeruimd en gaan ook naar een foutmeldingsdienst buiten de EU.

```
// app/Exceptions/Handler.php, regel 27
Log::error($e->getMessage(), [
    'input' => request()->all(),
]);
```

Gevoelige persoonsgegevens worden onbeperkt bewaard en gedeeld met een partij buiten de EU. Dat strijdt met dataminimalisatie en met de bewaartermijn in je privacyverklaring.

```diff
Log::error($e->getMessage(), [
-    'input' => request()->all(),
+    'input' => request()->except(['bsn', 'password']),
]);
```

Fictief voorbeeld. Echte bevindingen blijven vertrouwelijk.

## Wat er wel en niet in zit

### Onderdeel van de opdracht

- Hoe de code persoonsgegevens verzamelt, opslaat en deelt
- Bewaartermijnen en het opruimen van gegevens
- Inzage en verwijderen per persoon
- Een overzicht van de verwerkers in de code

### Valt erbuiten

- **Juridisch advies**, zoals je privacyverklaring of verwerkersovereenkomst
- **Beleid en processen**, binnen je organisatie
- **Security**, tenzij je de security code review erbij neemt

## Wat kost het?

Na een korte blik op de code krijg je een vaste prijs. Deze punten bepalen de omvang.

**Vanaf € 1.150 excl. btw**. Vaste prijs, zonder nacalculatie

- **Soort gegevens**: Contactgegevens zijn eenvoudiger dan gezondheid, BSN of gegevens van kinderen.
- **Koppelingen**: Elke dienst waar gegevens naartoe gaan, wordt gevolgd.
- **Omvang**: Op hoeveel plekken persoonsgegevens door de code gaan.

## Wat je aanlevert

Hoe beter dit klaarstaat, hoe meer tijd er naar het testen zelf gaat.

- **Leestoegang tot de repository** (Nodig): Een uitnodiging in GitHub of GitLab, die je na afloop intrekt.
- **Je privacyverklaring** (Nodig): Om te vergelijken wat je belooft met wat de code doet.
- **Een lijst van verwerkers** (Optioneel): Voor zover bekend. De check vult hem aan.

## Meer dekking in één opdracht

- **AVG-codecheck** (vanaf € 1.150): Hoe je code met persoonsgegevens omgaat.

- **Security code review** (vanaf € 1.520): Een datalek begint vaak bij een securityfout. Samen wordt dezelfde code in één ronde op beide punten bekeken.

[Meer over Security code review](https://hackindex.nl/security-code-review)

## Veelgestelde vragen

### Is dit een AVG-audit?

Nee. De check kijkt naar wat je code met persoonsgegevens doet. Beleid, contracten en processen vallen erbuiten.

### Kan de check los, zonder security review?

Ja. De AVG-codecheck is los te bestellen of te combineren met een security code review.

### Wat krijg ik precies?

Een overzicht van de persoonsgegevens in je code en waar ze heen gaan, plus bevindingen met een concrete codewijziging.

## Laat je code op de AVG checken.

Vertel welke gegevens je verwerkt en waar ze heen gaan. Je ontvangt een voorstel met een vaste prijs.

- [AVG-codecheck aanvragen](https://hackindex.nl/contact/details?parts=avg)

## Andere diensten

- [Web- en API-pentest](https://hackindex.nl/web-en-api-pentest): Webapplicaties en API's, met extra diepgang in Laravel en WordPress
- [App-pentest](https://hackindex.nl/app-pentest): iOS- en Android-apps, inclusief de API erachter
- [Security code review](https://hackindex.nl/security-code-review): Je broncode gelezen op kwetsbaarheden

Bron: https://hackindex.nl/avg-codecheck