Beveiliging van MemoRecorder / MR-XL

Deze pagina beschrijft de bekende beveiligingsopzet en praktische maatregelen voor MemoRecorder. Het is geen certificering, auditrapport of garantie dat ieder risico kan worden voorkomen.

De technische beschrijvingen zijn gebaseerd op aangeleverde productinformatie en een technische code-audit van de Android-app van 24 juni 2026. Deze pagina is geen certificering, penetratietest of garantie dat ieder risico kan worden voorkomen.

1. Beveiligingsmodel

MemoRecorder is opgezet als local-first Android-app. Projectdata wordt op het toestel opgeslagen in plaats van in een centrale MemoRecorder-cloud. Dit beperkt centrale opslag, maar maakt de beveiliging van het toestel en de keuzes van de gebruiker extra belangrijk.

De technische audit bevestigt dat de app geen eigen backend, centrale projectdatabase, cloudsync, accountfunctie, analytics, advertentie-SDK of crashreportingdienst bevat.

2. Lokale projectopslag

Projectgegevens, bronbestandsmetadata, memo's, transcripties en samenvattingen worden opgeslagen met SQLite/Room en private app storage. Geïmporteerde audio-, video- en documentbestanden worden gekopieerd naar de private app sandbox onder `projects/[projectId]/sources/`. Opgenomen spraakmemo's worden als `.m4a`-bestanden opgeslagen onder `projects/[projectId]/memos/`.

Private app storage beperkt normale toegang door andere apps, maar biedt geen absolute bescherming op een ontgrendeld, gemanipuleerd of gecompromitteerd toestel.

3. Beveiliging van de OpenAI API-key

De eigen OpenAI API-key wordt lokaal opgeslagen met Android EncryptedSharedPreferences en Android Keystore met AES-256-GCM. Android Keystore is bedoeld om cryptografisch sleutelmateriaal moeilijker uitleesbaar te maken.

De gebruiker moet de API-key toch als geheim behandelen. 3d-deal.com VOF vraagt niet om de key bij support en hoort de key niet te ontvangen wanneer de app rechtstreeks met OpenAI communiceert.

Volgens de technische audit wordt de API-key niet expliciet gelogd en niet opgenomen in exports of Android-back-ups. OpenAI-foutmeldingen of uitzonderingen kunnen in sommige situaties wel in systeemlogs of foutschermen terechtkomen. Deel foutmeldingen daarom alleen wanneer nodig en zonder onnodige gevoelige informatie.

4. Gegevens tijdens AI-verwerking

Wanneer de gebruiker optionele AI-transcriptie start, kan de betreffende `.m4a`-spraakmemo rechtstreeks naar OpenAI worden verzonden via HTTPS. De audit vond als netwerkbibliotheek OkHttp en als externe endpoint `https://api.openai.com/v1/audio/transcriptions`. Er is geen certificaat-pinning ingesteld.

5. Android-rechten

MemoRecorder declareert de Android-permissies `RECORD_AUDIO` en `INTERNET`. `RECORD_AUDIO` is nodig voor spraakmemo's die de gebruiker zelf start. `INTERNET` is nodig voor optionele OpenAI Whisper-transcriptie wanneer de gebruiker die functie inschakelt. De audit vond geen camera-, locatie-, contacten-, bluetooth-, telefoon- of opslagpermissies.

6. Exports en gedeelde bestanden

Een export, bijvoorbeeld een .mrxlsrc-bestand, verlaat de private opslag van de app. Het exportbestand is een ZIP-archief met metadata en het originele bronbestand. Het is gecomprimeerd maar niet versleuteld. Vanaf dat moment bepaalt de gekozen opslaglocatie of deelmethode de beveiliging.

• Bewaar gevoelige exports versleuteld of in een passend beveiligde omgeving.
• Deel alleen met bedoelde ontvangers.
• Controleer toegangsrechten en publieke links.
• Verwijder oude kopieën en prullenbakken wanneer zij niet meer nodig zijn.

7. Back-ups

MemoRecorder heeft Android Auto Backup uitgeschakeld met `android:allowBackup="false"`. Daarnaast sluiten `backup_rules.xml` en `data_extraction_rules.xml` shared preferences, databases, bestanden, root- en external-domeinen uit. Daarmee horen projectdata, appbestanden en de API-key niet via Android cloudback-ups of device-to-device transfers van de app te worden meegenomen.

8. Verantwoordelijkheid van de gebruiker

Gebruikers kunnen risico's beperken door:

• Android en MemoRecorder actueel te houden.
• Een sterke schermvergrendeling te gebruiken.
• Geen root- of onbeheerde apparaten te gebruiken voor gevoelige projecten.
• API-keys niet te delen en verbruik te controleren.
• Alleen noodzakelijke persoonsgegevens te importeren.
• Exports en back-ups veilig te beheren.
• Toestellen op afstand te vergrendelen of wissen wanneer de gebruikte Android-dienst dat ondersteunt.

9. Beveiligingsupdates

3d-deal.com VOF kan updates uitbrengen voor beveiliging, compatibiliteit en fouten. Installeer beschikbare updates tijdig. De technische audit noemt `minSdk = 24`, `targetSdk = 36`, `versionCode = 2` en `versionName = 1.1` voor de onderzochte appversie.

10. Melden van een beveiligingsprobleem

Meld een vermoeden van een beveiligingslek via helpdesk@3d-deal.com. Vermeld MemoRecorder / MR-XL, appversie, toesteltype en reproduceerbare stappen.

Stuur geen echte API-key, wachtwoord, volledige gevoelige opname of onnodige persoonsgegevens mee. Meldingen worden beoordeeld op ernst, reproduceerbaarheid en risico. Wij streven ernaar binnen 5 werkdagen een ontvangstbevestiging te sturen en vervolgens een redelijke vervolgstap of indicatie te geven. Maak een mogelijk beveiligingsprobleem niet openbaar voordat 3d-deal.com VOF een redelijke kans heeft gehad om het te onderzoeken en waar nodig te beperken.

11. Incidenten en lokale gegevens

Omdat lokale projectdata voor zover nu bekend niet centraal wordt opgeslagen, kan 3d-deal.com VOF een incident op een individueel toestel mogelijk niet waarnemen of op afstand oplossen. Bij verlies of compromis van het toestel moet de gebruiker lokale beveiligings- en accountmaatregelen nemen, waaronder het intrekken van een OpenAI API-key indien nodig.

Als een incident betrekking heeft op systemen die 3d-deal.com VOF zelf beheert, wordt het onderzocht en worden toepasselijke meld- en informatieverplichtingen beoordeeld.

12. Grenzen en wijzigingen

Geen enkele app, opslagmethode of encryptietechniek sluit alle risico's uit. Deze pagina wordt bijgewerkt wanneer architectuur, back-upbeleid, AI-integratie of beveiligingsmaatregelen veranderen.

Contact: helpdesk@3d-deal.com.