Beveiligingsbeleid
Rapportage van beveiligingskwetsbaarheden
revzper SAS neemt de beveiliging van het Euphile-platform serieus. Als u een beveiligingskwetsbaarheid ontdekt, verzoeken wij u deze op verantwoorde wijze te melden door een e-mail te sturen naar contact@revzper.com. Wij zullen de ontvangst binnen 48 uur bevestigen en streven ernaar binnen 5 werkdagen een eerste beoordeling te verstrekken. Wij ondernemen geen juridische stappen tegen onderzoekers die praktijken voor verantwoorde openbaarmaking volgen.
Naleving van regelgeving inzake gegevensbescherming
revzper SAS zet zich als verwerkingsverantwoordelijke voor het Euphile-platform in voor volledige naleving van de Algemene Verordening Gegevensbescherming (GDPR) en andere toepasselijke EU-wetgeving inzake gegevensbescherming. Dit beleid beschrijft onze naleving van de volgende beginselen:
1. Beginselen van de GDPR
Alle verwerkingsactiviteiten worden uitgevoerd met een duidelijke rechtsgrond, waaronder toestemming, uitvoering van een overeenkomst of een gerechtvaardigd belang, zoals gespecificeerd in onze Registers van gegevensverwerking.
Ref: GDPR
2. Rechten van betrokkenen
Als betrokkene heeft u de volgende rechten met betrekking tot uw persoonsgegevens die op het Euphile-platform worden verwerkt:
Ref: GDPR
- Verzoeken om bevestiging of uw gegevens worden verwerkt en om toegang tot die gegevens.
- Verzoeken om correctie van onjuiste of onvolledige persoonsgegevens.
- Verzoeken om wissing van uw persoonsgegevens onder specifieke voorwaarden.
- Verzoeken om beperking van de verwerking in bepaalde omstandigheden.
- Uw persoonsgegevens ontvangen in een gestructureerd, gangbaar en machineleesbaar formaat.
- Bezwaar maken tegen verwerking op basis van gerechtvaardigde belangen of direct marketing.
- Toestemming voor verwerking intrekken wanneer deze de rechtsgrond vormde.
3. Rechtsgrond voor verwerking
De rechtsgrond voor de verwerking van persoonsgegevens op het Euphile-platform verschilt per product en dienst. Raadpleeg voor gedetailleerde informatie de Registers van gegevensverwerking voor elk product (Solon, Vauban, Nassau, Leonardo, Atlas, Plutus, Tzu, Richelieu).
Ref: GDPR
4. Functionaris voor gegevensbescherming (DPO)
revzper SAS heeft een functionaris voor gegevensbescherming aangesteld om toezicht te houden op praktijken inzake gegevensbescherming. De DPO kan worden gecontacteerd via privacy@revzper.com.
Ref: GDPR
Beveiligingsmaatregelen
Ons platform maakt gebruik van de volgende beveiligingsmaatregelen om persoonsgegevens te beschermen:
1. Versleuteling
1. Tijdens overdracht
Alle gegevens die tussen gebruikers en ons platform worden verzonden, worden versleuteld met behulp van in de sector gebruikelijke protocollen om veilige communicatiekanalen te waarborgen.
2. In rust
Gevoelige gegevens worden versleuteld met behulp van sterke versleutelingsnormen, waarbij versleutelingssleutels worden beheerd in overeenstemming met beste praktijken.
2. Toegangscontroles
1. Op rollen gebaseerde toegangscontrole
Op rollen gebaseerde toegangscontrole wordt geïmplementeerd om ervoor te zorgen dat gebruikers alleen toegang hebben tot de gegevens en functies die noodzakelijk zijn voor hun rollen.
2. Meervoudige authenticatie
Meervoudige authenticatie is vereist voor alle beheertoegang tot het platform.
3. Beveiligingsbeoordelingen
1. Kwetsbaarheidsscans en penetratietests
Er worden regelmatig kwetsbaarheidsscans en penetratietests uitgevoerd om beveiligingszwakheden te identificeren en aan te pakken.
2. Interne beveiligingsbeoordelingen
Er worden interne beveiligingsbeoordelingen uitgevoerd om toegangslogboeken, systeemconfiguraties en naleving van beveiligingsbeleid te beoordelen.
4. Geautomatiseerde monitoring
1. Continue monitoring
Continue monitoring van systeemlogboeken, netwerkverkeer en gebruikersactiviteiten om verdacht gedrag in realtime te detecteren en daarop te reageren.
2. Geautomatiseerde waarschuwingen
Er worden geautomatiseerde waarschuwingen gegenereerd voor potentiële beveiligingsincidenten, waardoor een snelle reactie mogelijk wordt.
5. Nalevingscertificeringen
Onze infrastructuur en processen zijn ontworpen om te voldoen aan erkende beveiligingsnormen. Certificeringen worden regelmatig geverifieerd en op verzoek beschikbaar gesteld. Alle gegevens worden verwerkt binnen de Europese Unie op infrastructuur die voldoet aan de beveiligingsnormen van de sector.
Incidentrespons en melding van inbreuken
revzper SAS heeft een robuuste incidentresponsprocedure vastgesteld om beveiligingsincidenten, datalekken of ongeoorloofde toegang tot persoonsgegevens aan te pakken. Ons doel is incidenten snel te detecteren, in te dammen en te beperken, en tegelijkertijd naleving van wettelijke verplichtingen te waarborgen.
1. Incidentresponsprocedure
Ref: GDPR
1. Detectie en rapportage
Beveiligingsincidenten worden gedetecteerd via geautomatiseerde monitoringtools en handmatige rapportage. Werknemers en opdrachtnemers worden getraind om vermoedelijke incidenten onmiddellijk te melden aan privacy@revzper.com of via de hotline voor incidentrespons op contact@revzper.com.
Ref: GDPR
2. Beoordeling en indamming
Het incidentresponsteam, onder leiding van de DPO, beoordeelt de omvang en impact van het incident. Er worden onmiddellijk indammingsmaatregelen geïmplementeerd om verdere ongeoorloofde toegang of gegevensverlies te voorkomen.
Ref: GDPR
3. Melding aan toezichthoudende autoriteiten
In het geval van een inbreuk in verband met persoonsgegevens zal revzper SAS de bevoegde toezichthoudende autoriteit binnen 72 uur nadat zij kennis heeft genomen van de inbreuk op de hoogte stellen, tenzij het niet waarschijnlijk is dat de inbreuk een risico inhoudt voor de rechten en vrijheden van betrokkenen. De melding omvat: Een beschrijving van de aard van de inbreuk. De categorieën en het geschatte aantal betrokkenen en getroffen dossiers. De waarschijnlijke gevolgen van de inbreuk. Maatregelen die zijn genomen of voorgesteld om de inbreuk aan te pakken.
Ref: GDPR
4. Communicatie aan getroffen betrokkenen
Als de inbreuk waarschijnlijk een hoog risico inhoudt voor de rechten en vrijheden van betrokkenen, zal revzper SAS de inbreuk zonder onnodige vertraging meedelen aan de getroffen personen. De communicatie omvat: Een duidelijke beschrijving van de inbreuk. De maatregelen die zijn genomen om de inbreuk aan te pakken. Aanbevelingen voor betrokkenen om hun rechten te beschermen.
Ref: GDPR
5. Documentatie en beoordeling
Alle incidenten worden gedocumenteerd, met inbegrip van de grondoorzaak, de responsmaatregelen en de geleerde lessen. De incidentresponsprocedure wordt regelmatig geëvalueerd en bijgewerkt om verbeteringen op te nemen.
Ref: GDPR
2. Escalatiepad
Kleine incidenten: afgehandeld door het interne beveiligingsteam onder toezicht van de DPO. Ernstige incidenten: geëscaleerd naar het senior management en de raad van bestuur, met verplichte melding aan de toezichthoudende autoriteit.
Ref: GDPR
3. Contact voor incidenten
Voor vragen of om een incident te melden, kunt u contact opnemen met de DPO via privacy@revzper.com.
Ref: GDPR
Beheer van risico's van derden
revzper SAS erkent dat externe leveranciers, subverwerkers en dienstverleners namens ons platform persoonsgegevens kunnen verwerken. Wij verbinden ons ertoe ervoor te zorgen dat alle derden dezelfde hoge normen voor gegevensbescherming en beveiliging naleven als revzper SAS.
1. Subverwerkers en dienstverleners
De volgende derden worden door revzper SAS ingeschakeld om diensten te leveren waarbij persoonsgegevens worden verwerkt. Elke subverwerker wordt geselecteerd op basis van grondige due diligence en contractuele waarborgen:
Ref: GDPR
- Dienst: Cloudhosting
Subverwerker: Scaleway SAS, 8 rue de la Ville-l'Évêque, 75008 Paris, France
Locatie van de gegevens: Frankrijk (regio Parijs), Europese Unie
Certificeringen inzake naleving: ISO/IEC 27001:2022; HDS (hosting van gezondheidsgegevens)
Overeenkomst inzake gegevensverwerking: Scaleway Data Processing Agreement, https://www.scaleway.com/en/contracts/
- Dienst: Betalingsverwerking
Subverwerker: Mollie B.V., Keizersgracht 126, 1015 CW Amsterdam, Netherlands
Locatie van de gegevens: Europese Unie (Nederland)
Certificeringen inzake naleving: PCI DSS Level 1 service provider; door De Nederlandsche Bank erkende betalingsinstelling
Overeenkomst inzake gegevensverwerking: Mollie verwerkt betalingsgegevens als een onafhankelijke verwerkingsverantwoordelijke op grond van haar User Agreement en Privacy Statement, https://www.mollie.com/legal/privacy
2. Due diligence en selectie
Alle potentiële subverwerkers worden geëvalueerd op basis van hun beveiligingspraktijken, certificeringen inzake naleving en toezeggingen op het gebied van gegevensbescherming. Met alle subverwerkers worden overeenkomsten inzake gegevensverwerking gesloten, waarin hun verplichtingen met betrekking tot gegevensbescherming, beveiliging en melding van inbreuken worden uiteengezet. revzper SAS beoordeelt regelmatig de prestaties en naleving van subverwerkers om voortdurende naleving van toepasselijke regelgeving te waarborgen.
Ref: GDPR
3. Incidentrespons en melding van inbreuken
Subverwerkers zijn verplicht revzper SAS onmiddellijk in kennis te stellen van vermoedelijke of daadwerkelijke inbreuken in verband met persoonsgegevens. revzper SAS zal de gevolgen van de inbreuk beoordelen en passende maatregelen nemen, met inbegrip van het informeren van de bevoegde toezichthoudende autoriteit en de betrokkenen, zoals vereist op grond van toepasselijke regelgeving.
Ref: GDPR
4. Contact voor risicobeheer van derden
Voor vragen over onze praktijken inzake risicobeheer van derden kunt u contact opnemen met de DPO via privacy@revzper.com.
Ref: GDPR
Beveiligingstraining en bewustwording voor medewerkers
revzper SAS verbindt zich ertoe een cultuur van beveiligingsbewustzijn onder alle medewerkers en opdrachtnemers te bevorderen. Regelmatige training en opleiding zijn essentieel voor het handhaven van de beveiliging van ons platform en het beschermen van persoonsgegevens.
1. Trainingsprogramma
1. Reikwijdte
Alle medewerkers en opdrachtnemers met toegang tot systemen of gegevens van revzper SAS zijn verplicht een beveiligingstraining te voltooien.
2. Behandelde onderwerpen
Bewustwording van veelvoorkomende beveiligingsbedreigingen (bijv. phishing, social engineering). Veilige authenticatiepraktijken. Toegangscontrole en beginselen van minimale bevoegdheden. Procedures voor het melden van incidenten. Beginselen inzake gegevensbescherming en naleving van regelgeving. Veilige ontwikkelingspraktijken (voor technisch personeel). Fysieke beveiliging en veiligheid op de werkplek.
3. Trainingsfrequentie
Nieuwe medewerkers: verplichte beveiligingstraining binnen de eerste 30 dagen van het dienstverband. Jaarlijkse opfrissing: alle medewerkers en opdrachtnemers moeten jaarlijks een update van de beveiligingstraining voltooien. Ad-hoctraining: aanvullende training wordt aangeboden voor nieuwe systemen, beleidslijnen of opkomende bedreigingen.
4. Documentatie
De aanwezigheid bij en voltooiing van trainingen worden gedocumenteerd en veilig opgeslagen. Medewerkers zijn verplicht te bevestigen dat zij de trainingsmaterialen hebben begrepen.
2. Bewustwordingscampagnes
Phishingsimulaties: er worden regelmatig phishingsimulaties uitgevoerd om het bewustzijn van medewerkers te beoordelen en de training te versterken. Beveiligingsnieuwsbrieven: periodieke nieuwsbrieven worden verspreid om updates over beveiligingsbedreigingen, best practices en beleidswijzigingen te delen. Incidentbeoordelingen: na incidenten worden beoordelingen uitgevoerd om de geleerde lessen te analyseren en beveiligingspraktijken te verbeteren.
3. Naleving en handhaving
Niet-naleving van de vereisten inzake beveiligingstraining kan leiden tot disciplinaire maatregelen, met inbegrip van beëindiging van het dienstverband. revzper SAS behoudt zich het recht voor de voltooiing van trainingen en de naleving van beveiligingsbeleid te auditen.
4. Contact voor vragen over training
Voor vragen over ons beveiligingstrainingsprogramma kunt u contact opnemen met de DPO via privacy@revzper.com.