Alle juridische documenten

Juridisch

Beveiligingsbeleid

Van kracht sinds 18 september 2026

Beveiligingsbeleid

Melding van beveiligingskwetsbaarheden

revzper SAS neemt de beveiliging van het Euphile-platform serieus. Als u een beveiligingskwetsbaarheid ontdekt, meld deze dan op verantwoorde wijze door een e-mail te sturen naar contact@revzper.com. Wij bevestigen de ontvangst binnen 48 uur en streven ernaar binnen 5 werkdagen een eerste beoordeling te geven. Wij ondernemen geen juridische stappen tegen onderzoekers die de praktijken voor verantwoorde openbaarmaking volgen.

Naleving van regelgeving inzake gegevensbescherming

revzper SAS zet zich er als verwerkingsverantwoordelijke voor het Euphile-platform voor in om volledig te voldoen aan de Algemene Verordening Gegevensbescherming (GDPR) en andere toepasselijke EU-wetgeving inzake gegevensbescherming. Dit beleid beschrijft onze naleving van de volgende beginselen:

1. Beginselen van de GDPR

Alle verwerkingsactiviteiten worden uitgevoerd op basis van een duidelijke rechtsgrond, waaronder toestemming, uitvoering van een overeenkomst of een gerechtvaardigd belang, zoals gespecificeerd in ons Privacybeleid.

Ref: GDPR

2. Rechten van betrokkenen

Als betrokkene heeft u de volgende rechten met betrekking tot uw persoonsgegevens die op het Euphile-platform worden verwerkt:

Ref: GDPR

  • Verzoeken om bevestiging of uw gegevens worden verwerkt en om toegang tot die gegevens.
  • Verzoeken om correctie van onjuiste of onvolledige persoonsgegevens.
  • Verzoeken om verwijdering van uw persoonsgegevens onder specifieke voorwaarden.
  • Verzoeken om beperking van de verwerking in bepaalde omstandigheden.
  • Uw persoonsgegevens ontvangen in een gestructureerd, gangbaar en machineleesbaar formaat.
  • Bezwaar maken tegen verwerking op basis van gerechtvaardigde belangen of direct marketing.
  • Uw toestemming voor verwerking intrekken wanneer deze de rechtsgrond vormde.

3. Rechtsgrond voor verwerking

De rechtsgrond voor de verwerking van persoonsgegevens op het Euphile-platform verschilt per product en dienst. Raadpleeg voor gedetailleerde informatie het Privacybeleid voor elk product (Solon, Vauban, Nassau, Leonardo, Atlas, Plutus, Tzu, Richelieu).

Ref: GDPR

4. Functionaris voor gegevensbescherming (DPO)

revzper SAS heeft een Functionaris voor gegevensbescherming aangesteld om toezicht te houden op de praktijken inzake gegevensbescherming. Er kan contact worden opgenomen met de DPO via privacy@revzper.com.

Ref: GDPR

Beveiligingsmaatregelen

Ons platform maakt gebruik van de volgende beveiligingsmaatregelen om persoonsgegevens te beschermen:

1. Versleuteling

1. Tijdens overdracht

Alle gegevens die tussen gebruikers en ons platform worden verzonden, worden versleuteld met behulp van protocollen die voldoen aan de industrienormen om veilige communicatiekanalen te waarborgen.

2. In rust

Gevoelige gegevens worden versleuteld met behulp van sterke versleutelingsstandaarden, waarbij versleutelingssleutels worden beheerd in overeenstemming met best practices.

2. Toegangscontroles

1. Op rollen gebaseerde toegangscontrole

Er wordt op rollen gebaseerde toegangscontrole geïmplementeerd om ervoor te zorgen dat gebruikers uitsluitend toegang hebben tot de gegevens en functies die noodzakelijk zijn voor hun rollen.

2. Multifactorauthenticatie

Multifactorauthenticatie is vereist voor alle administratieve toegang tot het platform.

3. Beveiligingsbeoordelingen

1. Kwetsbaarheidsscans en penetratietests

Er worden regelmatig kwetsbaarheidsscans en penetratietests uitgevoerd om beveiligingszwakheden te identificeren en aan te pakken.

2. Interne beveiligingsbeoordelingen

Er worden interne beveiligingsbeoordelingen uitgevoerd om toegangslogboeken, systeemconfiguraties en naleving van beveiligingsbeleid te controleren.

4. Geautomatiseerde monitoring

1. Continue monitoring

Continue monitoring van systeemlogboeken, netwerkverkeer en gebruikersactiviteit om verdacht gedrag in realtime te detecteren en erop te reageren.

2. Geautomatiseerde waarschuwingen

Er worden geautomatiseerde waarschuwingen gegenereerd voor mogelijke beveiligingsincidenten, waardoor snel kan worden gereageerd.

5. Nalevingscertificeringen

Onze infrastructuur en processen zijn ontworpen om te voldoen aan erkende beveiligingsstandaarden. Certificeringen worden regelmatig gecontroleerd en op verzoek beschikbaar gesteld. Alle gegevens worden binnen de Europese Unie verwerkt op infrastructuur die voldoet aan de beveiligingsnormen van de sector.

Incidentrespons en melding van inbreuken

revzper SAS heeft een robuuste procedure voor incidentrespons ingesteld om beveiligingsincidenten, datalekken of ongeautoriseerde toegang tot persoonsgegevens aan te pakken. Ons doel is incidenten snel te detecteren, in te dammen en te beperken en tegelijkertijd naleving van wettelijke verplichtingen te waarborgen.

1. Procedure voor incidentrespons

Ref: GDPR

1. Detectie en melding

Beveiligingsincidenten worden gedetecteerd via geautomatiseerde monitoringtools en handmatige meldingen. Werknemers en contractanten worden getraind om vermoedelijke incidenten onmiddellijk te melden aan privacy@revzper.com of via de hotline voor incidentrespons op contact@revzper.com.

Ref: GDPR

2. Beoordeling en indamming

Het incidentresponsteam, onder leiding van de DPO, beoordeelt de omvang en impact van het incident. Er worden onmiddellijk indammingsmaatregelen geïmplementeerd om verdere ongeautoriseerde toegang of gegevensverlies te voorkomen.

Ref: GDPR

3. Melding aan toezichthoudende autoriteiten

In het geval van een inbreuk in verband met persoonsgegevens zal revzper SAS de bevoegde toezichthoudende autoriteit binnen 72 uur nadat zij kennis heeft gekregen van de inbreuk op de hoogte stellen, tenzij het niet waarschijnlijk is dat de inbreuk een risico inhoudt voor de rechten en vrijheden van betrokkenen. De melding bevat: Een beschrijving van de aard van de inbreuk. De categorieën en het geschatte aantal betrokkenen en getroffen records. De waarschijnlijke gevolgen van de inbreuk. De maatregelen die zijn genomen of voorgesteld om de inbreuk aan te pakken.

Ref: GDPR

4. Communicatie aan getroffen betrokkenen

Als het waarschijnlijk is dat de inbreuk een hoog risico inhoudt voor de rechten en vrijheden van betrokkenen, zal revzper SAS de inbreuk zonder onredelijke vertraging aan de getroffen personen meedelen. De communicatie bevat: Een duidelijke beschrijving van de inbreuk. De maatregelen die zijn genomen om de inbreuk aan te pakken. Aanbevelingen voor betrokkenen om hun rechten te beschermen.

Ref: GDPR

5. Documentatie en beoordeling

Alle incidenten worden gedocumenteerd, met inbegrip van de onderliggende oorzaak, de genomen responsmaatregelen en de geleerde lessen. De procedure voor incidentrespons wordt regelmatig geëvalueerd en bijgewerkt om verbeteringen op te nemen.

Ref: GDPR

2. Escalatiepad

Kleine incidenten: Worden afgehandeld door het interne beveiligingsteam onder toezicht van de DPO. Ernstige incidenten: Worden geëscaleerd naar het senior management en de raad van bestuur, met verplichte kennisgeving aan de toezichthoudende autoriteit.

Ref: GDPR

3. Contact voor incidenten

Neem voor vragen of om een incident te melden contact op met de DPO via privacy@revzper.com.

Ref: GDPR

Risicobeheer van derden

revzper SAS erkent dat externe leveranciers, subverwerkers en dienstverleners namens ons platform persoonsgegevens kunnen verwerken. Wij zetten ons ervoor in dat alle derden dezelfde hoge normen voor gegevensbescherming en beveiliging naleven als revzper SAS.

1. Subverwerkers en dienstverleners

De volgende derden worden door revzper SAS ingeschakeld om diensten te leveren waarbij persoonsgegevens worden verwerkt. Elke subverwerker wordt geselecteerd op basis van grondig onderzoek en contractuele waarborgen:

Ref: GDPR

  • Dienst: Cloudhosting

Subverwerker: Scaleway SAS, 8 rue de la Ville-l'Évêque, 75008 Paris, France
Locatie van de gegevens: Frankrijk (regio Parijs), Europese Unie
Certificeringen inzake naleving: ISO/IEC 27001:2022; HDS (hosting van gezondheidsgegevens)
Overeenkomst inzake gegevensverwerking: Scaleway Data Processing Agreement, https://www.scaleway.com/en/contracts/

  • Dienst: Betalingsverwerking

Subverwerker: Mollie B.V., Keizersgracht 126, 1015 CW Amsterdam, Netherlands
Locatie van de gegevens: Europese Unie (Nederland)
Certificeringen inzake naleving: PCI DSS Level 1 service provider; door De Nederlandsche Bank geautoriseerde betalingsinstelling
Overeenkomst inzake gegevensverwerking: Mollie verwerkt betalingsgegevens als een zelfstandige verwerkingsverantwoordelijke krachtens zijn User Agreement en Privacy Statement, https://www.mollie.com/legal/privacy

  • Dienst: AI-inferentie (OpenAI-modellen)

Subverwerker: Microsoft Ireland Operations Limited, One Microsoft Place, South County Business Park, Leopardstown, Dublin 18, Ireland (Microsoft Foundry, Azure OpenAI Service)
Locatie van de gegevens: Europese Unie: implementaties van gegevenszones op een resource in Frankrijk (France Central); prompts en antwoorden worden verwerkt binnen de Azure EU Data Boundary, gegevens in rust in Frankrijk
Certificeringen inzake naleving: ISO/IEC 27001, SOC 2 (Microsoft Service Trust Portal, https://servicetrust.microsoft.com/)
Overeenkomst inzake gegevensverwerking: Microsoft Products and Services Data Protection Addendum, https://aka.ms/DPA; data terms for Foundry models, https://learn.microsoft.com/en-us/azure/foundry/responsible-ai/openai/data-privacy

  • Dienst: AI-inferentie (Mistral-modellen)

Subverwerker: Mistral AI SAS, RCS Paris 952 418 325, 15 rue des Halles, 75001 Paris, France (La Plateforme)
Locatie van de gegevens: Europese Unie (inferentie op het EU-regionale eindpunt van Mistral; gegevens worden standaard in de Europese Unie gehost; API-invoer en -uitvoer worden gedurende dertig voortschrijdende dagen bewaard voor misbruikmonitoring)
Certificeringen inzake naleving: SOC 2 Type II; ISO/IEC 27001 en 27701 (Mistral AI Trust Center, https://trust.mistral.ai/)
Overeenkomst inzake gegevensverwerking: Mistral AI Data Processing Addendum, https://legal.mistral.ai/terms/data-processing-addendum/
2. Due diligence en selectie

Alle potentiële subverwerkers worden geëvalueerd op basis van hun beveiligingspraktijken, certificeringen inzake naleving en toezeggingen op het gebied van gegevensbescherming. Met alle subverwerkers worden overeenkomsten inzake gegevensverwerking gesloten, waarin hun verplichtingen met betrekking tot gegevensbescherming, beveiliging en melding van inbreuken worden uiteengezet. revzper SAS beoordeelt regelmatig de prestaties en naleving van subverwerkers om voortdurende naleving van toepasselijke regelgeving te waarborgen.

Ref: GDPR

3. Incidentrespons en melding van inbreuken

Subverwerkers zijn verplicht revzper SAS onmiddellijk in kennis te stellen van vermoedelijke of daadwerkelijke inbreuken in verband met persoonsgegevens. revzper SAS zal de gevolgen van de inbreuk beoordelen en passende maatregelen nemen, met inbegrip van het informeren van de bevoegde toezichthoudende autoriteit en de betrokkenen, zoals vereist door toepasselijke regelgeving.

Ref: GDPR

4. Contact voor risicobeheer van derden

Neem voor vragen over onze praktijken inzake risicobeheer van derden contact op met de DPO via privacy@revzper.com.

Ref: GDPR

Beveiligingstraining en bewustwording voor werknemers

revzper SAS zet zich in voor het bevorderen van een cultuur van veiligheidsbewustzijn onder alle werknemers en opdrachtnemers. Regelmatige training en voorlichting zijn essentieel voor het handhaven van de beveiliging van ons platform en het beschermen van persoonsgegevens.

1. Trainingsprogramma

1. Reikwijdte

Alle werknemers en opdrachtnemers met toegang tot systemen of gegevens van revzper SAS zijn verplicht een beveiligingstraining te voltooien.

2. Behandelde onderwerpen

Bewustzijn van veelvoorkomende beveiligingsdreigingen (bijv. phishing, social engineering). Veilige authenticatiepraktijken. Beginselen van toegangsbeheer en minimale bevoegdheden. Procedures voor het melden van incidenten. Beginselen van gegevensbescherming en naleving van regelgeving. Veilige ontwikkelingspraktijken (voor technisch personeel). Fysieke beveiliging en veiligheid op de werkplek.

3. Frequentie van de training

Nieuwe medewerkers: Verplichte beveiligingstraining binnen de eerste 30 dagen van het dienstverband. Jaarlijkse opfrissing: Alle werknemers en opdrachtnemers moeten jaarlijks een update van de beveiligingstraining voltooien. Ad-hoctraining: Aanvullende training wordt verstrekt voor nieuwe systemen, beleidsregels of opkomende dreigingen.

4. Documentatie

De aanwezigheid bij en voltooiing van trainingen worden gedocumenteerd en veilig opgeslagen. Werknemers zijn verplicht te bevestigen dat zij de trainingsmaterialen begrijpen.

2. Bewustwordingscampagnes

Phishingsimulaties: Er worden regelmatig phishingsimulaties uitgevoerd om het bewustzijn van werknemers te beoordelen en de training te versterken. Beveiligingsnieuwsbrieven: Er worden periodiek nieuwsbrieven verspreid om updates over beveiligingsdreigingen, best practices en beleidswijzigingen te delen. Incidentbeoordelingen: Na incidenten worden beoordelingen uitgevoerd om de geleerde lessen te analyseren en de beveiligingspraktijken te verbeteren.

3. Naleving en handhaving

Niet-naleving van de vereisten inzake beveiligingstraining kan leiden tot disciplinaire maatregelen, tot en met beëindiging van het dienstverband. revzper SAS behoudt zich het recht voor om de voltooiing van trainingen en de naleving van beveiligingsbeleid te controleren.

4. Contact voor vragen over trainingen

Neem voor vragen over ons beveiligingstrainingsprogramma contact op met de DPO via privacy@revzper.com.