Beveiliging en AVG

De vragen die je hoort te stellen

Waar staan mijn gegevens?

In een datacentrum in Amsterdam. De dagelijkse back-ups worden daar ook bewaard. Alleen als je de AI-functie aanzet, gaat de tekst waar je hulp bij vraagt naar een leverancier buiten Nederland. Dat staat uitgelegd in de privacyverklaring.

Van wie zijn mijn gegevens?

Van jou. Wij verwerken ze alleen om de dienst te leveren. Je kunt op elk moment een volledige kopie exporteren en meenemen.

Kan een andere partner mijn gegevens zien?

Nee. Elke partner, zo noemen wij onze klanten, heeft een eigen afgeschermde omgeving. Die scheiding zit in de software zelf, op elke opvraging, niet alleen in de schermen.

Kan ik zien wie wat heeft gedaan?

Ja. In- en uitloggen, wijzigingen aan gegevens en beveiligingsgebeurtenissen worden vastgelegd, en je kunt ze zelf inzien in je eigen omgeving.

Wat als er iets kapotgaat?

Elke nacht wordt een volledige back-up gemaakt. Die bewaren we veertien dagen. Terugzetten gebeurt met de hand, volgens een vastgelegde procedure, zodat er nooit per ongeluk gegevens worden overschreven.

Wat als jullie moeten meekijken?

Support kan alleen met een expliciete overnamefunctie meekijken. Dat is zichtbaar in beeld en elke wijziging die dan wordt gedaan, staat op naam van de supportmedewerker in jouw eigen logboek.

Hoe het technisch geregeld is

Voor wie het naadje van de kous wil weten, bijvoorbeeld een systeembeheerder of een functionaris gegevensbescherming.

Toegang

Tweestapsverificatie via een authenticator-app is verplicht voor iedere gebruiker.
Wachtwoorden worden gehasht opgeslagen en zijn niet terug te lezen, ook niet door ons.
Herhaalde mislukte inlogpogingen worden afgeremd.
Nieuwe gebruikers komen binnen op uitnodiging, met een token dat verloopt.

Rechten

Wie wat mag, loopt via functionaliteiten en rollen, niet via losse aanvinkvakjes per gebruiker.
Rechten gelden op drie niveaus: systeem, partner en project.
Elke actie op de server controleert het recht opnieuw, ook als de knop al verborgen was.

Gegevensscheiding

Elke rij in de database draagt de partner waartoe hij behoort.
Elke opvraging filtert daar automatisch op, en een gegeven van een andere partner geeft "niet gevonden".
Die scheiding wordt bij elke wijziging aan de software automatisch getest.

Vastlegging

Beveiligingsgebeurtenissen, zoals inloggen en wachtwoordwijzigingen, worden apart vastgelegd.
Inhoudelijke gebeurtenissen, zoals het verwijderen van een project, staan in een eigen logboek.
Verwijderen is standaard omkeerbaar: gegevens gaan naar de prullenbak en zijn terug te zetten.

Beschikbaarheid

Dagelijkse back-up van de volledige database, veertien dagen bewaard.
De back-uptoestand is voor beheerders zichtbaar, inclusief hoe oud de nieuwste kopie is.
Verkeer tussen jouw browser en de omgeving is versleuteld.

In voorbereiding

ForzaProject werkt met zijn eerste partners. Deze zaken zijn er nog niet, en dat zeggen we liever nu dan tijdens een aanbesteding.

Een verwerkersovereenkomst die we met elke partner sluiten.
Een beveiligingstest door een onafhankelijke partij.
Vastgelegde afspraken over reactietijden bij storingen.

Heb je hier op korte termijn iets van nodig? Laat het weten, dan bespreken we wat mogelijk is.

Een kwetsbaarheid melden

Denk je een beveiligingsprobleem gevonden te hebben? Meld het bij ons voordat je het ergens anders deelt, dan lossen we het op. Beschrijf wat je vond en hoe we het kunnen nabootsen.

We reageren binnen één werkdag en houden je op de hoogte tot het is opgelost. Doe geen onderzoek dat gegevens van anderen raakt of de dienst verstoort.

Een melding doen