Beveiliging en privacy
Trust Center
Je vertrouwt ons medewerkersgegevens toe. Daarom maken we duidelijk hoe we omgaan met beveiliging, toegang, monitoring en afspraken over gegevensverwerking. Ook bij een securityreview of aanbesteding helpen we je verder.
In het kort
Documenten die je kunt opvragen
Een deel download je hierboven. De rest sturen we toe zodra je erom vraagt, via het contactformulier of [email protected]. Zeg erbij waarvoor je het nodig hebt, dan sturen we meteen de juiste versie.
| Document | Waar het over gaat |
|---|---|
| Verklaring van Toepasselijkheid | Welke beheersmaatregelen uit ISO 27001 we hebben ingericht, en welke niet van toepassing zijn en waarom. |
| Verwerkersovereenkomst | De afspraken tussen jou als verwerkingsverantwoordelijke en ons als verwerker, met het subverwerkersregister. |
| Managementsamenvatting pentest | De uitkomst van de meest recente externe penetratietest en de status van de opvolging. |
| Samenvatting continuïteitsplan | Wat we doen bij uitval van het platform, de hostingpartij of sleutelpersonen, en bij ransomware. |
| Verslag hersteltest | Het verslag van de jaarlijkse test waarin we de platformomgeving daadwerkelijk terugzetten. |
| Ingevulde securityvragenlijst | Heb je een eigen vragenlijst of security annex, dan vullen we die in. De technische details leggen we vast in het ontwerp van de koppeling. |
Standaardantwoorden voor een vragenlijst
Het korte antwoord per onderwerp. De toelichting staat in de vragen verderop.
| Onderwerp | Antwoord |
|---|---|
| Certificering | ISO 27001, jaarlijks extern geaudit door DigiTrust. Geen ISAE 3402 of TPM; wel een jaarlijkse bewijsset. |
| Rol onder de AVG | Verwerker. Standaard verwerkersovereenkomst, functionaris gegevensbescherming aanwezig. |
| Datalocatie | Datacenter in Amsterdam, binnen de EU. Hostingpartij is ISO 27001-gecertificeerd en heeft een SOC 2 Type II-rapport. |
| Versleuteling | In transit met TLS, at rest met AES-256. Logging en inloggegevens extra versleuteld in de applicatie. |
| Scheiding tussen klanten | Per organisatie afgedwongen in de datalaag, eigen inloggegevens per klantkoppeling. Getoetst in de pentest. |
| Toegang medewerkers | Persoonsgebonden accounts, least privilege, MFA verplicht, periodieke review, direct ingetrokken bij vertrek. |
| Inloggen op het platform | Microsoft Entra ID (SSO) of wachtwoord met tweefactorauthenticatie. Rollen per gebruiker. |
| Logging | Elke run en elke wijziging per medewerker. Bewaartermijn per koppeling instelbaar, tot twaalf maanden. |
| Back-up en herstel | Gescheiden van productie en onveranderbaar binnen de bewaartermijn. Jaarlijkse hersteltest. |
| Datalek | Melding onverwijld en uiterlijk binnen 24 uur na ontdekking. |
| Kwetsbaarheden | Automatische scans bij elke build, meldingen bij nieuwe CVE's, jaarlijkse externe pentest. |
| Ontwikkeling | OWASP, gescheiden test- en productieomgeving, uitrol alleen via de pipeline, verplichte review bij gevoelige wijzigingen. |
| Audit door de klant | Mogelijk, in overleg over aankondiging, scope en tijdstip. |
| Einde contract | Configuratie en auditlogging in een leesbaar formaat, daarna verwijdering met schriftelijke verklaring. |
Certificering en audits
Is KoppelHet ISO 27001-gecertificeerd?
Ja. We hebben een ISO 27001-gecertificeerd managementsysteem voor informatiebeveiliging. DigiTrust auditeert het jaarlijks extern en we auditeren het zelf ook jaarlijks intern. Het certificaat download je bovenaan deze pagina; de Verklaring van Toepasselijkheid sturen we op aanvraag.
Hebben jullie een ISAE 3402- of TPM-verklaring?
Nee. Voor een organisatie van onze omvang staat zo'n assuranceverklaring niet in verhouding tot het risico. In plaats daarvan leveren we jaarlijks een vaste set, binnen een maand na de externe audit. Het actuele ISO 27001-certificaat met scope, de Verklaring van Toepasselijkheid, de managementsamenvatting van de externe audit met openstaande bevindingen en de managementsamenvatting van de pentest met de status van de opvolging.
Hoe houden jullie informatiebeveiligingsrisico's bij?
We beoordelen de risico's rond klantopdrachten jaarlijks en bij elke belangrijke wijziging in de dienstverlening. De maatregelen liggen vast in het managementsysteem. Wijken we tijdelijk af van een afspraak met jou, dan melden we dat schriftelijk, met de oorzaak, het restrisico, de tijdelijke maatregelen en een hersteltermijn.
Mogen wij zelf een audit of pentest uitvoeren?
Ja, zelf of via een onafhankelijke partij. We stellen beleid, procesbeschrijvingen en documentatie beschikbaar en volgen bevindingen op, de kritieke eerst. Omdat het platform meerdere klanten bedient, spreken we vooraf de aankondiging, de scope en het tijdstip af. De test raakt alleen jouw omgeving en gegevens.
Hosting en datalocatie
Waar staan onze gegevens?
Alle data en resources van het platform staan in een datacenter in Amsterdam, binnen de EU. Productiegegevens gaan niet naar een omgeving buiten de EU.
Is de hostingpartij gecertificeerd?
Ja. Onze hostingpartij is ISO 27001-gecertificeerd en heeft voor deze dienst een SOC 2 Type II-rapport. De documentatie daarvan sturen we op verzoek.
Staan onze gegevens gescheiden van die van andere klanten?
Ja. Het platform bedient meerdere klanten, en de scheiding per organisatie wordt in de datalaag afgedwongen, niet pas in de schermen. Elke klantkoppeling heeft eigen inloggegevens die nooit tussen klanten gedeeld worden. Instellingen en mappings zijn gegevens, geen code die per klant draait. De scheiding is onderdeel van de jaarlijkse pentest.
Hoe beschikbaar is het platform?
We monitoren het platform 24/7. De gemiddelde uptime is 99,9 procent, met een minimum van 99,7 procent. Is een systeem even niet bereikbaar, dan gaan er geen mutaties verloren. De koppeling pakt ze op zodra het systeem weer bereikbaar is.
Versleuteling en inloggegevens
Worden gegevens versleuteld?
Ja. Al het verkeer loopt over TLS, met alleen actuele versies. Opgeslagen gegevens zijn versleuteld met AES-256. Daarbovenop versleutelt het platform de inhoud van de logging en de inloggegevens van koppelingen nog eens in de applicatie zelf. De sleutels worden apart van de gegevens beheerd.
Waar staan de inloggegevens van onze systemen?
Versleuteld in het platform, per koppeling en per klant. Waar een systeem het ondersteunt gebruiken we OAuth 2.0 met een beperkte scope in plaats van een wachtwoord. Interne sleutels en wachtwoorden van ons team staan in een wachtwoordkluis, nooit in code of in een bestand.
Welke rechten krijgt de koppeling in onze systemen?
Alleen wat de koppeling nodig heeft. Per systeem gebruiken we een eigen systeemaccount of API-sleutel, die jij uitgeeft en op elk moment kunt intrekken. Vraagt een wijziging om meer rechten, zoals een extra scope, dan gaat die pas live na akkoord van een tweede ontwikkelaar en vragen we het jou eerst.
Komen onze gegevens op laptops of in bestanden terecht?
Nee. Exporteren naar lokale bestanden is geen onderdeel van ons werk. Onze werkplekken zijn volledig versleuteld en centraal beheerd, met endpoint protection die gebruikers niet kunnen uitzetten. Voeren we een apparaat af, dan wissen we het centraal.
Toegang en MFA
Wie bij KoppelHet kan bij onze gegevens?
Alleen de mensen die aan jouw koppeling werken. Ze werken met persoonsgebonden accounts volgens least privilege, gedeelde accounts gebruiken we niet. Wie welke toegang heeft lopen we periodiek na. Bij vertrek trekken we toegang dezelfde dag in. Iedereen is gebonden aan geheimhouding en volgt jaarlijks een security awareness programma met phishingsimulaties.
Is MFA verplicht?
Ja, voor alle accounts van onze medewerkers, op kantoor en op afstand, en ook voor toegang tot klantomgevingen. Beheerrechten op productie zijn niet permanent. Ze worden per handeling toegekend, zijn in tijd beperkt en worden gelogd. Voor systeemaccounts die niet interactief inloggen werkt MFA niet; daar gelden een beperkte scope, versleutelde opslag en logging van elk gebruik.
Hoe loggen onze medewerkers in op het platform?
Met hun Microsoft-account via Entra ID, zodat het gebruikersbeheer bij jullie blijft. Of met e-mailadres en wachtwoord. Voor beheerders is tweefactorauthenticatie dan verplicht, andere gebruikers zetten hem zelf aan. Wachtwoorden slaan we alleen op als one-way hash en herhaalde mislukte pogingen worden geblokkeerd.
Logging en monitoring
Wat wordt er gelogd?
Elke run van een koppeling met start, einde, aantallen en fouten, en per medewerker welke velden veranderden, met de waarde ervoor en erna. Daarnaast inloggen, beheerhandelingen en wijzigingen in instellingen en mappings. Elke regel heeft een tijdstip, wie of wat de actie deed en de uitkomst. De inhoud van de logging staat versleuteld opgeslagen.
Hoe lang bewaren jullie logging?
Dat stel je per koppeling in, van één tot twaalf maanden. Standaard is het één maand. Daarna verwijdert het platform de logging automatisch. Bij een beveiligingsincident bewaren we de relevante logging langer, zodat onderzoek mogelijk blijft.
Kunnen we de logging in ons eigen SIEM krijgen?
Niet rechtstreeks. We kunnen de security- en auditlogging als JSON beschikbaar stellen, via een beveiligde API of als periodieke export. De ingest in je SIEM richt je dan zelf in. Dat bouwen we als aparte wijziging, afgestemd op de use cases die voor jou tellen.
Hoe merken jullie dat er iets misgaat?
We monitoren het platform 24/7 en krijgen automatisch een melding bij technische fouten. Lukt een mutatie niet, dan krijgt jullie beheerder een melding met de reden. Wie wil, krijgt daarnaast een dagelijkse rapportage per koppeling op een zelfgekozen tijdstip.
Back-up en continuïteit
Maken jullie back-ups, en testen jullie het terugzetten?
Ja. Back-ups staan gescheiden van productie, met eigen toegangsgegevens, en zijn binnen de bewaartermijn niet te wijzigen of te verwijderen. Eén keer per jaar zetten we de platformomgeving daadwerkelijk terug en leggen we dat vast in een verslag, dat je kunt opvragen.
Is er een continuïteitsplan?
Ja, als onderdeel van het ISO 27001-systeem. Het beschrijft per scenario de herstelstappen, de rollen en de communicatie naar klanten. De scenario's zijn uitval van het platform, uitval van de hostingpartij, uitval van sleutelpersonen en ransomware.
Raken we gegevens kwijt als het platform uitvalt?
Nee. Een koppeling is geen eigen registratie. De gegevens blijven in je HR-systeem en je doelsystemen staan. Herstel betekent de koppeling opnieuw laten lopen vanuit de bron, niet verloren gegevens terughalen.
Welke hersteltijd spreken jullie af?
Dat hangt af van hoe kritisch de koppeling is. Een payrollkoppeling rond de salarisrun vraagt iets anders dan een koppeling naar de servicedesk. De hersteltijd en het maximale gegevensverlies voor de instellingen leggen we per koppeling vast in het ontwerp en de overeenkomst.
Incidenten en datalekken
Wat gebeurt er bij een datalek?
We melden het je onverwijld en uiterlijk binnen 24 uur nadat we ervan weten. Je hoort wat er is gebeurd, om welke gegevens en hoeveel betrokkenen het gaat, wat de verwachte gevolgen zijn en welke maatregelen we nemen. Zo houd jij als verwerkingsverantwoordelijke de ruimte om binnen 72 uur te bepalen of melding bij de Autoriteit Persoonsgegevens nodig is.
Hoe handelen jullie een beveiligingsincident af?
We beoordelen het incident snel en grijpen direct in bij een vermoed datalek. Raakt het jou, dan melden we het binnen 24 uur en daarna geven we minimaal dagelijks een update zolang het loopt. We bewaren de relevante logging voor onderzoek en schakelen zo nodig een gespecialiseerde partij in. We sluiten af met een schriftelijke evaluatie en verbetermaatregelen. Beveiligingsincidenten registreren we apart van gewone storingen.
Hoe leggen we het meldpad vast?
Bij de start van een traject leggen we vast wie aan beide kanten gewaarschuwd wordt, met namen en telefoonnummers. Dat overzicht houden we bij als er iemand wisselt.
Kwetsbaarheden en pentests
Hoe houden jullie de software veilig en actueel?
Bij elke build scannen we de gebruikte componenten op bekende kwetsbaarheden. Een kritieke bevinding houdt de uitrol tegen. We krijgen automatisch een melding als er een nieuwe kwetsbaarheid wordt gepubliceerd in iets wat we gebruiken, en we controleren de publieke kant van het platform periodiek van buitenaf. Kritieke kwetsbaarheden patchen of schermen we met voorrang af. Raakt het jou, dan hoor je het van ons.
Wordt het platform gepentest?
Ja, jaarlijks door een onafhankelijke externe partij. De meest recente test is uitgevoerd door Threadstone. Bevindingen lossen we op en laten we hertesten. De managementsamenvatting met de status van de opvolging sturen we op aanvraag.
Zijn jullie beschermd tegen DDoS-aanvallen?
Ja. De publieke kant van het platform staat achter een laag met DDoS-bescherming en een web application firewall, en de API heeft rate limiting. Een koppeling draait bovendien op de achtergrond. Is het platform even niet bereikbaar, dan gaan er geen gegevens verloren.
Veilig ontwikkelen
Hoe borgen jullie veilige ontwikkeling?
We ontwikkelen volgens de OWASP-richtlijnen, met statische analyse en securitychecks in de pipeline. Niemand zet code direct op productie. Wijzigingen gaan eerst naar een aparte testomgeving en daarna via de pipeline naar productie. De infrastructuur ligt vast in code, dus handmatige wijzigingen op productie worden bij de volgende uitrol overschreven.
Kijkt er altijd een tweede ontwikkelaar mee?
Bij alles wat meer dan één klant raakt wel. Dat geldt voor het raamwerk waar alle koppelingen op draaien, de gedeelde API-clients per leverancier, alles wat met inloggegevens of rechten te maken heeft, en elke koppeling met een nieuwe partij. Dat dwingen we technisch af en het is per wijziging terug te vinden voor de audit. Een aanpassing in de koppeling van één klant gaat zonder tweede review, omdat die alleen die klant raakt.
Gebruiken jullie productiegegevens om te testen?
In de ontwikkelomgeving niet, daar werken we met fictieve of gepseudonimiseerde gegevens. Soms is testen met echte gegevens nodig, bijvoorbeeld bij een parallelle salarisrun. Dat spreken we vooraf met je af en leggen we vast in de verwerkersovereenkomst, met dezelfde beveiliging als productie en verwijdering na afloop.
Privacy, AVG en subverwerkers
Wat is onze rol en die van KoppelHet onder de AVG?
Jij bent verwerkingsverantwoordelijke, KoppelHet is verwerker. We verwerken gegevens alleen voor het doel in de verwerkersovereenkomst. We hebben een functionaris gegevensbescherming en voeren periodiek controles uit. De standaard verwerkersovereenkomst sturen we op aanvraag.
Welke gegevens verwerkt een koppeling?
Alleen de velden die het doelsysteem nodig heeft. Welke dat zijn staat per veld in het ontwerp dat je vooraf goedkeurt. We houden geen eigen registratie bij. Het platform haalt gegevens op, zet ze om en geeft ze door. Wat het tijdelijk vasthoudt, verdwijnt met de bewaartermijn van de logging.
Welke subverwerkers schakelen jullie in?
Zo min mogelijk, en alleen voor onderdelen van de dienst zoals hosting. Ze staan allemaal in het subverwerkersregister bij de verwerkersovereenkomst en zijn gebonden aan dezelfde eisen als wij.
Einde van de samenwerking
Wat gebeurt er met onze gegevens als het contract eindigt?
We leveren de volledige configuratie op in een leesbaar formaat, met mappings, vertaalregels en inrichtingsdocumentatie, en de auditlogging als JSON. Je omgeving blijft een afgesproken periode beschikbaar voor de overdracht. Daarna verwijderen we je gegevens uit productie en uit de back-ups, met een schriftelijke verklaring. De termijnen staan in de overeenkomst. Je HR-gegevens zelf staan in je eigen systemen en blijven daar.
Een kwetsbaarheid melden
Heb je een kwetsbaarheid in het platform of deze site gevonden, laat het ons dan weten via [email protected], met genoeg informatie om het na te spelen. Maak er geen misbruik van en deel het niet met anderen voordat het is opgelost. We behandelen je melding vertrouwelijk en houden je op de hoogte.
Implementatie en architectuurHoe het platform werktOnze werkwijze