Actief
Versleuteling
Alle verkeer tussen jouw browser en Regivaro loopt via HTTPS (TLS). Gegevens in de database staan versleuteld opgeslagen bij onze hostingpartner, standaard voor hun infrastructuur.
Gegevens & infrastructuur
Waar jullie gegevens staan en hoe ze beschermd zijn.
Actief
Datacenters & cloudproviders
We draaien op infrastructuur van gevestigde cloudpartijen die werken volgens erkende beveiligingsnormen (waaronder ISO 27001 en SOC 2). Jullie gegevens worden opgeslagen en verwerkt in de EU (Ierland). Voor enkele onderdelen, zoals het versturen van e-mail en het samenvatten van inkomende e-mails, gebruiken we leveranciers uit de VS, met passende waarborgen (het EU-US Data Privacy Framework of standaardcontractbepalingen).
Actief
Automatische back-ups
Elke nacht wordt automatisch een volledige back-up gemaakt van alle gegevens, veilig en afgeschermd opgeslagen. De laatste 30 back-ups blijven bewaard.
Toegang & accounts
Wie wat mag zien, en hoe accounts beschermd zijn.
Actief
Toegangsrechten
Elke organisatie is op databaseniveau volledig van elkaar gescheiden (row-level security): niet alleen in de app, maar ook als iemand direct bij de database zou kunnen. Binnen een organisatie bepaalt de rol (eigenaar, beheerder, management, gebruiker) precies wie wat mag zien en aanpassen, tot op het niveau van individuele instellingen zoals uurtarieven.
Actief
Multifactorauthenticatie (MFA)
Elke gebruiker kan tweefactorauthenticatie inschakelen via een authenticator-app (zoals Google Authenticator of Authy), in te stellen bij Instellingen. Niet verplicht, wel sterk aanbevolen.
Actief
Logging
Belangrijke wijzigingen (uitnodigingen, rol- en tariefwijzigingen, statuswijzigingen van projecten, aanpassingen aan instellingen) worden vastgelegd met tijdstip en uitvoerder, zichtbaar voor beheerders van de organisatie.
Werkwijze & afspraken
Hoe we wijzigingen uitrollen, en wat we contractueel en procedureel vastleggen.
Actief
Test- en acceptatieomgeving (OTAP)
Nieuwe functionaliteit en wijzigingen gaan nooit rechtstreeks live. Ze worden eerst uitgerold naar een aparte test-/acceptatieomgeving en daar gecontroleerd, voordat ze naar de productieomgeving gaan die jullie dagelijks gebruiken.
Beschikbaar
Verwerkersovereenkomst
De verwerkersovereenkomst (DPA) maakt deel uit van de overeenkomst: je gaat ermee akkoord bij het aanmaken van je account, samen met de algemene voorwaarden. Hierin staan onder meer de beveiligingsafspraken, de meldtermijn bij datalekken en de subverwerkers die we inzetten.
Verwerkersovereenkomst (PDF)
Beschikbaar
Incidentprocedure
We hebben een vastgelegde procedure voor het melden en afhandelen van beveiligingsincidenten en datalekken, inclusief meldtermijnen richting getroffen organisaties.
Procedure (PDF)Op de planning
Wat nog niet af is, en waarom we het zo benoemen.
Pentest / security assessment
Op de planningEr heeft nog geen onafhankelijke, professionele penetratietest plaatsgevonden: dat vraagt om een gespecialiseerd extern bureau en staat gepland. We voeren zelf wel doorlopend interne codecontroles uit (onder andere op toegangsrechten en datalekken), maar dat is nadrukkelijk geen vervanging van een echte externe pentest.
Vragen over gegevensbescherming?
Voor de verwerkersovereenkomst, de incidentprocedure of andere vragen over hoe we met jullie gegevens omgaan.