Privacy, security & ISO: zo hebben we het geregeld

Bij Watchful® nemen we de bescherming van jouw persoonsgegevens en privacy uiterst serieus. We hanteren strikte maatregelen die volledig in lijn zijn met de Algemene Verordening Gegevensbescherming (AVG). Deze regelgeving vormt de basis van ons informatiebeveiligingsbeleid, waarmee we voldoen aan zowel Nederlandse als Europese privacywetgeving en richtlijnen voor gegevensverwerking.

Als verwerkingsverantwoordelijke binnen de AVG is Watchful® verantwoordelijk voor de verwerking van persoonsgegevens. Dit betekent dat wij zelfstandig bepalen hoe en waarom gegevens worden verwerkt en zorg dragen voor de veiligheid van deze informatie.

Om aan onze wettelijke verplichtingen te voldoen, heeft Watchful® de volgende maatregelen getroffen:

• Zowel Watchful® als onze leveranciers werken in volledige naleving van relevante wet- en regelgeving;
• We implementeren robuuste technische en organisatorische beveiligingsmaatregelen;
• We waarborgen de vertrouwelijkheid van jouw gegevens op elk moment;
• Eventuele datalekken worden onmiddellijk gemeld aan de Autoriteit Persoonsgegevens (AP);
• We hebben een meldpunt opgezet voor het rapporteren van datalekken. Bij een datalek kun je dit direct melden via privacy@watchful.nl;
• Onze software wordt ontwikkeld volgens de principes van ‘privacy by design’ en ‘privacy by default’;
• We maken duidelijke afspraken met onze verwerkers en andere verwerkingsverantwoordelijken;
• We voeren periodiek privacy impact assessments uit om de gevolgen voor betrokkenen te evalueren;
• Al deze maatregelen zijn getoetst aan de ISO27001-norm, waarmee we aantonen dat onze processen voldoen aan de hoogste standaarden op het gebied van informatiebeveiliging.

Er is een privacy impact assessment uitgevoerd.

Jaarlijks voeren we een leveranciersselectie uit op het gebied van AVG-naleving. Alle leveranciers die persoonsgegevens verwerken, worden grondig beoordeeld via een risicoanalyse gericht op beschikbaarheid, vertrouwelijkheid en integriteit. Met de benodigde leveranciers is een verwerkersovereenkomst afgesloten.

Als onderdeel van ISO27001:2022 worden jaarlijks verplichte bewustwordingssessies gehouden over informatiebeveiliging en de AVG voor alle medewerkers. Nieuwe medewerkers volgen deze sessies ook tijdens hun onboardingproces, zodat zij direct bekend zijn met de beveiligings- en privacyrichtlijnen binnen de organisatie.

Om de veiligheid van alle data binnen de software van Watchful® te waarborgen, worden er dagelijks meerdere back-ups van het systeem gemaakt. Deze back-ups zijn bedoeld om gegevens te kunnen herstellen in geval van een calamiteit. In het geval van een incident wordt de meest recente back-up gebruikt om het systeem zo snel mogelijk te herstellen.

Watchful® hanteert gedragsregels die zich richten op het waarborgen van de vertrouwelijkheid, integriteit en beschikbaarheid van informatie, zodat deze optimaal beschermd blijven. Alle medewerkers dienen deze gedragsregels te ondertekenen als bevestiging van hun akkoord.

Elk jaar wordt er een interne privacy-audit uitgevoerd. Tijdens deze audit worden het privacybeleid, de procedures en de nalevingscontroles geëvalueerd. Daarnaast vinden er interviews plaats met belangrijke stakeholders. De AVG-compliance wordt beoordeeld op basis van de geldende privacywetgeving. Na afloop wordt er een rapport opgesteld met de conclusies, aanbevelingen en prioriteiten voor verbetering.

Watchful® heeft haar informatiebeveiligingsmanagementsystemen gecertificeerd volgens de internationale ISO-normen voor kwaliteit en beveiliging. Hiermee toont Watchful® aan te voldoen aan ISO27001 en zich te richten op voortdurende verbetering van haar processen.

• Download het ISO certificaat 27001:2022

Toegang tot het Privacy Portaal van Watchful® is beveiligd met een persoonlijke login, zodat alleen geautoriseerde personen toegang hebben. Voor extra veiligheid is tweefactorauthenticatie (2FA) beschikbaar, waarbij naast een wachtwoord een tweede verificatiemiddel, zoals een code van Microsoft Authenticator of Google Authenticator, vereist is.

Gegevensencryptie in rust: Alle gegevens in onze databases worden versleuteld met sterke encryptie-algoritmen om gevoelige informatie te beschermen, zelfs bij ongewenste toegang tot opslagmedia.

Tijdens verzending: Gegevens worden ook versleuteld tijdens transport tussen de applicatie en de database via beveiligde protocollen zoals mTLS, waardoor een veilig communicatiekanaal is gegarandeerd.

Watchful® maakt geen gebruik van fysieke servers voor de software van Watchful®, maar werkt uitsluitend met virtuele servers, gehost op het AWS-platform in Duitsland. AWS is verantwoordelijk voor het onderhoud en de vervanging van de fysieke servers. Alle servers zijn gehost in datacenters binnen de AWS-regio in Duitsland, wat zorgt voor betrouwbare en veilige gegevensopslag binnen de Europese Unie.

De wijzigingsbeheerprocedure voor (database)wijzigingen dient gedocumenteerd te zijn en omvat de volgende onderdelen:

• Alle databasewijzigingen worden vastgelegd en voorzien van een versienummer, waarbij elke wijziging herleidbaar is naar de verantwoordelijke persoon.
• Alle handelingen die gebruikers in het systeem uitvoeren, worden gelogd.
• Ontwikkelingen in de automatisering verlopen altijd volgens het OTAP-principe (Ontwikkel-, Test-, Acceptatie- en Productieomgevingen).
• Proceswijzigingen of ontwikkelverzoeken worden altijd via het ISMS (Information Security Management Systeem) behandeld.
• De testomgeving is volledig geanonimiseerd om de privacy van gegevens te waarborgen.