Hier vind je alle informatie over hoe CompliReady omgaat met beveiliging, privacy, sub-verwerkers en juridische documenten.
Vragen?
Mail ons via security@compliready.nl
Authenticatie via een beveiligde authenticatielaag op de TransIP-infrastructuur. Rolgebaseerde toegang (beheerder, manager, medewerker) met least privilege. Multi-Factor Authentication (MFA) is beschikbaar voor alle gebruikers en verplicht voor beheerdersaccounts. Sessies verlopen automatisch na inactiviteit.
Alle communicatie verloopt via TLS 1.2 of hoger (HTTPS), met automatische doorverwijzing van HTTP naar HTTPS en HSTS geactiveerd. Wachtwoorden worden opgeslagen als bcrypt-hash, nooit in leesbare tekst. Back-ups worden versleuteld opgeslagen op beveiligde servers in Nederlandse datacenters.
Row Level Security (RLS) op databaseniveau. Elke gebruiker heeft uitsluitend toegang tot gegevens van zijn eigen organisatie. Alle toegang wordt gelogd in audittrails.
Security-by-design principes. Invoervalidatie tegen SQL-injectie en XSS. CSRF-bescherming geïmplementeerd. Regelmatige dependency-updates en kwetsbaarhedenscans. Rate limiting tegen brute-force aanvallen.
Alle bewerkingen op persoonsgegevens worden gelogd (gebruiker, actie, tijdstip en betrokken data-element). Audittrails zijn beschikbaar voor de Klant via de rapportagemodule en worden minimaal 2 jaar bewaard, tenzij wettelijke verplichtingen anders voorschrijven.
Korte-termijn snapshots elke 4 tot 6 uur (36–54 uur retentie), wekelijkse back-ups met 5 weken retentie, en een dagelijkse databasebackup met 1 maand retentie. Back-upschema is een vaste voorziening, niet per klant configureerbaar tenzij wettelijk vereist. Herstel op verzoek van de Klant.
CompliReady beschikt over een formeel incidentresponsproces. Bij een (vermoedelijk) datalek wordt de Klant uiterlijk binnen 36 uur geïnformeerd, zodat de Klant tijdig kan voldoen aan de meldplicht bij de Autoriteit Persoonsgegevens (72 uur termijn). Documentatie conform AVG-vereisten; ondersteuning bij melding aan de AP indien vereist.
CompliReady laat jaarlijks een penetratietest uitvoeren door een onafhankelijke partij. Kritieke kwetsbaarheden worden binnen 24 uur opgepakt, hoge kwetsbaarheden binnen 7 dagen. Samenvattingen zijn op verzoek beschikbaar onder geheimhoudingsplicht via security@compliready.nl.
Bij koppelingen met externe HR-systemen (zoals AFAS) verloopt de verbinding uitsluitend via TLS 1.2+. Ruwe integratiedata (zoals verlof- en verzuimredenen) wordt niet gelogd, alleen het transformatieresultaat ("Afwezig" + datum) wordt opgeslagen. Geen doorgifte aan sub-verwerkers, geen handmatige toegang tot ruwe integratiedata door CompliReady-medewerkers.
CompliReady verwerkt gegevens conform de AVG (GDPR). Frontend én database gehost via TransIP B.V.: ISO 27001, ISO 9001 en NEN 7510 gecertificeerd (NEN 7510 is de Nederlandse norm voor informatiebeveiliging in de zorgsector). CompliReady beschikt over een Verwerkersovereenkomst conform artikel 28 AVG en heeft een onafhankelijke security review en penetratietest laten uitvoeren.
CompliReady werkt met zorgvuldig geselecteerde leveranciers en sluit verwerkersovereenkomsten. Wijzigingen worden minimaal 30 dagen vooraf gecommuniceerd.
Betaling geschiedt via factuur. Er wordt geen externe betaalprovider ingeschakeld die persoonsgegevens van medewerkers verwerkt.
Zowel de frontend applicatie als de database van CompliReady worden gehost in Nederland via TransIP B.V. Er vindt geen doorgifte van persoonsgegevens buiten Nederland of de EER plaats.
Resend Inc. is een Amerikaanse partij die uitsluitend wordt ingezet voor transactionele e-mail (systeemberichten en notificaties). Doorgifte vindt plaats op basis van de door de Europese Commissie goedgekeurde Standard Contractual Clauses (SCC 2021/914).
De fysieke beveiliging valt onder TransIP B.V., die gebruikmaakt van het NorthC datacenter in Nederland (ISO 27001, ISO 9001, ISO 14001, NEN 7510 en PCI DSS gecertificeerd). Voor zorginstellingen: TransIP is NEN 7510 gecertificeerd — de Nederlandse norm voor informatiebeveiliging in de zorgsector.
| Gegevenstype | Bewaartermijn |
|---|---|
| Klantgegevens (contactpersonen en beheerders) | Duur overeenkomst + 7 jaar (fiscale bewaarplicht) |
| Actieve medewerkergegevens | Duur van het gebruik van de Dienst door de Klant |
| Certificaten en compliancebewijzen | Zolang noodzakelijk voor wettelijke of contractuele verplichtingen |
| Gegevens uitdienst getreden medewerkers | Standaard 7 jaar na uitdiensttreding (configureerbaar) |
| Incidentregistraties | 5 jaar na registratie |
| PBM-registraties | 5 jaar na verstrekking |
| Audittrails en logbestanden | 2 jaar |
| Back-ups | 30 dagen rollende retentie |
Tenzij de Klant een andere bewaartermijn configureert of wettelijke verplichtingen anders voorschrijven.
De volgende documenten zijn beschikbaar:
Nog geen klant maar wil de DPA inzien? Mail naar info@compliready.nl.
Vermoed je een beveiligingskwetsbaarheid in CompliReady? Meld dit vertrouwelijk via security@compliready.nl.
Wij verzoeken onderzoekers om kwetsbaarheden niet openbaar te maken voordat CompliReady de gelegenheid heeft gehad deze te onderzoeken en te verhelpen. Voer geen DoS-tests uit en exfiltreer geen data.
Wij reageren binnen 5 werkdagen en waarderen verantwoorde meldingen.