Beveiligingsbeleid

Eigenaar van het document: Wiggli - Functionaris voor Gegevensbescherming (dpo@wiggli.io)

Versie: 1.0

Ingangsdatum: 1 oktober 2026

Laatst beoordeeld: [ • ]

Beoordelingscyclus: Ten minste jaarlijks, of bij een wezenlijke wijziging in het Product of in Toepasselijke Wetgeving inzake Gegevensbescherming

1. Doel en Status

1.1 Dit Beveiligingsbeleid (het "Beleid") legt de audit- en rapportagerechten vast, alsmede de minimale technische en organisatorische beveiligingsmaatregelen die de Leverancier handhaaft met betrekking tot Persoonsgegevens van de Klant en Inhoud (maar met uitsluiting van Invoer en Uitvoer, zoals gedefinieerd in de AI & Gegevensvoorwaarden) (samen, "Klantgegevens").

1.2 De Leverancier kan dit Beleid van tijd tot tijd wijzigen of bijwerken, mits een dergelijke wijziging het algemene beveiligingsniveau van Klantgegevens niet wezenlijk vermindert. De van tijd tot tijd van kracht zijnde maatregelen blijven in overeenstemming met, en niet minder beschermend dan, de maatregelen die vereist zijn op grond van Artikel 32 van de AVG en de DPA. De van kracht zijnde versie is de meest recente versie die door de Leverancier is gepubliceerd of verstrekt.

1.4 In het geval van een tegenstrijdigheid tussen dit Beleid en een overeenkomst, prevaleert de overeenkomst voor zover er sprake is van een tegenstrijdigheid.

2. Beveiligingsrapporten

2.1 Beveiligingsrapporten. De Leverancier beoordeelt regelmatig zijn beveiligingsnormen ten opzichte van de in dit Beleid gedefinieerde normen. Op schriftelijk verzoek (niet meer dan eenmaal per jaar) zal de Leverancier de Klant, op vertrouwelijke basis, een samenvattende kopie verstrekken van zijn op dat moment geldende rapport, zodat de Klant de naleving door de Leverancier van de in dit Beleid gedefinieerde normen kan verifiëren.

2.2 Due Diligence inzake Beveiliging. Naast zijn verplichtingen onder dit Beleid zal de Leverancier reageren op redelijke verzoeken om informatie van de Klant om de naleving door de Leverancier van de DPA te bevestigen, met inbegrip van antwoorden op vragenlijsten inzake informatiebeveiliging, due diligence en audits, of door het verstrekken van aanvullende informatie over zijn informatiebeveiligingsprogramma. Alle dergelijke verzoeken dienen schriftelijk aan de Leverancier te worden gericht via e-mail naar dpo@wiggli.io en mogen slechts eenmaal per jaar worden gedaan.

3. Technische en Organisatorische Maatregelen

Rrekening houdend met de stand van de techniek, de uitvoeringskosten, en de aard, omvang, context en verwerkingsdoeleinden, alsmede met de in waarschijnlijkheid en ernst uiteenlopende risico's voor de rechten en vrijheden van natuurlijke personen, treft en onderhoudt de Leverancier passende technische en organisatorische maatregelen overeenkomstig Artikel 32 van de AVG om een op het risico afgestemd beveiligingsniveau te waarborgen, waaronder, waar passend:

• Gebruikersauthenticatiemechanismen
• Toegangscontroles op basis van rollen
• Automatische sessie-timeouts en accountblokkades
• Data-encryptie tijdens verzending
• Data-encryptie in rust
• Sleutelbeheerpraktijken
• Firewalls en netwerksegmentatie
• Veilige configuratie van netwerkapparaten
• Toezicht en monitoring
• Patchbeheer en kwetsbaarheidsbeheerprocessen
• Een veilige levenscyclus voor softwareontwikkeling
• Incidentrespons- en rampscenarioplannen
• Achtergrondcontroles en beveiligingsbewustwordingstraining voor personeel
• Geheimhoudingsovereenkomsten en beleid inzake gegevensverwerking
• Audit-logging en logbeheerprocessen
• Procedures voor het monitoren van beveiligingsgebeurtenissen en incidentrespons
• Due diligence en beveiligingsbeoordelingen van leveranciers en subverwerkers
• Contractuele beveiligingsverplichtingen en -vereisten voor derden
• Training van al het Wiggli-personeel op het gebied van gegevensverwerking en -behandelingspraktijken, relevant voor hun rol.

‍

4. Wijzigingslogboek