Bestuur, risico en naleving

SuperOffice zet zich volledig in voor privacy, beveiliging en transparantie. Dit gedeelte biedt uitleg over ons bestuursmodel, het beleid en de procedures waarmee we ervoor zorgen dat al onze medewerkers samenwerken om deze doelen te bereiken. Omdat we onze klantgegevens op de best mogelijke manier willen beveiligen, werkt SuperOffice volgens de door de Europese Unie vastgestelde wettelijke vereisten, evenals volgens de lokale wetgeving.

Bestuur in SuperOffice

Het SuperOffice Quality Management System (SQS) is gebaseerd op ISO-normeringen, evenals op het GRC-principe: Governance (Bestuur) + Risk management (Risicobeheersing) + Compliance (Naleving).

De processen die zijn vastgelegd en worden uitgevoerd door de raad van bestuur van SuperOffice, worden weerspiegeld in de organisatiestructuur en de wijze waarop de organisatie wordt bestuurd en geleid om haar doelen te bereiken.

SuperOffice SQS omvat momenteel het Information Security Management System voor alle interne systemen en de cloud-service van SuperOffice CRM Online die wordt aangeboden aan klanten. Verder omvat SQS alle processen die zijn gerelateerd aan privacy en die zijn voorgeschreven door de General Data Protection Regulation (GDPR).

Risicobeheersing

Er is een algehele risicobeoordeling geïmplementeerd met betrekking tot informatieobjecten en deze wordt elk jaar geactualiseerd. Onze benadering van beveiliging is gebaseerd op risicobeoordelingen volgens Artikel 24 in de EU General Data Protection Regulation (EU-GDPR) en de ICT-verordeningen §3.

Risicobeheersing bestaat uit een aantal processen waardoor het management van SuperOffice op tijdige en doeltreffende wijze risico’s kan identificeren, analyseren en pareren die een ongunstige invloed hebben op de realisatie van de bedrijfsdoelen van onze organisatie. Het pareren van risico’s is met name afhankelijk van de vermeende ernst en omvat het controleren, voorkomen, accepteren of overdragen aan derden.

We beheersen een breed scala aan risico’s: technologische risico's, informatiebeveiligingsrisico's, commerciële/financiële risico’s en, uiteraard, nalevingsrisico's op het vlak van externe wet- en regelgeving.

Informatieclassificatie en -controle

Het is belangrijk dat inbreuken op de vertrouwelijkheid en een gebrek aan integriteit niet voorkomen. Het is daarom belangrijk dat we informatie beschermen op basis van het kritische gehalte ervan. Daarom worden alle belangrijke informatie en middelen geregistreerd en toegewezen aan een specifieke eigenaar.

De informatie wordt ook geclassificeerd om noodzakelijke en toepasselijke beveiligingscontroles te kunnen toepassen. De eigenaar van de informatie is verantwoordelijk voor het onderhoud en de voortdurende toepassing van goedgekeurde en toepasselijke controles en verbeteringen.

Toegang tot gegevens voor derden

Alle informatie die is opgeslagen in SuperOffice CRM Online, wordt als vertrouwelijk behandeld en wordt niet openbaar gemaakt of verkocht aan derden. Alle informatie is veilig opgeslagen en is alleen toegankelijk voor de klant en geautoriseerd personeel van SuperOffice voor beheerdoeleinden.

Naleving

SuperOffice volgt de wettelijke vereisten van de EU die zijn vastgelegd in de VERORDENING 2016/679 VAN HET EUROPESE PARLEMENT EN VAN DE RAAD van 27 april 2016 voor de bescherming van natuurlijke personen met betrekking tot de verwerking van persoonsgegevens en voor het vrije verkeer van dergelijke gegevens, en intrekking van de RICHTLIJN 95/46/EG (General Data Protection Regulation - GDPR). De services voor de VS zijn gecertificeerd conform het EU-VS-privacyschild en/of de VS-Zwitserse veilige haven beginselen. Alle gegevens van SuperOffice worden opgeslagen in Europa.

Gegevensverwerkersovereenkomsten

Bij het tekenen van het contract voor SuperOffice CRM Online worden de gegevensverwerkersovereenkomsten getekend tussen SuperOffice en de klant. Het doel van de gegevensverwerkersovereenkomst is regulering van de verwerking van persoonlijke gegevens door SuperOffice namens de klant die gebruik maakt van SuperOffice CRM Online. Er worden deel-gegevensverwerkersovereenkomsten getekend tussen SuperOffice en subverwerkers en met App Store-partners.

Veilige opslag (ISO 27001 / 27018)

Opgeslagen gegevens in SuperOffice CRM Online worden beschermd door een ISO 27001-gecertificeerd Information Security Management System. Volgens planning verwachten we in 2018 een ISO 27018-certificaat. Deze ISO-normeringen zijn internationale best practices voor informatiebeveiliging. Daarom stimuleert de GDPR ISO 27001-certificering, om te laten zien dat informatiebeveiliging serieus wordt genomen in alle geledingen van de organisatie.

Onze externe beveiligingsconsultants controleren het beveiligingsbeleid en testen op regelmatige basis de verdedigings- en beveiligingscontroles. SuperOffice en onze hostingpartners zetten zich volledig in om alle informatie in SuperOffice CRM Online te beschermen.

Audits en ISAE 3402

De klant heeft het recht om periodiek beveiligingsaudits, -controles en -inspecties uit te voeren. De audit kan inhouden dat de voornaamste routines, aselecte steekproeven, uitgebreidere controles op locatie en andere toepasselijke controles worden doorlopen. De partijen betalen hun eigen kosten die voortvloeien uit dergelijke audits, controles en inspecties. De klant moet voor de uitvoering van deze audits een bevoegde en gecertificeerde derde partij benaderen.

SuperOffice laat jaarlijks beveiligingsaudits uitvoeren door een derde partij. Dergelijke audits hebben tot doel de toereikendheid van de technische en organisatorische beveiligingsmaatregelen door SuperOffice aan te tonen. Rapportages van de jaarlijkse audit, die wordt uitgevoerd door Ernst & Young (EY), worden voor klanten beschikbaar gesteld tegen een vastgestelde vergoeding en zijn gebaseerd op ISAE 3402.

Veilige productontwikkeling

SuperOffice volgt bij de softwareontwikkeling de principes Beveiliging door ontwerp en Privacy door ontwerp. Alle toepassingscodes worden ontwikkeld met de integrale focus op veiligheid en privacy. Nieuwe versies worden getest door speciale testmedewerkers en worden ook onderworpen aan uitgebreide, externe tests (bèta-/pilottests).

SuperOffice voert verschillende tests uit, zoals functie-, integratie-, prestatie- en belastings-/stresstests. Er worden zowel automatische als handmatige tests uitgevoerd.

Alle systemen die voor SuperOffice worden ontwikkeld, beschikken over heldere veiligheidsvereisten, inclusief validatie van gegevens, beveiliging van de code voorafgaand aan productie en gebruik van cryptografie. Er worden gestructureerde methoden, zoals agile of scrum, gebruikt om alle onderdelen van het ontwikkelingsproces te controleren.

Alle wijzigingen in de productieomgeving volgen actuele procedures. Er worden speciale test- en ontwikkelingsomgevingen gebruikt om alle wijzigingen te testen, zoals oplossingen voor softwarefouten en nieuwe releases voorafgaand aan de productie. Onafhankelijke testmedewerkers testen regelmatig nieuwe functionaliteiten.

Bovendien wordt alle software getest en formeel geaccepteerd door een interne eigenaar en operator voordat de software doorgaat naar de productieomgeving.

Voordat nieuwe wijzigingen in productie gaan, worden er systematisch dreigings- en risicoanalyses, beveiligingscodebeoordelingen en penetratietests uitgevoerd en gedocumenteerd. Als er geen veiligheidsproblemen worden gedetecteerd, wordt de nieuwe functionaliteit geïmplementeerd in de bestaande SuperOffice-toepassing.

SuperOffice AS is een partnerschap aangegaan met een onafhankelijke veiligheidsadviseur – Watchcom AS, met als doel veilige toepassingen en services te ontwikkelen.

Watchcom assisteert SuperOffice bij veiligheidsbeoordelingen, testen van de toepassingsveiligheid, penetratietests en consultancy- en adviesdiensten. Watchcom werkt volgens internationale beveiligingsnormen, zoals: ISO27001, ISO27005, ISO 22301, ISO 30111, OWASP, WASC. Deze normen vormen de basis voor alle werkzaamheden en alle geleverde rapportages aan SuperOffice.

Exit-plan

Wanneer het abonnement van de klant op SuperOffice CRM Online-services wordt beëindigd of afloopt, wordt de account gedeactiveerd en zal deze niet langer toegankelijk zijn. Na beëindiging van de overeenkomst zullen de gebruikers van de klant met het beheerderstoegangsniveau bij aanmeldingspogingen worden doorgestuurd naar een site waar ze alle gegevens van de klant kunnen downloaden. Deze gegevens zijn beschikbaar in een generieke bestandsindeling. De download is tot 30 dagen na beëindiging van de overeenkomst beschikbaar. Na 30 dagen worden alle gegevens van de klant verwijderd van de servers en datacentrumfaciliteiten van SuperOffice. Back-ups blijven beschikbaar conform de back-upprocedures.

Cloud-beveiliging

Leer welke veiligheidsmaatregelen en protocollen er zijn om alle opgeslagen gegevens in SuperOffice CRM Online te beschermen.

GDPR & CRM

Ontdek hoe SuperOffice CRM kan helpen bij de opslag en verwerking van persoonlijke klantgegevens volgens de GDPR-vereisten.

App Store & APIs

Controleer alle wettelijke overeenkomsten, beleidslijnen, voorschriften en certificaten waaraan SuperOffice voldoet.