Beveiligingsbeleid

• Het platform draait op professionele Europese en Amerikaanse cloudinfrastructuur van gevestigde aanbieders (zie de subverwerkerslijst voor details).
• Klantgegevens worden waar mogelijk in datacenters binnen de Europese Economische Ruimte opgeslagen.
• Systemen worden regelmatig voorzien van beveiligingsupdates.

• Alle verbindingen zijn versleuteld met TLS (HTTPS).
• Gegevens worden versleuteld opgeslagen (encryptie in rust).
• Wachtwoorden worden nooit leesbaar opgeslagen, alleen als veilige hash.

• Toegang tot productiesystemen en klantgegevens is beperkt tot personen die deze nodig hebben voor hun werk (least privilege).
• Beheertoegang is beveiligd met meerfactorauthenticatie (MFA).
• Elke klantomgeving is logisch gescheiden van andere klanten; uw gegevens zijn nooit zichtbaar voor andere klanten.
• Medewerkers en ingeschakelde personen zijn gebonden aan geheimhouding.

• Van klantgegevens worden regelmatig automatische back-ups gemaakt.
• Back-ups worden versleuteld bewaard en periodiek getest op herstelbaarheid.
• Bij een ernstige storing herstellen wij de dienst vanaf de meest recente bruikbare back-up.

• Beveiligingsincidenten worden geregistreerd, onderzocht en verholpen volgens een vaste werkwijze: signaleren, beperken, herstellen, evalueren.
• Raakt een incident persoonsgegevens van uw klanten, dan informeren wij u zonder onredelijke vertraging en uiterlijk binnen 48 uur na ontdekking (zie de verwerkersovereenkomst).
• Na elk relevant incident voeren wij een evaluatie uit en verbeteren wij onze maatregelen waar nodig.

• Gegevens in uw werkruimte bewaren wij zolang uw account actief is.
• Na beëindiging kunt u uw gegevens 30 dagen exporteren; daarna verwijderen wij ze binnen 90 dagen uit actieve systemen en back-ups.
• Logbestanden voor beveiliging bewaren wij maximaal 30 dagen.
• Wettelijke bewaarplichten (zoals fiscale bewaartermijnen voor facturen) kunnen langere bewaring vereisen.

Heeft u een kwetsbaarheid gevonden in onze systemen? Meld deze via ons beleid voor gecoördineerde melding van kwetsbaarheden (responsible disclosure) op skydust.io/legal/responsible-disclosure.

Vragen over beveiliging, of heeft uw organisatie een beveiligingsvragenlijst die wij moeten invullen? Mail naar karlo.timmerman@skydust.io.