Beveiligingsmaatregelen
Beveiligingsmaatregelen van ProcessMind
Ingangsdatum: 15 april 2026
In dit document worden de technische en organisatorische maatregelen (“TOM’s”) beschreven die ProcessMind B.V. hanteert om de vertrouwelijkheid, integriteit en beschikbaarheid van klantgegevens te waarborgen. Deze maatregelen vormen een aanvulling op de Verwerkersovereenkomst , het Privacybeleid en de SaaS-hostingvoorwaarden . ProcessMind herziet en actualiseert deze maatregelen ten minste jaarlijks.
Klantgegevens worden nooit verkocht aan, gedeeld met of gebruikt door derden voor hun eigen doeleinden.
1. Infrastructuurbeveiliging
1.1 Cloudplatform. ProcessMind wordt uitsluitend gehost op Amazon Web Services (AWS) in de EU (Frankfurt, Duitsland, eu-central-1). AWS beschikt over ISO 27001, ISO 27017, ISO 27018, SOC 1/2/3 en PCI DSS-certificeringen. Bekijk de AWS Compliance Programs voor een volledige lijst.
1.2 Serverloze architectuur. Alle applicatielogica draait op AWS Lambda (serverless). Er zijn geen servers die langdurig actief zijn en gepatcht of beveiligd moeten worden. Dit elimineert een hele reeks infrastructuurrisico’s, zoals niet-gepatchte besturingssystemen, aanhoudende inbreuken en serverconfiguratiefouten.
1.3 Netwerkiolatie. Alle reken- en databasebronnen draaien binnen een Virtual Private Cloud (VPC) via privé-subnets zonder directe internettoegang. Databases zijn niet publiekelijk toegankelijk; ze zijn alleen bereikbaar via de AWS RDS Data API vanuit geautoriseerde Lambda-functies.
1.4 Contentlevering. Statische bestanden worden geleverd via Amazon CloudFront met strikte Content Security Policy (CSP) response headers, inclusief frame-ancestors beperkingen om clickjacking te voorkomen.
1.5 Omgevingsscheiding. Productie- en ontwikkelomgevingen gebruiken gescheiden AWS-accounts, databases en infrastructuur-stacks. Dit wordt beheerd via AWS Control Tower met strikte scheiding volgens best practices. Inloggegevens van ontwikkelaars geven geen toegang tot klantgegevens in de productieomgeving.
2. Gegevensversleuteling
2.1 Versleuteling tijdens verzending. Alle data die wordt verzonden tussen clients en ProcessMind-diensten is versleuteld met TLS 1.2 of hoger. HTTPS is verplicht voor alle API-endpoints, S3-uploads en de webapplicatie. Ook de interne communicatie tussen diensten binnen de VPC verloopt via versleutelde kanalen.
2.2 Versleuteling bij opslag. Alle databases (Amazon Aurora PostgreSQL) zijn bij opslag versleuteld met AES-256 via AWS Key Management Service (KMS). Hierbij wordt gebruikgemaakt van een door de klant beheerde sleutel waarbij automatische jaarlijkse rotatie is ingeschakeld. Alle opslag (Amazon S3) is versleuteld met AES-256 via server-side encryptie met door Amazon S3 beheerde sleutels (SSE-S3).
2.3 Sleutelbeheer. Sleutels voor databaseversleuteling worden centraal beheerd via AWS KMS. Toegang tot sleutels wordt geregeld via IAM-beleid volgens het principe van minimale bevoegdheden. S3-versleutelingssleutels worden automatisch beheerd door AWS. Sleutels worden nooit opgeslagen in applicatiecode of configuratiebestanden.
3. Data-isolatie en datalocatie
3.1 Tenant-isolatie. Elke klantorganisatie krijgt een eigen, toegewezen database-instantie. Klantgegevens worden op databaseniveau nooit vermengd met data van andere klanten. Gedeelde metadata (zoals accountgegevens en facturering) wordt opgeslagen in een aparte multi-tenant database met strikte toegangscontroles.
3.2 Data-residency. Alle klantgegevens, inclusief databases, bestandsuploads, back-ups en query-resultaten, worden uitsluitend opgeslagen in de EU (Frankfurt, Duitsland). ProcessMind verplaatst of kopieert klantgegevens niet naar locaties buiten de Europese Economische Ruimte.
3.3 Dataretentie en -verwijdering. Bij betaalde abonnementen worden klantgegevens negentig (90) dagen na afloop van de abonnementsperiode automatisch verwijderd. Voor proefaccounts wordt de data dertien (13) maanden na het aanmaken van het account automatisch verwijderd. Je kunt je data op elk moment verwijderen via de applicatie of door contact op te nemen met ProcessMind. Data in automatische back-ups verloopt na een extra periode van negentig (90) dagen. Volledige details vind je in Sectie 6 van de Verwerkersovereenkomst .
4. Identiteits- en toegangsbeheer
4.1 Authenticatie. ProcessMind ondersteunt Single Sign-On (SSO) via Microsoft Entra ID (Azure AD), Google OAuth 2.0/OIDC en LinkedIn OAuth 2.0/OIDC. ProcessMind fungeert als vertrouwende partij en slaat geen wachtwoorden van gebruikers op. Multi-factor authenticatie (MFA) wordt ondersteund via de eigen identity provider van de klant.
4.2 Sessiebeheer. Alle sessies maken gebruik van ondertekende JSON Web Tokens (JWT), verzonden via beveiligde HttpOnly-cookies met SameSite- en Secure-flags. Token-handtekeningen worden bij elk API-verzoek gecontroleerd.
4.3 Autorisatie. Alle API-endpoints dwingen op applicatieniveau autorisatie af op basis van JWT. Toegang tot klantgegevens is beperkt tot de geauthenticeerde tenant, wat toegang tot data van andere tenants voorkomt.
4.4 Minimale bevoegdheden. Interne systemen werken volgens het principe van minimale bevoegdheden (least privilege). IAM-rollen voor infrastructuuronderdelen zijn beperkt tot de minimaal vereiste rechten. Toegang van medewerkers tot productiesystemen is beperkt tot specifiek aangewezen personeel met een gedocumenteerde zakelijke noodzaak.
4.5 Toegangscontrole medewerkers. Toegang van medewerkers tot interne systemen wordt beheerd via Active Directory met SSO en verplichte MFA. Role-based access control (RBAC) zorgt ervoor dat toegang tot klantgegevens beperkt is tot geautoriseerd personeel op basis van het ‘need-to-know’-principe. Toegangsrechten worden periodiek geëvalueerd.
5. Logging, monitoring en audit
5.1 Gecentraliseerde logging. Alle applicatiegebeurtenissen, authenticaties en systeemactiviteiten worden centraal gelogd via Amazon CloudWatch met gestructureerde JSON-logging. Er worden aparte loggroepen bijgehouden voor applicatielogs, auditgebeurtenissen en telemetry-data. Audit- en telemetry-logs worden voor onbepaalde tijd bewaard en zijn beveiligd tegen verwijdering.
5.2 Toegangslogs. Logging van WebSocket API-toegang is ingeschakeld. Logging op applicatieniveau legt authenticatiegebeurtenissen en details van API-verzoeken vast voor forensische analyse.
5.3 Monitoring en alarmering. CloudWatch-alarmen en dashboards bieden realtime inzicht in de systeemgezondheid, foutmarges en beveiligingsgerelateerde gebeurtenissen. Bij afwijkingen worden er automatisch meldingen verstuurd naar het engineeringteam.
5.4 Logbeveiliging. Logs worden opgeslagen in speciale CloudWatch-loggroepen met toegangscontrole. Loggegevens zijn bij opslag versleuteld. Productielogs zijn niet toegankelijk vanuit ontwikkelomgevingen.
6. Kwetsbaarhedenbeheer
6.1 Geautomatiseerde compliance-scans. Infrastructure-as-code wordt bij elke implementatie gescand met cdk-nag. Hiermee worden configuraties gecontroleerd tegen verschillende compliance-frameworks, waaronder AWS Solutions best practices, HIPAA Security, NIST 800-53 Rev 4 en Rev 5, en PCI DSS 3.2.1. Voor elke stack worden compliance-rapporten gegenereerd en beoordeeld tijdens de implementatie. Bevindingen worden bijgehouden, geëvalueerd en hersteld of voorzien van een documentatie met rechtvaardiging.
6.2 Dependency-management. Software-afhankelijkheden worden continu gecontroleerd op bekende kwetsbaarheden. Kritieke kwetsbaarheden en kwetsbaarheden met een hoge urgentie worden direct gepatcht. Afhankelijkheden worden volgens een vaste cyclus bijgewerkt.
6.3 Veilige softwareontwikkelingscyclus (SDLC). Alle codewijzigingen ondergaan een peer review voordat ze naar de productieomgeving worden doorgevoerd. Bij elke wijziging worden geautomatiseerde testsuites (unit, integratie en end-to-end) uitgevoerd. Beveiliging is een vast onderdeel van de review-checklist.
7. Back-up en disaster recovery
7.1 Geautomatiseerde back-ups. Amazon Aurora voert continu automatische back-ups uit met een bewaartermijn van zeven (7) dagen. Back-ups worden versleuteld met dezelfde door de klant beheerde KMS-sleutels als de brondatabases.
7.2 Point-in-time herstel. Aurora ondersteunt point-in-time herstel tot op de seconde nauwkeurig binnen het back-upvenster. Dit maakt snel herstel mogelijk in geval van datacorruptie of onbedoelde verwijdering.
7.3 S3-duurzaamheid. Bestandsuploads en data warehouse-items worden opgeslagen in Amazon S3, wat een duurzaamheid van 99,999999999% (11 negens) biedt. S3-versioning is ingeschakeld, waardoor eerdere versies van objecten bewaard blijven voor hersteldoeleinden.
7.4 Bedrijfscontinuïteit. Procedures voor disaster recovery zijn gedocumenteerd en worden periodiek getest. De serverloze architectuur biedt van nature een hoge beschikbaarheid over meerdere Availability Zones binnen de regio eu-central-1.
8. Incidentrespons
8.1 Incidentmelding. In het geval van een beveiligingsincident (zoals gedefinieerd in de Verwerkersovereenkomst) stelt ProcessMind de getroffen klanten zonder onnodige vertraging op de hoogte. Waar mogelijk gebeurt dit binnen tweeënzeventig (72) uur nadat het incident bekend is geworden.
8.2 Incidentafhandeling. ProcessMind hanteert gedocumenteerde procedures voor incidentrespons die identificatie, inperking, eliminatie, herstel en evaluatie achteraf omvatten. Ervaringen uit eerdere incidenten worden gebruikt om de beveiligingscontroles en -processen te verbeteren.
8.3 Communicatie. Incidentmeldingen bevatten informatie over de aard en omvang van het incident, de getroffen datacategorieën, de genomen maatregelen om het incident in te perken en aanbevolen acties voor de klant.
9. Organisatorische maatregelen
9.1 Informatiebeveiligingsbeheer. ProcessMind hanteert een informatiebeveiligingssysteem dat in lijn is met ISO 27001. ProcessMind streeft naar en behoudt certificeringen in overeenstemming met de behoeften van klanten en wettelijke vereisten.
9.2 Beveiligingsbewustzijn. Al het personeel met toegang tot klantgegevens krijgt training in beveiligingsbewustzijn. Best practices op het gebied van beveiliging zijn verankerd in de onboarding, ontwikkelingsworkflows en operationele procedures.
9.3 Leveranciers- en subverwerkerbeheer. Subverwerkers zijn contractueel gebonden aan normen voor gegevensbescherming die gelijkwaardig zijn aan de normen in dit document. ProcessMind houdt een openbare subverwerkerslijst bij en geeft ten minste dertig (30) dagen van tevoren bericht voordat een nieuwe subverwerker wordt ingeschakeld. Subverwerkers worden jaarlijks gecontroleerd op compliance.
9.4 Vertrouwelijkheid. Alle medewerkers die geautoriseerd zijn om klantgegevens te verwerken, zijn gebonden aan schriftelijke geheimhoudingsplichten.
10. Compliance en certificeringen
| Framework / Standaard | Status |
|---|---|
| AVG (Algemene Verordening Gegevensbescherming) | Conform |
| EU Data-residency (Frankfurt, Duitsland) | Afgedwongen |
| AWS-infrastructuurcertificeringen (ISO 27001, SOC 2, PCI DSS) | Overgenomen via AWS |
| Standaardcontractbepalingen (SCC’s) voor internationale doorgifte | Geïmplementeerd (zie Verwerkersovereenkomst ) |
| Verwerkersovereenkomst | Beschikbaar op aanvraag |
Voor vragen over beveiliging, compliance of het opvragen van documentatie zoals auditrapporten of ingevulde beveiligingsvragenlijsten, kun je contact opnemen met security@processmind.com.