Informatiebeveiliging

Hosting

• De database en de bestandsopslag staan bij Supabase, in een Europese regio.
• De webomgeving draait bij Vercel. Daar worden geen deelnemersantwoorden bewaard: alle gegevens komen uit de database in de Europese regio.
• Beide partijen bieden zelf een verwerkersovereenkomst met Standaardcontractuele Bepalingen; de verwerking van persoonsgegevens vindt plaats binnen de Europese Economische Ruimte.
• Dagelijkse back-ups.
• Gescheiden test- en productieomgevingen; testomgevingen bevatten geen persoonsgegevens van deelnemers.

Versleuteling

• Al het verkeer verloopt via HTTPS (TLS 1.2 of nieuwer).
• Opgeslagen gegevens en back-ups worden versleuteld bewaard met AES-256. Deze versleuteling staat standaard aan en kan niet worden uitgezet.
• IP-adressen worden alleen als hash met een geheime sleutel vastgelegd, nooit als leesbaar adres.

Scheiding en toegang

• Scheiding tussen organisaties wordt afgedwongen in de database zelf, niet alleen in de app.
• Rollen per medewerker, waaronder een alleen-lezen rol; beheerrechten worden centraal toegekend en zijn niet door gebruikers zelf te verkrijgen.
• Deelnemers kunnen uitsluitend hun eigen antwoorden inzien, wijzigen of wissen, beveiligd met een sleutel die alleen op hun toestel staat.
• Wachtwoord- en uitnodigingslinks leiden altijd naar de eigen omgeving van Swipocratie.

Veilige ontwikkeling

• Ingevoerde opmaak wordt opgeschoond, zodat geen kwaadaardige code in peilingen terechtkomt.
• Exports naar spreadsheets zijn beschermd tegen formule-injectie.
• Afbeeldingen worden alleen geserveerd als ze in de mediabibliotheek geregistreerd zijn.
• Gebruikte softwarebibliotheken worden regelmatig gecontroleerd op bekende kwetsbaarheden en bijgewerkt.
• Wijzigingen worden eerst op een acceptatieomgeving getest voordat ze live gaan.
• Geen externe trackers of scripts van derden in deelnemerspagina's.

Certificering

Swipocratie zelf beschikt op dit moment niet over een ISO 27001- of vergelijkbare certificering. De partij die onze database en bestandsopslag draagt, is ISO 27001-gecertificeerd en SOC 2 Type 2 compliant. Op verzoek beantwoorden we graag uw beveiligingsvragenlijst.

Een kwetsbaarheid melden

Denkt u een beveiligingsprobleem te hebben gevonden? Meld het ons vertrouwelijk via de contactgegevens van Swipocratie. Wij vragen u:

• het probleem niet te delen voordat het is opgelost;
• geen gegevens van anderen in te zien, te wijzigen of te verwijderen;
• geen aanvallen uit te voeren die de dienst verstoren.

Wij reageren zo snel mogelijk, houden u op de hoogte en doen geen aangifte bij een melding die aan deze voorwaarden voldoet.