AVG- en informatiebeveiligingsbeleid Correct Software B.V.

Correct Software B.V. ontwikkelt, host en beheert maatwerksoftware voor zakelijke klanten. Daarbij verwerken wij persoonsgegevens: van onze eigen klanten en, als verwerker, van de gebruikers van de applicaties die wij voor onze klanten draaien. Dit beleid beschrijft welke maatregelen wij nemen om die gegevens en systemen te beschermen, hoe wij omgaan met incidenten en wie daarvoor verantwoordelijk is. Het hoort bij onze algemene voorwaarden, onze privacyverklaring en onze verwerkersovereenkomst.

Wij beschrijven onze maatregelen in hoofdlijnen. Details die een aanvaller zouden kunnen helpen, zoals de exacte configuratie van onze firewalls en monitoring, delen wij alleen in overleg met klanten die daar een gerechtvaardigd belang bij hebben.

1. Uitgangspunten

1.1 Wij nemen passende technische en organisatorische maatregelen zoals artikel 32 van de AVG voorschrijft, afgestemd op de stand van de techniek, de kosten en de risico's van de verwerking.

1.2 Wij werken volgens het principe van minimale toegang: niemand krijgt meer toegang tot systemen en gegevens dan nodig is voor zijn werk.

1.3 Beveiliging is een inspanningsverplichting. Wij doen wat redelijkerwijs mogelijk is, maar geen enkel systeem is volledig te beveiligen.

2. Technische maatregelen

2.1 Versleutelde verbindingen. Onze website, het klantenpaneel klanten.correctsoftware.nl, de applicaties die wij hosten en alle beheertoegang lopen via versleutelde verbindingen (TLS). Certificaten worden automatisch vernieuwd en bewaakt.

2.2 Meervoudige authenticatie. Het klantenpaneel en alle beheertoegang tot onze systemen zijn beveiligd met tweefactorauthenticatie (2FA/MFA). Klanten worden geacht 2FA op hun account in te schakelen; voor beheeraccounts van Correct Software is dit verplicht.

2.3 Beheertoegang via sleutels. Toegang tot servers verloopt uitsluitend via beveiligde beheeraansluitingen met cryptografische sleutels, via een vaste beheerlocatie. Inloggen met een wachtwoord op servers is uitgeschakeld. Sleutels zijn persoonsgebonden en worden ingetrokken zodra ze niet meer nodig zijn.

2.4 Geen wachtwoorden in code of chat. Wachtwoorden, API-sleutels en andere geheimen staan nooit in broncode, in versiebeheer, in e-mail of in chatberichten. Ze worden opgeslagen in afgeschermde configuratiebestanden op de server of in een wachtwoordbeheerder, en worden vervangen als er een vermoeden is dat ze zijn uitgelekt.

2.5 Back-ups. Van alle door ons beheerde omgevingen wordt dagelijks een back-up gemaakt, die zeven (7) dagen wordt bewaard op een van de productieomgeving gescheiden locatie, tenzij met de klant een andere termijn is afgesproken. Wij testen periodiek of back-ups daadwerkelijk kunnen worden teruggezet.

2.6 Updates en patchbeheer. Besturingssystemen, webservers, databases en programmeertaalversies op de door ons beheerde omgevingen worden regelmatig bijgewerkt. Kritieke beveiligingsupdates installeren wij zo snel mogelijk, zo nodig buiten het reguliere onderhoudsvenster.

2.7 Firewall en inbraakpreventie. Elke server is voorzien van een firewall die alleen de noodzakelijke poorten openzet, en van automatische blokkade van IP-adressen die herhaaldelijk mislukte inlogpogingen of ander verdacht gedrag vertonen (fail2ban).

2.8 Monitoring. Wij bewaken de beschikbaarheid, belasting en beveiligingsstatus van onze servers en applicaties en ontvangen direct een melding bij storingen, afwijkingen of verdachte activiteit.

2.9 Logging. Beheerhandelingen, inlogpogingen en systeemgebeurtenissen worden gelogd. Logbestanden bewaren wij maximaal twaalf (12) maanden en gebruiken wij uitsluitend voor beveiliging, storingsherstel en het onderzoeken van incidenten.

2.10 Scheiding van omgevingen. Applicaties van verschillende klanten draaien gescheiden van elkaar, zodat een probleem bij de ene klant geen toegang geeft tot gegevens van een andere klant. Ontwikkel-, test- en productieomgevingen zijn van elkaar gescheiden; in test- en ontwikkelomgevingen gebruiken wij waar mogelijk geen echte persoonsgegevens.

3. Organisatorische maatregelen

3.1 Verantwoordelijke. Dennis Fransen is binnen Correct Software verantwoordelijk voor informatiebeveiliging en gegevensbescherming en is het aanspreekpunt voor klanten, betrokkenen en toezichthouders. Hij is bereikbaar via dennis@correctsoftware.nl.

3.2 Geheimhouding. Iedereen die namens Correct Software toegang heeft tot klantgegevens is tot geheimhouding verplicht, op grond van een arbeids- of opdrachtovereenkomst of een aparte verklaring. Die verplichting blijft gelden na afloop van de samenwerking.

3.3 Toegangsbeheer. Toegangsrechten worden per persoon toegekend op basis van wat nodig is, en worden ingetrokken bij het einde van een samenwerking of bij wijziging van taken. Wij controleren de toegekende rechten periodiek.

3.4 Veilig ontwikkelen. Bij het ontwikkelen van software werken wij met versiebeheer, reviews van wijzigingen, actuele frameworks en bibliotheken, en aandacht voor bekende kwetsbaarheden zoals injectie, onveilige authenticatie en onjuiste toegangscontrole. Afhankelijkheden van derden houden wij bij en werken wij bij als daar beveiligingsproblemen in bekend worden.

3.5 Subverwerkers. Wij schakelen alleen subverwerkers in die passende beveiligingsmaatregelen treffen en met wie een verwerkersovereenkomst is gesloten. Onze huidige subverwerkers zijn Hostinger (hosting, EU), TransIP (hosting en opslag van back-ups, Nederland), Brevo (e-mailverzending, Frankrijk) en, waar van toepassing, Amazon Web Services (bestandsopslag, EU-regio). De actuele lijst staat in de verwerkersovereenkomst; wijzigingen kondigen wij vooraf aan.

4. Incidentproces

4.1 Detectie. Incidenten komen aan het licht via onze monitoring, via logs, via meldingen van klanten of derden, of via eigen controles. Een vermoeden van een incident behandelen wij als een incident totdat het tegendeel vaststaat.

4.2 Beoordeling en beperking. Wij stellen zo snel mogelijk vast wat er is gebeurd, welke systemen en gegevens zijn geraakt en wat de mogelijke gevolgen zijn. Tegelijk nemen wij maatregelen om verdere schade te beperken, zoals het isoleren van een systeem, het intrekken van toegang of het blokkeren van een aanvaller. Wij bewaren bewijsmateriaal voor later onderzoek.

4.3 Melding aan de klant. Heeft een incident directe impact op de dienstverlening aan een klant of op diens gegevens, dan informeren wij die klant zo snel mogelijk en uiterlijk binnen vierentwintig (24) uur na ontdekking. De melding bevat wat er is gebeurd, welke gegevens en systemen zijn geraakt, wat de vermoedelijke oorzaak en de gevolgen zijn, welke maatregelen zijn genomen en bij wie de klant terechtkan. Wat nog niet bekend is, leveren wij zo snel mogelijk na.

4.4 Melding aan de toezichthouder. Voor de gegevens waarvoor wij zelf verwerkingsverantwoordelijke zijn, melden wij een datalek binnen tweeënzeventig (72) uur bij de Autoriteit Persoonsgegevens als de AVG dat vereist, en informeren wij de betrokkenen als het lek een hoog risico voor hen oplevert. Voor gegevens waarvoor wij verwerker zijn, beoordeelt de klant of hij moet melden; wij leveren daarvoor alle benodigde informatie aan.

4.5 Herstel en evaluatie. Na het incident herstellen wij de dienstverlening, verversen wij waar nodig sleutels, wachtwoorden en geheimen, en stellen wij de oorzaak en de inbraakvector vast. Elk incident sluiten wij af met een evaluatie: wat is er gebeurd, hoe hebben wij gereageerd en welke maatregelen voorkomen herhaling. Wij houden een register bij van incidenten en datalekken.

5. Cyberbeveiligingswet

5.1 De Cyberbeveiligingswet (Cbw), de Nederlandse implementatie van de Europese NIS2-richtlijn, is sinds 15 augustus 2026 van kracht. Zij legt zorgplichten en meldplichten op aan organisaties in essentiële en belangrijke sectoren, en verwacht van die organisaties dat zij ook de risico's in hun toeleveringsketen beheersen.

5.2 Correct Software is als softwareleverancier en beheerder onderdeel van de toeleveringsketen van haar klanten. Wij ondersteunen klanten die onder de Cbw vallen door: a) de in dit beleid beschreven maatregelen te treffen en op verzoek toe te lichten, zodat de klant zijn eigen risicobeoordeling van leveranciers kan uitvoeren; b) incidenten met impact op de klant binnen 24 uur te melden, zodat de klant zijn eigen vroegtijdige waarschuwing (binnen 24 uur) en incidentmelding (binnen 72 uur) tijdig kan doen, en de daarvoor benodigde informatie aan te leveren; c) mee te werken aan aanvullende contractuele afspraken in een security-addendum, aan vragenlijsten en aan audits door de klant of een door hem ingeschakelde onafhankelijke deskundige, volgens de afspraken in onze algemene voorwaarden; d) klanten te wijzen op hun eigen aandeel in de beveiliging: veilige inloggegevens, gebruik van 2FA, actueel toegangsbeheer en het tijdig melden van verdachte activiteit.

5.3 Of een klant zelf onder de Cbw valt, bepaalt de klant zelf. Wij kunnen daarover meedenken, maar geven geen juridisch advies.

6. Evaluatie en onderhoud van dit beleid

6.1 Wij evalueren dit beleid en de bijbehorende maatregelen minimaal eenmaal per jaar, en daarnaast na elk significant incident, bij wijzigingen in onze diensten of subverwerkers en bij relevante wijzigingen in wet- en regelgeving.

6.2 Wij mogen onze maatregelen aanpassen zolang het beschermingsniveau daardoor niet lager wordt. De actuele versie van dit beleid staat op correctsoftware.nl.

7. Contact

Vragen over dit beleid, meldingen van kwetsbaarheden of vermoedens van een incident kunnen naar dennis@correctsoftware.nl.

Correct Software B.V. Le Mairekade 77 1013 CB Amsterdam KvK-nummer: 42155505 Btw-nummer: NL869958999B01

Versie 1.3, 26 oktober 2026