Voor privacy, informatiebeveiliging en IT-beheer Gids
DPIA-ondersteuning Databeamer
De gegevens over Databeamer die je organisatie nodig heeft voor haar eigen DPIA, in de volgorde van een DPIA. Rolverdeling, categorieën persoonsgegevens, toegang door Databeamer, bewaartermijnen, subverwerkers, risico's en maatregelen, rechten van betrokkenen en de datalekprocedure.
Voor wie. FG's, privacy officers, proceseigenaren en inkopers bij organisaties die een gegevensbeschermingseffectbeoordeling (DPIA) uitvoeren op het gebruik van Databeamer.
Wat dit document wel en niet is. Het vervangt de DPIA van je organisatie niet: die blijft de verantwoordelijkheid van de verwerkingsverantwoordelijke en diens FG. Het levert de gegevens over Databeamer die je daarvoor nodig hebt, in de volgorde waarin een DPIA ze vraagt, met per onderwerp de verwijzing naar het document waarin de afspraak formeel staat. Hoort bij Databeamer voor FG's en privacy officers en Databeamer voor security officers en CISO's.
De verwerkersovereenkomst (DPA), de privacyverklaring, het beveiligingsbeleid en het cookiebeleid staan op de juridische pagina. Waar dit document een termijn of afspraak noemt, is de DPA de bron; bij verschil gaat de DPA voor.
1. Over de dienst en de rolverdeling #
Wat is Databeamer? Een Nederlandse SaaS-dienst van Full Join B.V. (Eindhoven) voor veilige communicatie, bestandsuitwisseling en samenwerking, met client-side end-to-end-versleuteling en hosting binnen de EU. Bestanden, berichten, antwoorden en logboekinhoud worden op het apparaat van de gebruiker versleuteld en bij de ontvanger ontsleuteld. Full Join beschikt niet over voldoende sleutelmateriaal om die inhoud zelfstandig te ontsleutelen.
Rolverdeling onder de AVG (DPA §1.2, privacyverklaring §1 en §8.10):
| Partij | Rol | Toelichting |
|---|---|---|
| Afnemende organisatie | Verwerkingsverantwoordelijke | Bepaalt doelen en middelen van de verwerking, welke informatie wordt gedeeld, met wie, en hoe lang. |
| Full Join (Databeamer) | Verwerker | Verwerkt de persoonsgegevens die de organisatie via Databeamer verwerkt, uitsluitend volgens de DPA, de overeenkomst en gedocumenteerde instructies (DPA hoofdstuk 4). |
| Full Join voor eigen doeleinden | Verwerkingsverantwoordelijke | Accountbeheer, facturatie, beveiliging van de dienst, support, eigen administratie en de identiteitsverificatie van gebruikers en organisaties (het verificatiekenmerk). Deze verwerkingen vallen onder de privacyverklaring, niet onder de DPA. |
Voor consumenten die Databeamer rechtstreeks gebruiken, is Full Join verwerkingsverantwoordelijke voor de accountgegevens; de inhoud die zij invoeren is ook voor Full Join niet leesbaar.
2. Categorieën persoonsgegevens en betrokkenen #
De inhoud van informatie is voor Databeamer niet leesbaar (zie paragraaf 3). Onderstaande categorieën blijven wel zichtbaar voor de dienst, omdat ze nodig zijn voor accounts, groepen, toegang, uitwisseling en beveiliging. De precieze metadata verschilt per functie; de technologiepagina geeft onder "Wat we wel en niet kunnen zien" de actuele opsomming.
| Categorie | Voorbeelden | Betrokkenen | Doel | Bewaartermijn (zie paragraaf 5) |
|---|---|---|---|---|
| Accountgegevens | Naam, e-mailadres, gebruikersnaam, accountstatus, organisatie | Medewerkers van de afnemer | Accountbeheer, authenticatie en toegang | Zolang het account actief is; na verwijdering een respijt van 30 dagen, daarna definitief gewist en geanonimiseerd |
| Groeps- en organisatiegegevens | Namen van organisaties en groepen, ledenlijsten, rollen, lidmaatschapslabels, uitnodigingen | Medewerkers, externe leden | Inrichten van de samenwerking en toegangsbeheer | Zolang de groep of organisatie bestaat; bij verwijdering van een workspace de ingestelde bewaartermijn |
| Classificaties, statussen en labels | Type van een dossier of workspace, workflowstatus, labels op organisatieniveau | Gebruikers | Werking van de functie en managementrapportage | Zolang het object bestaat |
| Transfer- en requestgegevens | Titel, afzender, ontvangers, status, vervaldatum | Gebruikers, gasten | Uitwisseling en verantwoording | Tot de vervaldatum of verwijdering; het record zonder inhoud blijft voor het activiteitenlogboek |
| Audittrail | Wie deed wat, met welk object, wanneer; ondertekend door het apparaat van de gebruiker | Gebruikers, gasten | Verantwoording, beveiliging en onderzoek | Blijft bestaan na verwijdering van inhoud of account, geanonimiseerd waar mogelijk (DPA §13.6) |
| Omvangs- en gebruiksgegevens | Aantallen bestanden, versleutelde groottes, vorm van de mappenboom, quotagebruik | Gebruikers | Werking en capaciteit van de dienst, facturatie | Zolang de inhoud bestaat |
| Communicatiegegevens | Kanaal, afzender, tijdstippen, leesstatus en aanwezigheid in chat en Secure Mail | Gebruikers, gasten | Berichtafhandeling en bezorging | Zolang het gesprek of de groep bestaat |
| Gastgegevens | E-mailadres van de gast, status van de zending, verificatiegebeurtenissen, ontvangstbewijzen van downloads | Externen zonder account | Toegang voor externe ontvangers en verantwoording | Zolang de zending bestaat; de gebeurtenissen blijven in de audittrail |
| Technische gegevens | IP-adres, inlogtijdstippen, browser- en apparaatkenmerken, sessiegegevens, beveiligingsgebeurtenissen, foutinformatie | Gebruikers, gasten | Beveiliging, fraudepreventie, incidentonderzoek | Operationele logs beperkt (ordegrootte één maand); beveiligingsgebeurtenissen zolang noodzakelijk voor beveiliging en onderzoek |
| Hash van bestandsinhoud | Een SHA-256-hash van de oorspronkelijke inhoud van elk geüpload bestand | Niet direct herleidbaar | Controle op bekende malware | Zolang het bestand bestaat |
Bijzondere categorieën persoonsgegevens. Databeamer ziet de inhoud niet, maar de afnemer kan via de dienst wel bijzondere persoonsgegevens (artikel 9 AVG) en persoonsgegevens van strafrechtelijke aard delen. De DPA (§15.3 en §15.4) staat dit toe en legt de verantwoordelijkheid voor de grondslag en de passende waarborgen bij de afnemer. Full Join bepaalt de inhoudelijke categorieën niet en kan beschermde inhoud niet in leesbare vorm ontsleutelen. Let op: classificaties, statussen, labels en titels zijn wél leesbaar; een label als "psychiatrie" of een titel met een cliëntnaam maakt van zichtbare metadata een bijzonder persoonsgegeven. Zie de aanbeveling in paragraaf 3.
3. Inhoud en metadata: wat ziet de dienst wel en niet? #
Niet zichtbaar voor de dienst: alle inhoud die gebruikers invoeren (bestanden, bestandsnamen, bestandstypen, mapnamen, berichten in chat en Secure Mail, bijlagen, antwoorden op requests, logboekregels, het bericht bij een transfer of request, tags en beschrijvingen in versleutelde blobs) en de wachtwoorden, pincodes, herstelzinnen, wachtwoordzinnen en sleutels van gebruikers. Databeamer beschikt nooit over alle sleutels die nodig zijn om deze inhoud te ontsleutelen en kan sleutels van gebruikers niet namens hen herstellen.
Wel zichtbaar: de metadata uit paragraaf 2. Deze bevat geen gebruikersinhoud, maar ook zonder inhoud kunnen daaruit patronen worden afgeleid, zoals wie met wie samenwerkt, wanneer dat gebeurt en hoe intensief het contact is (verkeersgegevens). Zoekopdrachten in de lijsten met transfers en requests draaien op de server over de leesbare titels; in bestands- en chatinhoud wordt op de server nooit gezocht.
Aanbeveling aan afnemers: gebruik groepsnamen, titels, classificaties, labels en statussen alleen voor neutrale categorieën. Neem geen namen van cliënten, zaaknummers, diagnoses of andere vertrouwelijke details op. Leg dit vast in een naamgevingsrichtlijn en neem die op in de instructie aan gebruikers.
4. Toegang tot gegevens door Databeamer #
Deze paragraaf beschrijft wanneer medewerkers of systemen van Full Join gegevens kunnen inzien, onder welke voorwaarden en met welke registratie. De interne regels komen uit het informatiebeveiligingsmanagementsysteem (ISMS) van Full Join; de publieke samenvatting staat in het Beveiligingsbeleid.
| Situatie | Toegang tot inhoud? | Toegang tot metadata? | Voorwaarden en registratie |
|---|---|---|---|
| Normale werking van de dienst | Nee | Ja, voor zover nodig voor de werking | Toegang tot productiesystemen is beperkt tot de personen voor wie dat noodzakelijk is (least privilege, need-to-know). Multifactor-authenticatie met een authenticator-app of hardwaresleutel is verplicht. Toegangsrechten worden elk kwartaal beoordeeld; verlening en intrekking worden als taak vastgelegd. Beheerhandelingen worden gelogd. |
| Gasttoegang via code per e-mail | Technisch mogelijk, alleen tijdens de geverifieerde toegang van de gast | Ja | De sleutel staat onder een niet-exporteerbare sleutel in Scaleway Key Manager (EU) en wordt per toegang vrijgegeven na een eenmalige code; iedere vrijgave staat in de audittrail. Bij verlopen of intrekken wordt de sleutel vernietigd. Bij een wachtwoordzin bestaat deze route niet. De afzender kiest per zending (DPA §4.3, Beveiligingsbeleid §4.5). |
| Supportvragen | Nee | Alleen de account- en metadata die nodig zijn om de vraag te beantwoorden | Support werkt met dezelfde beperkte rechten als het reguliere beheer; er is geen aparte supporttoegang tot inhoud, en inhoud kan ook met de hoogste beheerdersrechten niet worden geopend. Supportverzoeken verlopen via het contactformulier (zelf een beveiligde Databeamer-request) of per e-mail. |
| Technisch beheer en onderhoud | Nee | Ja, voor zover nodig | Wijzigingen aan applicatie en infrastructuur lopen uitsluitend via de geautomatiseerde uitrolstraat; handmatige wijzigingen in productie zijn niet toegestaan en vereisen in noodgevallen het vier-ogenprincipe. Productiegegevens worden nooit in ontwikkel- of testomgevingen gebruikt. Elke uitrol wordt gelogd. |
| Verzoeken van overheden en toezichthouders | Nee: Full Join kan beschermde inhoud niet in leesbare vorm verstrekken | Alleen wat wettelijk verplicht is | Full Join toetst een bindend verzoek op geldigheid en reikwijdte en informeert de afnemer vooraf, tenzij dat wettelijk niet is toegestaan; dan zodra het juridisch mogelijk is (DPA hoofdstuk 12). Wat technisch verstrekt kan worden, is beperkt tot de metadata uit paragraaf 2. |
5. Bewaartermijnen en verwijdering #
De bewaartermijn van gegevens binnen Databeamer verschilt per functionaliteit en wordt in belangrijke mate bepaald door de instellingen en instructies van de afnemer (DPA hoofdstuk 13, privacyverklaring hoofdstuk 13).
| Onderwerp | Beschrijving |
|---|---|
| Actieve gegevens | Accountgegevens: zolang het account actief is. Groeps- en organisatiegegevens: zolang de groep of organisatie bestaat. Inhoud in Drive, chat, Secure Mail en logboeken: zolang de afnemer die niet verwijdert en de groep bestaat. Stelt de afnemer geen termijn in, dan blijft inhoud bestaan zolang de workspace en de overeenkomst bestaan. |
| Door de afnemer instelbare termijnen | Per request een bewaartermijn van 1 dag tot een jaar (begrensd door het abonnement), waarna inzendingen en bijbehorende bestanden automatisch worden opgeruimd. Per transfer een vervaldatum van 1, 3, 7 of 30 dagen (maximum per abonnement), waarna de bestanden worden verwijderd; het record en de activiteit blijven. Bij het verwijderen van een workspace een bewaartermijn gekoppeld aan de classificatie: tot het einde daarvan is de workspace verborgen, alleen-lezen en herstelbaar, daarna wordt de inhoud definitief verwijderd. |
| Verwijderen door de gebruiker of beheerder | Een bestand naar de prullenbak verplaatsen is een zachte verwijdering: het blijft herstelbaar en de versleutelde blokken blijven staan. Definitief verwijderen haalt het bestandsrecord weg; een achtergrondproces verwijdert daarna de blokken waar geen bestand meer naar verwijst. Een transfer verwijderen sluit de groep en verwijdert de blokken meteen. Een inzender kan een inzending binnen 24 uur intrekken; de versleutelde inzending wordt dan verwijderd. |
| Verwijderde gebruikers en groepsleden | Bij verwijdering uit een groep wordt de sleutelset vernieuwd; nieuwe inhoud is voor de verwijderde persoon niet meer toegankelijk. Eerder opgehaalde informatie blijft in diens bezit. Verwijdert een gebruiker het eigen account (of een beheerder namens hem), dan volgt een respijt van 30 dagen waarin de verwijdering kan worden geannuleerd; daarna worden de gegevens definitief gewist, de opslag opgeruimd en het profiel geanonimiseerd (DPA §13.3). |
| Back-ups | Klantinhoud is in back-ups altijd versleuteld. Database-back-ups worden dagelijks gemaakt en zeven dagen bewaard; versleutelde bestandsblokken staan redundant over drie zones in de regio Amsterdam. Verwijderde gegevens verdwijnen uit de back-ups zodra die rotatie is doorlopen. Back-ups blijven binnen de EU. |
| Audittrail | Blijft bestaan nadat de onderliggende inhoud of het account is verwijderd, in geanonimiseerde vorm waar dat mogelijk is, zolang dat noodzakelijk is voor beveiliging, beheer, incidentonderzoek, aantoonbaarheid en wettelijke of contractuele verplichtingen. Reden: een auditspoor dat met de inhoud verdwijnt, heeft geen bewijswaarde, en de entries zijn ondertekend en in aaneengeschakelde epochs verzegeld, zodat verwijdering achteraf de keten zou breken (DPA §13.6). |
| Technische logs | Operationele logs van de infrastructuur en foutmonitoring worden beperkt bewaard, in de ordegrootte van één maand, en blijven binnen de EU. Logs bevatten geen klantinhoud of sleutels. |
| Accountreset | Bij een reset worden de bestaande sleutels en persoonlijke gegevens vernietigd. Een reset is geen herstel van de oorspronkelijke inhoud; groepsinhoud wordt weer bereikbaar zodra een beheerder de gebruiker opnieuw toevoegt. |
| Beëindiging van de overeenkomst | Full Join retourneert of verwijdert de persoonsgegevens naar keuze van de afnemer, voor zover technisch mogelijk en behoudens wettelijke bewaarplichten (DPA §13.4). De afnemer houdt na beëindiging dertig dagen toegang tot de exportfunctie, die een ontsleuteld archief van bestanden en metadata op het apparaat van de gebruiker maakt (Algemene Voorwaarden §12.5). Een formeel bewijs van vernietiging is niet standaard onderdeel; vraag ernaar bij de contractafspraken. |
6. Verwerkers, subverwerkers, hosting en doorgifte #
| Onderwerp | Beschrijving |
|---|---|
| Locatie van hosting | Europese Unie, regio Amsterdam, bij Scaleway SAS (Frankrijk), redundant over drie zones. Geen data, metadata of back-ups verlaten de EU (DPA §11.1). |
| Subverwerkers | Scaleway SAS (Frankrijk) voor hosting, transactionele e-mail en sleutelbeheer, allemaal in de EU. De identiteitsdienst draait op software die Full Join zelf host; er is geen externe identiteitsleverancier (DPA §10.3). Het actuele overzicht staat in hoofdstuk 10 van de DPA. |
| Overige externe aanroepen | De malwarecontrole zoekt de SHA-256-hash van een geüpload bestand op bij OPSWAT MetaDefender, een Amerikaanse hash-reputatiedienst; de aanroep bevat alleen de hash, nooit inhoud of accountgegevens. Deze dienst staat niet in het subverwerkersoverzicht van de DPA; beoordeel in de eigen DPIA of je deze gegevensstroom opneemt. |
| Wijzigingen in subverwerkers | Full Join informeert de afnemer vooraf wanneer een wijziging gevolgen kan hebben voor de verwerking. De afnemer kan binnen dertig kalenderdagen gemotiveerd bezwaar maken; wordt binnen dertig dagen geen oplossing gevonden, dan kan de afnemer de overeenkomst (of het betreffende onderdeel) kosteloos en met onmiddellijke ingang opzeggen, met restitutie naar rato (DPA §10.4). |
| Doorgifte buiten de EER | Niet voorzien voor de primaire verwerking en hosting. Voor eventuele ondersteunende diensten buiten de EER zorgt Full Join voor een passende grondslag en waarborgen overeenkomstig hoofdstuk V AVG (DPA §11.3). Doorgifte die de afnemer zelf initieert door naar ontvangers buiten de EER te versturen, blijft de verantwoordelijkheid van de afnemer (DPA §11.4). |
| Zeggenschap en jurisdictie | Full Join B.V. is gevestigd in Eindhoven en valt onder Nederlands recht en de AVG. Scaleway is een Europese cloudprovider zonder zeggenschap van buiten de EU (Beveiligingsbeleid §14.3); er wordt geen Amerikaanse hyperscaler gebruikt. De client-side versleuteling beperkt bovendien wat een infrastructuurleverancier überhaupt kan inzien. |
Zie ook de juridische pagina voor de volledige teksten.
7. Risico's en maatregelen #
Per risico: wat het is, wat Databeamer ertegen doet en wat de afnemer zelf regelt. Dit onderdeel kan de afnemer direct in de eigen DPIA overnemen.
| Risico | Wat doet Databeamer? | Wat regelt de afnemer? |
|---|---|---|
| Zichtbare metadata en verkeersgegevens geven patronen prijs over samenwerking | Beperkt de zichtbare gegevens tot wat nodig is voor de werking; versleutelt bestandsnamen, mapnamen, tags en berichten. Metadata is beschermd met TLS, versleuteling in rust en toegangsbeperking; toegang voor eigen medewerkers volgt least privilege, verplichte MFA, kwartaalreviews en logging. Geen profilering, analyse of AI-training op klantgegevens. | Neutrale naamgeving voor groepen, titels, labels en statussen. Beoordelen of de zichtbare metadata acceptabel is voor de betreffende verwerking. |
| Gasttoegang via code per e-mail: de dienst kan tijdens de verificatie ontsleutelen | Sleutel onder een niet-exporteerbare sleutel in een Europese key-managementdienst; vrijgave alleen per toegang na een eenmalige code (zes cijfers, tien minuten geldig, begrensd aantal pogingen); iedere vrijgave in de audittrail; sleutel vernietigd bij verlopen of intrekken. De wachtwoordzin is de standaard en kent deze route niet. | Bepalen voor welk type informatie deze route is toegestaan. Voor bijzondere persoonsgegevens en zeer vertrouwelijke stukken een wachtwoordzin of andere werkwijze voorschrijven. |
| Verkeerde ontvanger van een transfer of Secure Mail | Mogelijkheid om een transfer te verwijderen of de levering aan een gast in te trekken; daarbij worden sleutelmateriaal en toegangslinks vernietigd. Identiteitscontrole van ontvangers met een account (organisaties, gedeelde groepen, lid sinds) vóór het versturen. | Procedure voor intrekken en melden. Beoordelen of sprake is van een datalek. Al opgehaalde informatie kan niet worden teruggenomen. |
| Eerder verkregen informatie na verwijdering van een groepslid | Sleutelset wordt vernieuwd, zodat nieuwe informatie niet meer toegankelijk is. Eerdere berichten en items worden niet opnieuw versleuteld. | Afspraken over omgang met eerder ontvangen informatie, ook in geheimhoudingsafspraken. Beheer van uitstroom. |
| Verlies van apparaten en herstelzin | Apparaten kunnen via een ander apparaat worden ingetrokken; de share van het ingetrokken apparaat is daarna onbruikbaar. De herstelzin biedt herstel. Beveiligingsmeldingen bij nieuwe apparaatgoedkeuringen en vergrendelde pincodes. | Beleid voor bewaren van herstelzinnen, melden van verlies en accountresets. Twee apparaten per gebruiker waar mogelijk. Voorkomen dat te bewaren informatie alleen in één account staat. |
| Wachtwoordzin bij onbevoegden | Uitwisseling kan worden ingetrokken; een nieuwe transfer krijgt een nieuwe, door Databeamer gegenereerde zin. | Opnieuw verzenden via een nieuwe, veilige uitwisseling. Beoordelen of sprake is van een datalek. |
| Hash bij de malwarecontrole kan prijsgeven dat twee gebruikers hetzelfde bestand hebben | De server en de externe dienst ontvangen een hash, niet de inhoud. De uitkomst is ondersteunend, geen garantie. De hash wordt bij het bestandsrecord bewaard zolang het bestand bestaat en verdwijnt met het bestand. | Meenemen in de beoordeling van privacygevolgen. Een inhoudelijke malwarescan, als die vereist is, aan de eigen kant (endpoints) regelen. |
| Audittrail bevat zelf persoonsgegevens | Digitaal ondertekende, samenhangende registratie zonder inhoud. Toegang door medewerkers van Full Join alleen volgens least privilege en need-to-know, gelogd. De afnemer kan het eigen auditspoor inzien en exporteren. | Regelen wie auditgegevens mag inzien, voor welk doel en hoe lang bevindingen worden bewaard. |
| Sleutelverlies: gegevens zijn niet te herstellen | Databeamer kan sleutels niet namens gebruikers herstellen; dit is een ontwerpkeuze, geen beperking die via een achterdeur kan worden omzeild. | Beschikbaarheid en bewaarplicht borgen buiten het account, bijvoorbeeld via groepen met meerdere leden of een archiefexport. |
| Inbreuk aan de serverzijde | Een inbraak levert versleutelde inhoud op; metadata is de blootstelling. ISMS conform ISO/IEC 27001:2022, gescheiden omgevingen, uitrol alleen via de geautomatiseerde straat, kwetsbaarhedenbeheer en melding aan de afnemer binnen 24 uur. | Beveiligingscontact bij Databeamer actueel houden. Eigen meldprocedure afstemmen op de termijn van 24 uur. |
8. Rechten van betrokkenen #
Verzoeken van betrokkenen worden afgehandeld door de afnemer als verwerkingsverantwoordelijke. Ontvangt Full Join een verzoek dat persoonsgegevens betreft die zij namens een afnemer verwerkt, dan stelt zij de afnemer daarvan zonder onnodige vertraging op de hoogte, tenzij zij wettelijk verplicht is zelf te reageren (DPA §8.1).
| Recht | Hoe ondersteunt Databeamer de afnemer? |
|---|---|
| Inzage | De afnemer kan zelf de inhoud inzien waartoe de betrokken groepsleden toegang hebben, en de metadata en auditgegevens van de eigen organisatie en groepen inzien en exporteren. Full Join kan geen inzage geven in de plaintext van beschermde inhoud, en kan op verzoek de account- en metadata leveren die zij als verwerker over een betrokkene heeft (DPA §8.2). |
| Correctie | Gebruikers wijzigen hun eigen profielgegevens; inhoud wordt door de betrokken groepsleden gecorrigeerd. Full Join kan beschermde inhoud niet corrigeren. |
| Verwijdering | De afnemer verwijdert inhoud via de functies van Databeamer (prullenbak en definitief verwijderen, transfers verwijderen, requests laten verlopen, accounts verwijderen). Full Join kan beschermde inhoud niet inhoudelijk verwijderen. Auditgegevens blijven bestaan, geanonimiseerd waar mogelijk; back-ups volgen de rotatie uit paragraaf 5. |
| Beperking en bezwaar | De afnemer beperkt toegang door groepslidmaatschappen en rollen aan te passen of inhoud te verplaatsen; Full Join ondersteunt binnen de technische mogelijkheden. Tegen het verificatiekenmerk (waarvoor Full Join zelf verantwoordelijke is) kan de betrokkene bij Full Join bezwaar maken; het kenmerk wordt dan ingetrokken. |
| Overdraagbaarheid | Bestanden en de bijbehorende metadata kunnen als ontsleuteld archief worden geëxporteerd op het apparaat van de gebruiker; inzendingen van requests kunnen naar Drive worden geëxporteerd. Full Join kan beschermde inhoud niet zelf overdragen. |
| Doorlooptijd en contactpunt | Full Join informeert de afnemer zonder onnodige vertraging en biedt redelijke ondersteuning binnen wat technisch mogelijk is; een vaste responstijd is contractueel vast te leggen in een SLA. Contact: compliance@databeamer.io of het contactformulier. |
9. Datalekprocedure van Databeamer #
| Onderwerp | Beschrijving |
|---|---|
| Detectie en beoordeling | Meldingen komen binnen via geautomatiseerde alerts op de infrastructuur en de uitrolstraat, via eigen waarneming, of via security@databeamer.io (responsible disclosure). Ieder incident wordt bij melding geclassificeerd op prioriteit: P1 kritiek (eerste respons binnen 1 uur), P2 hoog (4 uur), P3 normaal (8 uur op een werkdag), P4 laag (volgende werkdag). Er wordt gemeld zonder te wachten op volledige zekerheid (DPA §9.1). |
| Melding aan de afnemer | Onverwijld en uiterlijk binnen 24 uur na ontdekking van een inbreuk die persoonsgegevens raakt die namens de afnemer worden verwerkt, aan het door de afnemer opgegeven beveiligingscontact, per e-mail en indien nodig telefonisch (DPA §9.2). De termijn is bewust korter dan 72 uur, zodat de afnemer de eigen meldplicht onder de AVG, NIS2 of de Cyberbeveiligingswet kan nakomen. |
| Inhoud van de melding | Aard van het incident, betrokken systemen of verwerkingen, categorieën persoonsgegevens, categorieën en waar mogelijk aantal betrokkenen, mogelijke gevolgen, genomen of voorgestelde maatregelen en een contactpunt. De melding wordt aangevuld zodra nieuwe informatie beschikbaar is (DPA §9.3). |
| Ondersteuning bij melding aan de toezichthouder | Full Join werkt redelijkerwijs mee aan de beoordeling van het incident en aan de verplichtingen van de afnemer richting de Autoriteit Persoonsgegevens en betrokkenen (DPA §9.5). Na een P1- of P2-incident volgt een evaluatie van oorzaak, detectie, herstel en preventie; de voor de afnemer relevante uitkomsten worden op verzoek gedeeld. |
| Eigen meldplicht van Full Join | Voor verwerkingen waarvoor Full Join zelf verantwoordelijke is: melding bij de Autoriteit Persoonsgegevens binnen 72 uur (DPA §9.4). |
| Rol van de audittrail bij onderzoek | De audittrail helpt om gebeurtenissen en wijzigingen achteraf te onderzoeken; voor gasttoegang met een code per e-mail staat iedere sleutelvrijgave erin. |
| Communicatie bij grootschalige verstoringen | Eerste publieke melding binnen dertig minuten na activering van het calamiteitenplan, daarna ten minste elk uur een update, en na herstel een bevestiging per e-mail met toelichting op de gevolgen voor de vertrouwelijkheid (Beveiligingsbeleid §11.5). |
De afnemer blijft zelf verantwoordelijk voor de beoordeling van meldplichten en wettelijke termijnen.
10. Beveiligingsmaatregelen in samenvatting #
Dit is een samenvatting. De technische uitwerking staat in Databeamer voor security officers en CISO's; de contractuele opsomming in Bijlage B van de DPA.
- Versleuteling aan de kant van de gebruiker; sleutelbeheer bij de gebruiker (2-van-3 secret sharing).
- Hybride post-quantumcryptografie voor sleuteluitwisseling (X25519 + ML-KEM-768) en digitale handtekeningen (Ed25519 + ML-DSA-65); inhoud versleuteld met ChaCha20-Poly1305.
- Afgeschermde toegang per groep via groepslidmaatschap en cryptografische sleutels; beheerrechten geven niet automatisch inzage in de inhoud van groepen.
- Authenticatie gescheiden van toegang tot versleutelde inhoud; verplichte multifactor-authenticatie; single sign-on via OpenID Connect en SAML 2.0.
- Audittrail met digitaal ondertekende gebeurtenissen, verzegeld in aaneengeschakelde epochs; inzage en export voor de organisatie.
- Hosting in de EU (Amsterdam), Europese leveranciers, geen Amerikaanse hyperscaler; back-ups binnen de EU.
- ISMS ingericht conform ISO/IEC 27001:2022; het externe certificeringstraject is doorlopen en de formele afronding wacht op de rapportage van de certificerende instelling (Beveiligingsbeleid §17.1; daar staat de actuele status). Voorbereiding op NEN 7510; inrichting met inachtneming van NEN 7512 en NEN 7513.
- Veilige ontwikkeling met verplichte code review, geautomatiseerde beveiligingscontroles in de uitrolstraat en kwetsbaarhedenbeheer; periodieke penetratietests door een onafhankelijke partij en een responsible-disclosureprocedure via security@databeamer.io. Beschikbare documentatie, certificeringen en assurance-informatie worden op redelijk verzoek verstrekt (DPA hoofdstuk 14).
11. Zelf invullen #
Deze onderdelen kan Databeamer niet aanleveren, omdat ze afhangen van het gebruik door de afnemer.
- Beschrijving van de verwerking: aard, omvang, context en doelen
- Categorieën betrokkenen en persoonsgegevens in de eigen toepassing
- Grondslag voor de verwerking
- Noodzaak en evenredigheid: kan het doel met minder gegevens of op een andere manier worden bereikt?
- Welke gasttoegangsopties zijn toegestaan voor welk type informatie
- Naamgevingsrichtlijn voor groepen, titels, labels en statussen
- Beheer van in-, door- en uitstroom en groepslidmaatschappen
- Bewaartermijnen en archivering in de eigen organisatie, en de instellingen per request, transfer en workspace
- Procedure voor verlies van apparaten, herstelzinnen en accountresets
- Datalekprocedure, het beveiligingscontact dat Databeamer gebruikt, en wie meldingen beoordeelt
- Eigen risicoafweging en restrisico
- Advies van de FG en besluit van de verwerkingsverantwoordelijke
12. Wanneer is een DPIA waarschijnlijk nodig? #
Deze toets hangt af van het gebruik, niet van de dienst. Een DPIA is verplicht wanneer een verwerking waarschijnlijk een hoog risico inhoudt voor de rechten en vrijheden van betrokkenen (artikel 35 AVG). Bij het gebruik van Databeamer is dat bijvoorbeeld aannemelijk wanneer bijzondere persoonsgegevens of gegevens over kwetsbare betrokkenen worden verwerkt, wanneer de verwerking grootschalig is, of wanneer meerdere gegevensbronnen worden gecombineerd. De Autoriteit Persoonsgegevens publiceert een lijst van verwerkingen waarvoor een DPIA altijd verplicht is; de Europese toezichthouders hanteren daarnaast negen criteria waarvan er doorgaans twee volstaan. De definitieve beoordeling ligt bij de afnemer en diens FG.
Over dit document #
Eigenaar is de CISO van Full Join B.V. Het document wordt ten minste jaarlijks beoordeeld, en daarnaast bij iedere wijziging van de DPA, het beveiligingsbeleid, het subverwerkersoverzicht of de technische architectuur. De datum van de laatste wijziging staat onderaan de pagina. Vragen of een DPIA samen doorlopen: contact of compliance@databeamer.io.
Bronnen #
- Juridische pagina: privacyverklaring, verwerkersovereenkomst, beveiligingsbeleid, algemene voorwaarden, cookiebeleid
- Compliancepagina: hosting, verwerkers, normen, maatregelen
- Technologie: cryptografische stack en wat de server wel en niet ziet
- Groepen, Organisaties, Auditlog
- Een transfer versturen, Herstelzin en shares, Bestanden uploaden en ordenen, Prullenbak en verwijderen, Instellingen