Beveiliging en compliance die je kunt verifiëren

Ons product legt alle gebruikersactiviteit vast, zodat gebruikspatronen eenvoudig kunnen worden geaudit.

We hebben diverse maatregelen genomen om ervoor te zorgen dat je gegevens veilig en beschermd blijven. Dit zijn enkele van de beveiligingsfuncties en het beleid dat we hanteren: - Multi-factor authenticatie (MFA) - Wachtwoordbeleid - Klantspecifiek beleid voor gegevensbewaring

We gebruiken webhooks voor naadloze integraties met diverse diensten van derden, waardoor ons platform nog veelzijdiger wordt. Webhooks vormen een essentieel onderdeel van onze integratiestrategie. Ze maken realtime communicatie mogelijk tussen onze SaaS-applicatie en externe diensten, waarbij gegevens in beide richtingen kunnen stromen. Dit betekent dat wanneer bepaalde gebeurtenissen binnen ons platform plaatsvinden, zoals gebruikersacties of updates, we automatisch acties in externe diensten kunnen starten, of andersom.

Als onderdeel van onze inzet om waardevolle bedrijfsmiddelen te beschermen en het hoogste beveiligingsniveau binnen onze organisatie te waarborgen, hanteren we een verplichte tweefactorauthenticatie (2FA) voor alle medewerkersaccounts. Alle medewerkers zijn verplicht 2FA (indien mogelijk) in te schakelen en te gebruiken bij toegang tot onze interne systemen, applicaties en diensten. Deze extra beveiligingslaag is cruciaal om het risico op ongeautoriseerde toegang te beperken, gevoelige informatie te beschermen en de integriteit van onze digitale infrastructuur te bewaken.

Hardware en diensten: Kubernetes-cluster: We draaien gecontaineriseerde applicaties met DigitalOcean Kubernetes (DOKS), een beheerde dienst waarmee we eenvoudig Kubernetes-clusters kunnen draaien en beheren. Beheerde databases: We gebruiken DigitalOcean Managed Databases met ondersteuning voor PostgreSQL en Redis, zodat wij ons op onze applicaties kunnen richten terwijl DigitalOcean het databasebeheer uitvoert. Objectopslag: Voor het hosten van assets en bestanden gebruiken we Amazon S3 van AWS, een schaalbare objectopslagdienst die bekendstaat om gegevensarchivering, back-up en herstel, en meer. Privénetwerken: Op DigitalOcean gebruiken we de VPC-dienst voor veilige, besloten netwerken, wat helpt om onze resources en ons verkeer te isoleren en onze gegevens verder te beveiligen. Overige kenmerken: Terraform-provider: DigitalOcean biedt een volwassen Terraform-provider, waarmee we onze infrastructuur efficiënt kunnen beheren. Datacenters in Centraal-Europa: Met DigitalOcean hebben we toegang tot datacenters in Frankfurt en Amsterdam, gelegen in Centraal-Europa. Hoge beschikbaarheid/gedistribueerde database: Onze opzet ondersteunt hoge beschikbaarheid met de Managed Databases van DigitalOcean. Deze kunnen worden uitgerold met standby-nodes in verschillende datacenters voor failover.

We gebruiken rolgebaseerde toegangscontrole (RBAC) om de beveiliging van onze systemen te versterken en je gegevens te beschermen. Hoewel we RBAC op veel plekken hebben geïntegreerd, is het belangrijk te weten dat de volledige invoering een doorlopend proces is. Je kunt erop vertrouwen dat we andere robuuste beveiligingsmaatregelen hebben om je informatie te beschermen. Ons team werkt actief aan het uitbreiden van RBAC naar alle systemen voor een allesomvattende bescherming.

We bieden een service level agreement voor ons product. Meer informatie is op aanvraag beschikbaar.

Ons product ondersteunt teambeheer, zodat beheerders de behoeften en rechten van gebruikers kunnen beheren.

De volgende systemen bevatten gebruikersrechten die moeten worden beoordeeld: - Het netwerk van Pescheck (Unifi, de specifieke leden worden door de CTO in Unifi geregistreerd en uitgeschreven.) - Het dashboard (De specifieke leden worden door de CTO in Microsoft Entra ID (voorheen Azure AD) geregistreerd en uitgeschreven) - Sharepoint (De specifieke leden worden door de CTO in Microsoft Entra ID (voorheen Azure AD) geregistreerd en uitgeschreven.) - 1 Password (Wachtwoordsysteem, de specifieke leden worden door de CTO in 1Password geregistreerd en uitgeschreven.)* - Hardware (Automatisch gesynchroniseerd met Microsoft Entra ID, de specifieke leden worden door de CTO in Microsoft Entra ID geregistreerd en uitgeschreven.).

We zorgen ervoor dat gegevens op meerdere locaties een back-up hebben en binnen onze hersteltijddoelstelling kunnen worden teruggehaald als er een storing optreedt. De primaire datacenters bevinden zich in Amsterdam, Nederland / Frankfurt, Duitsland (back-up) / Parijs, Frankrijk (back-up).

We bieden de mogelijkheid om klantgegevens op verzoek te verwijderen en zorgen ervoor dat de gegevens binnen een vaste termijn van twee jaar worden gewist. Hardware: Gegevens worden verwijderd wanneer de hardware niet meer functioneert, of wanneer de hardware niet meer functioneert voor al onze interne gebruikers binnen Pescheck. Dan verwijdert de CTO van het bedrijf de harde schijven uit de laptops. Na verwijdering uit het apparaat wist hij ze volledig met de volgende tools: Scrub Wipe Shred DD We volgen dit artikel voor het overschrijven van harde schijven volgens de nieuwe standaarden: https://www.blancco.com/resources/blog-many-overwriting-rounds-required-erase-hard-disk/ Hoe vaak moet je een harde schijf dus overschrijven voor volledige gegevenswissing? Het antwoord: één keer is genoeg. Zo weten we zeker dat er geen herstelbare gegevens meer overblijven. De harde schijf wordt daarna gecontroleerd op eventueel resterende gegevens.

We hebben ervoor gekozen om onze gevoelige gegevens op te slaan in beveiligde S3-buckets van Amazon Web Services (AWS). We hebben gekozen voor AES 256-bit-versleuteling, een van de veiligste versleutelingsmethoden die beschikbaar zijn. Onze gegevens zijn verspreid over twee AWS-regio's voor redundantie en beschikbaarheid. Een deel van onze gegevens slaan we op in Frankfurt, Duitsland, en een ander deel in Parijs, Frankrijk. Deze locaties zijn strategisch gekozen om te voldoen aan regionale en compliance-eisen, binnen de Europese Unie. Voor extra bescherming tegen datalekken hebben we AES 256-bit-versleuteling aan de serverzijde ingeschakeld. Dit betekent dat de gegevens tijdens transport en in rust altijd versleuteld zijn en alleen door geautoriseerd personeel kunnen worden gelezen.

Al onze communicatie onderweg, extern of intern, verloopt via beveiligde en versleutelde kanalen.

We hanteren fysieke en operationele beveiligingsmaatregelen, waaronder cameratoezicht bij belangrijke toegangspunten, gecontroleerde toegang voor bezoekers en derden, en beperkte toegangsprocedures voor medewerkers en externe personen. De toegang tot het kantoor wordt beheerd via beveiligde systemen, waarbij medewerkers verantwoordelijk zijn voor de sluitprocedures binnen en buiten werktijden. Bescherming van apparatuur wordt bereikt door minimale opslag van waardevolle bedrijfsmiddelen op locatie, aangezien de meeste systemen cloudgebaseerd zijn met servers die extern in Europa worden gehost. Overgebleven hardware, zoals laptops, wordt veilig opgeslagen, versleuteld en ofwel op locatie opgeborgen, ofwel door medewerkers mee naar huis genomen om het risico op verlies of diefstal te verkleinen.

Ter ondersteuning van deze inzet voor beveiliging hebben we een responsible disclosure-beleid opgesteld. Dit beleid nodigt securityonderzoekers, ethische hackers en betrokken gebruikers uit om ontdekte beveiligingslekken of kwetsbaarheden rechtstreeks bij ons te melden. We moedigen iedereen die dergelijke problemen tegenkomt aan de richtlijnen in ons responsible disclosure-beleid te volgen. Hieronder vind je de informatie over responsible disclosure en een contactpunt:

We gebruiken botdetectie om onze webapplicatie te beschermen tegen geautomatiseerde inlogaanvallen.

Op aanvraag beschikbaar.

We beheren alle geheimen (secrets) met Hashicorp Vault.

We organiseren jaarlijks een security awareness-training voor al onze medewerkers.

We geven prioriteit aan beveiliging en codekwaliteit gedurende de gehele Software Development Life Cycle (SDLC). We nemen diverse maatregelen om robuuste en betrouwbare software te leveren, vrij van kwetsbaarheden. Deze praktijken omvatten: - Branchbescherming op de hoofdbranches. - Kwetsbaarheidsscans in de CI/CD-pipeline. - Peer review bij grote wijzigingen. - Geautomatiseerd testen. - Tools voor code-analyse. - Richtlijnen voor veilig programmeren. - Regelmatige securitytraining. - Penetratietesten. - Veilige bibliotheken van derden.

Deze pagina geeft realtime updates over de status van onze diensten en over incidenten of onderhoudswerkzaamheden die van invloed kunnen zijn op je ervaring. Als je je abonneert op onze statuspagina, ontvang je direct meldingen en waarschuwingen via je voorkeurskanalen, zodat je op de hoogte blijft van mogelijke verstoringen of wijzigingen. (Referentie: IT Security Policy).

Ons anti-DDoS-beleid omvat geavanceerde maatregelen om ons netwerk en onze diensten te beschermen tegen gedistribueerde denial-of-service-aanvallen. Deze maatregelen zorgen voor continue beschikbaarheid en prestaties, zelfs tijdens een aanval. (Referentie: IT Security Policy).

Ons beleid voor Business Continuity en Disaster Recovery (BC/DR) zorgt ervoor dat bedrijfsprocessen soepel doorlopen en gegevens snel worden hersteld bij een calamiteit. Deze geïntegreerde aanpak beperkt verstoringen en behoudt de servicekwaliteit. (Referentie: Backup and Restore Policy, IT Security Policy).

Ons beleid voor cloud workload protection zorgt ervoor dat workloads en applicaties in cloudomgevingen veilig zijn. Dit omvat continue monitoring, dreigingsdetectie en geautomatiseerde responsmogelijkheden. (Referentie: IT Security Policy).

Onze datacenters bieden een veilige, betrouwbare en schaalbare infrastructuur voor onze IT-activiteiten. Ze zijn uitgerust met geavanceerde beveiligingsmaatregelen, continue monitoring en redundante systemen voor optimale prestaties en beschikbaarheid. (Referentie: Configuration Management Policy, IT Security Policy).

Ons beleid voor infrastructuurbeveiliging omvat maatregelen om onze IT-infrastructuur te beschermen tegen uiteenlopende dreigingen en zo de continue beschikbaarheid en integriteit van onze systemen en gegevens te waarborgen. Dit omvat firewalls, intrusion detection en regelmatige securityaudits. (Referentie: IT Security Policy).

We gebruiken het Network Time Protocol (NTP) voor nauwkeurige tijdsynchronisatie op al onze systemen en apparaten. Dit is cruciaal voor logging, audits en de coördinatie van processen binnen onze IT-omgeving. (Referentie: IT Security Policy).

We hebben een gescheiden productieomgeving ingericht die uit drie fasen bestaat: Test, Staging en Productie. Deze opzet is bedoeld om onze diensten soepel en efficiënt te leveren met behoud van de hoogste kwaliteitsnormen. Testomgeving: De testomgeving is de eerste fase van ons productieproces. Hier voert ons ontwikkelteam grondige tests, debugging en kwaliteitsborging uit op nieuwe functies, updates en verbeteringen. In deze omgeving kunnen we problemen en inconsistenties signaleren en verhelpen voordat we verdergaan. Stagingomgeving: De stagingomgeving is een tussenfase tussen testen en de uiteindelijke uitrol naar de productieomgeving. Hier voeren we uitgebreide end-to-end-tests uit en controleren we de compatibiliteit en stabiliteit van de software op verschillende systemen, configuraties en datasets. Staging is een cruciale stap die ervoor zorgt dat alles werkt zoals verwacht voordat het live gaat. Productieomgeving: De productieomgeving is de eindbestemming waar onze diensten beschikbaar worden gesteld aan onze klanten en eindgebruikers. Deze omgeving is geoptimaliseerd voor prestaties, betrouwbaarheid en schaalbaarheid om realtime gebruikersinteracties en operationele eisen aan te kunnen. Ze wordt continu gemonitord en beheerd om het hoogste niveau van beschikbaarheid, beveiliging en algehele servicekwaliteit te waarborgen.

Ons DLP-beleid richt zich op het voorkomen van gegevensverlies via uitgebreide monitoring en versleutelingsstrategieën, zoals beschreven in ons Cryptography Policy. Het omvat continue monitoring op afwijkingen en regelmatig testen om de gegevensbeveiliging te waarborgen. (Referentie: IT Security Policy, Cryptography Policy).

DNSSEC is ingeschakeld om de authenticiteit en integriteit van onze DNS-antwoorden te waarborgen. Dit versterkt de beveiliging van onze internetgerichte diensten door DNS-spoofing en gerelateerde aanvallen te voorkomen. (Referentie: IT Security Policy, Cryptography Policy).

Ons netwerk wordt beschermd door een firewall met een geïntegreerd Intrusion Prevention System (IPS). Deze combinatie zorgt voor continue monitoring en verdediging tegen ongeautoriseerde toegang en mogelijke beveiligingsdreigingen, en bewaart de integriteit en beschikbaarheid van onze netwerkdiensten. (Referentie: IT Security Policy, Network Security).

Ons IDS/IPS-beleid zorgt voor continue netwerkmonitoring en dreigingsbestrijding met geavanceerde technologieën voor intrusion detection en prevention. Dit sluit aan bij ons IT Security Policy om te beschermen tegen ongeautoriseerde toegang en datalekken. (Referentie: IT Security Policy).

Ons SIEM-beleid omvat realtime monitoring en analyse van securitygebeurtenissen om dreigingen snel te detecteren en erop te reageren. Het wordt ondersteund door ons IT Security Policy en onze Incident Evaluation Policies. (Referentie: IT Security Policy, Incident Evaluation Procedures).

Ons beleid voor spoofingbescherming omvat maatregelen als SPF, DKIM en DMARC om e-mailcommunicatie te beveiligen en phishing- en spoofingpogingen te voorkomen. (Referentie: IT Security Policy, Cryptography Policy).

Ons beleid voor verkeersfiltering zorgt ervoor dat alleen geautoriseerd verkeer toegang heeft tot onze netwerken, met firewalls en geavanceerde filtertechnieken om ongeautoriseerde toegang te voorkomen. (Referentie: IT Security Policy, Network Security).

Ons VPC-beleid zorgt voor een veilige en geïsoleerde cloudomgeving voor onze applicaties, met robuuste versleuteling en monitoring om privacy en beveiliging van gegevens te waarborgen. (Referentie: IT Security Policy, Cryptography Policy).

Ons beleid voor draadloze beveiliging omvat WPA2/PSK-versleuteling en netwerksegmentatie om draadloze communicatie te beschermen en ongeautoriseerde toegang te voorkomen. (Referentie: IT Security Policy, Network Security).

Ons zero trust-beleid schrijft strikte verificatie en toegangscontroles voor, zodat alle gebruikers en apparaten continu worden geauthenticeerd en geautoriseerd. (Referentie: IT Security Policy, Access Control).

Bij Pescheck gebruiken we Snipe IT, een robuuste oplossing voor assetmanagement, om onze bedrijfsmiddelen gedurende hun hele levenscyclus te volgen, te monitoren en te beheren. Dit centrale platform geeft een compleet overzicht van bedrijfsmiddelen, waaronder mobiele apparaten, laptops, servers en netwerkapparatuur, en maakt weloverwogen beslissingen over toewijzing, onderhoud en vervanging mogelijk voor optimaal gebruik van middelen. (Referentie: Configuration Management Policy).

Ons beleid voor e-mailbescherming omvat maatregelen als SPF, DKIM en DMARC om e-mailcommunicatie te beveiligen, phishing- en spoofingpogingen te voorkomen en ervoor te zorgen dat uitgaand e-mailverkeer wordt versleuteld met opportunistic TLS. (Referentie: IT Security Policy, Cryptography Policy).

Ons jaarlijkse Security Awareness Training-programma behandelt IT-beveiliging, compliance/juridische zaken en fysieke beveiliging. Medewerkers leren over de nieuwste dreigingen, kwetsbaarheden en best practices, waaronder wachtwoordbeheer, veilig internetgebruik, het herkennen van phishingpogingen, e-mailbeveiliging, veilige omgang met gegevens, naleving van regelgeving, privacywetgeving en fysieke beveiligingsmaatregelen. Deze training zorgt ervoor dat medewerkers goed toegerust zijn om cyberdreigingen te beperken en gevoelige informatie te beschermen. (Referentie: IT Security Policy, Employee Training Guidelines).

Interne screening omvat controles zoals integriteitsverklaringen, ID-verificatie, internationale PEP-, sanctie- en watchlistcontroles, antecedentenonderzoek, analyse van online aanwezigheid, gegevenscontroles, verificatie van kwalificaties en diploma's, kredietchecks, referentiechecks van cv's en toestemmingsverklaringen. Deze maatregelen zorgen ervoor dat nieuwe medewerkers betrouwbaar zijn en voldoen aan onze beveiligingsnormen. (Referentie: HR Policy).

Ons proces voor beveiligingsincidentbeheer stuurt de identificatie, beoordeling, beperking en afhandeling van beveiligingsincidenten aan. Het beschrijft de stappen, rollen, verantwoordelijkheden en communicatiekanalen, bevordert verantwoording en beperkt de impact van beveiligingsgebeurtenissen op de bedrijfsvoering. (Referentie: IT Security Policy, Business Continuity Policy).

Pescheck voert elke drie maanden een risicobeoordeling uit conform ISO 27001:2022. Dit proces identificeert, analyseert en evalueert potentiële risico's voor ons informatiebeveiligingsmanagementsysteem (ISMS). Op basis van de beoordeling nemen we passende maatregelen om deze risico's te beperken en de beveiliging van je gegevens te waarborgen.

De beveiligingsmaatregelen voor de relaties van Pescheck met derden zijn vastgelegd in het Supplier Management Policy van Pescheck en worden gehandhaafd via goedkeuringsmaatregelen en toezicht. Externe partijen die een zakelijke relatie met Pescheck willen aangaan, waaronder maar niet beperkt tot aannemers, leveranciers, uitbestede dienstverleners of partners, worden vóór goedkeuring en onboarding beoordeeld op hun eigen securityniveau aan de hand van gangbare sectorframeworks voor de volwassenheid van effectieve beveiligingsmaatregelen. Compenserende maatregelen worden gedocumenteerd, gehandhaafd en gemonitord bij toegang tot gevoelige of strategische gegevens, en leveranciers worden bij elke contractverlenging opnieuw beoordeeld op wijzigingen in hun securityniveau.

Pescheck hanteert een uitgebreid bedrijfscontinuïteitsplan (BCP) om de continuïteit van kritieke bedrijfsfuncties te waarborgen en de impact van mogelijke verstoringen op onze activiteiten en klanten te beperken. Het BCP wordt regelmatig beoordeeld, getest en bijgewerkt, zodat het effectief blijft bij veranderende risico's en bedrijfseisen.

Pescheck verzorgt verplichte security awareness-training voor alle medewerkers. De training behandelt onderwerpen als informatiebeveiligingsbeleid, gegevensbescherming, veilige omgang met gevoelige informatie en het herkennen en melden van verdachte activiteiten. Medewerkers moeten de training afronden en een toets halen om te laten zien dat ze de behandelde onderwerpen begrijpen.

De CAB beoordeelt en keurt niet-standaard wijzigingen (features) en spoedwijzigingen (kritieke bugfixes) goed vóór de ontwikkeling. Goedgekeurde wijzigingen worden beschreven in de dashboardrepository en gevolgd via Agile Kanban (To Do, Doing, Testing, Done). Stakeholders testen wijzigingen in een stagingomgeving vóór uitrol naar productie. Spoed-CAB-overleggen kunnen kritieke fixes versnellen indien nodig, met minimaal risico en afstemming op beveiligingsnormen zoals ISO 27001 en de AVG.

Het doel van het beveiligingsbeleid is om de doelstellingen van Pescheck op het gebied van Security & Compliancy voor haar stakeholders vast te leggen en alle informatiemiddelen binnen de organisatie te beschermen tegen dreigingen, intern en extern, opzettelijk of onopzettelijk. Dit beveiligingsbeleid is van toepassing op alle medewerkers, leveranciers en aannemers die deel uitmaken van Pescheck.

Het toegangsbeleid is van toepassing op medewerkers die geautoriseerd zijn voor toegang tot de infrastructuur of faciliteiten van Pescheck. Hierbij geldt het volgende: - Toegangsrechten worden verleend op basis van het need-to-know-principe. - Het verstrekken en deactiveren van het gebruikersaccount volgt een vastgestelde procedure. - Het toekennen, aanpassen en intrekken van toegangsrechten volgt een vastgestelde procedure. De volgende systemen bevatten gebruikersrechten die moeten worden beoordeeld: - Het netwerk van Pescheck (Unifi, de specifieke leden worden door de CTO in Unifi geregistreerd en uitgeschreven.) - Het dashboard (De specifieke leden worden door de CTO in Microsoft Entra ID geregistreerd en uitgeschreven) - Sharepoint (De specifieke leden worden door de CTO in Microsoft Entra ID geregistreerd en uitgeschreven.) - 1 Password (Wachtwoordsysteem, de specifieke leden worden door de CTO in 1Password geregistreerd en uitgeschreven.)* - Hardware (Automatisch gesynchroniseerd met Azure AD, de specifieke leden worden door de CTO in Microsoft Entra ID geregistreerd en uitgeschreven.).

Ons loggingbeleid omvat gedetailleerde en beveiligde logging van kritieke gebeurtenissen op alle systemen en apparaten. De centrale en beveiligde logomgeving omvat logging voor capaciteitsbeheer, bugtracking, probleemoplossing en gebruiksstatistieken voor organisatie- en productontwikkeling. Deze omgeving is beveiligd conform het toegangsbeleid en gebruikers met toegang hebben alleen leesrechten. (Referentie: IT Security Policy)

Dit zijn de schriftelijke beleidsinstructies voor onze medewerkers over wachtwoordbeveiliging: - Elke medewerker gebruikt een persoonlijke inlognaam en een wachtwoord om de computer te beschermen. - Zorg voor een goede en sterke samenstelling van je wachtwoord: minimaal 8 tekens waarvan minimaal 2 cijfers, ook als het systeem dit technisch niet afdwingt. - Gebruik een wachtwoordmanager (1Password) om je wachtwoorden op te slaan. - 2FA moet worden ingeschakeld wanneer dit beschikbaar is in het systeem of de applicatie. - Geef je gebruikersnaam en wachtwoord NOOIT aan iemand anders, ook niet aan directe collega's.

We gebruiken LUKS en BitLocker om de gegevens op onze bedrijfslaptops te versleutelen, zodat de vertrouwelijkheid en veiligheid van gevoelige informatie op deze apparaten is gewaarborgd. (Referentie: IT Security Policy, Cryptography Policy).

Ons beleid voor DNS-filtering omvat het blokkeren van toegang tot bekende kwaadaardige websites en schadelijke online bronnen, waarmee we ons netwerk en onze gebruikers beschermen tegen mogelijke dreigingen. (Referentie: IT Security Policy, Network Security).

Onze EDR-oplossingen monitoren continu endpointactiviteiten om cyberdreigingen in realtime te detecteren, analyseren en erop te reageren. Zo worden mogelijke beveiligingsincidenten snel geïdentificeerd en beperkt. (Referentie: IT Security Policy, Anti-Malware Policy).

Apparaten worden waar mogelijk beheerd met een MDM-oplossing. Apparaten die niet via MDM worden beheerd, worden handmatig gecontroleerd op naleving van het beveiligingsbeleid. Notebooks en werkstations moeten een bijgewerkt besturingssysteem en een antivirusoplossing hebben. Beperkingen op software-installatie worden afgedwongen via Intune, met uitzonderingen die door de CTO worden goedgekeurd. IT-laptops zijn uitgezonderd vanwege dagelijkse operationele behoeften. Volledige schijfversleuteling is als fysieke beveiligingsmaatregel ingevoerd op alle mobiele apparaten. (Referentie: IT Security Policy, Configuration Management Policy).

Ons beleid voor dreigingsdetectie zet geavanceerde tools en technieken in om ons netwerk en onze systemen continu te monitoren op mogelijke beveiligingsdreigingen. Deze proactieve aanpak helpt bij vroegtijdige identificatie en beperking van dreigingen. (Referentie: IT Security Policy, Incident Evaluation Procedures).

We gebruiken verschillende soorten cookies op onze website om de gebruikerservaring te verbeteren: • Noodzakelijke cookies: Met deze cookies herkennen we je bij een volgend bezoek, zodat je voorkeuren behouden blijven. Je kunt deze cookies verwijderen via de instellingen van je browser. • Sessiecookies: Hiermee kunnen we je surfgedrag tijdens je bezoek volgen. Ze worden verwijderd zodra je je browser sluit. • Trackingcookies: Met jouw toestemming plaatsen we cookies die je voorkeuren en activiteiten volgen om advertenties af te stemmen op je interesses. • Google Analytics: We gebruiken deze dienst om inzicht te krijgen in het gebruik van de website. De verzamelde informatie is zoveel mogelijk geanonimiseerd en je IP-adres wordt niet doorgegeven. De informatie wordt opgeslagen op servers in de Verenigde Staten en valt onder de modelcontractbepalingen (Standard Contractual Clauses) van Google. Je rechten: Je hebt het recht om inzage, correctie of verwijdering te vragen van gegevens die via cookies zijn verzameld. Neem voor verzoeken of vragen over ons cookiebeleid contact met ons op via [email protected]. De cookielijst is beschikbaar op: https://pescheck.io/privacy-policy/

- Cv-gegevens: naam, adres, geslacht, e-mailadres, telefoonnummer, werkverleden, opleidingsverleden, kwalificaties, certificeringen en vaardigheden - Identiteitsgegevens: gegevens van identiteitskaart, paspoort of rijbewijs, MRZ-gegevens, BSN (indien van toepassing), paspoort-/ID-nummer, nationaliteit, paspoortnationaliteit, geboortedatum en -plaats en geldigheidsgegevens van het document - Adresverificatiegegevens: huidige en eerdere adresgegevens en ondersteunende documenten waarmee identiteit en woonplaats worden bevestigd - Gegevens over het recht om te werken: informatie uit visa, werkvergunningen of verblijfsvergunningen waarmee het wettelijk recht om te werken wordt bevestigd - VAR-gegevens: verificatie van verklaringen arbeidsrelatie (VAR) of gelijkwaardige documenten voor zelfstandigen/belastingregistratie - Strafblad-gegevens: verklaringen omtrent het gedrag, strafbladverklaringen en bijbehorende verificatiedocumenten - Werk- en opleidingsverleden: arbeidsverleden, functietitels, taken, dienstverbanden, opleidingsverleden, kwalificaties, diploma's, certificeringen, referenties en feedback van werkgevers of instellingen - Financiële gegevens: informatie over kredietwaardigheid, insolventie- en faillissementsregisters, schuldgerelateerde informatie en kredietscores die via derden zijn verkregen - Integriteitsgegevens: informatie over financiële integriteit, faillissementsverleden, ontslag- of schorsingsverleden, belangenconflicten, nevenfuncties, juistheid van cv-informatie, professioneel gedrag en strafrechtelijke veroordelingen of beschuldigingen waar dit is toegestaan - Online informatie: openbaar beschikbare informatie zoals socialemediaprofielen, nieuwsartikelen, websites, blogs, forums, professionele netwerken, watchlists en sanctielijsten - Beroepsregistratiegegevens: informatie over vergunningen, certificeringen, lidmaatschappen en registraties bij beroeps- of toezichthoudende organen - Aanvullende documenten: door de klant opgevraagde documenten zoals loonstroken, geheimhoudingsovereenkomsten, arbeidsovereenkomsten, certificaten of ander ondersteunend bewijs

We voeren gegevensbeschermingseffectbeoordelingen (DPIA's) uit voor projecten of verwerkingsactiviteiten waarbij persoonsgegevens betrokken zijn, om privacyrisico's te identificeren en te beperken en te voldoen aan de AVG.

De privacytraining voor medewerkers is bedoeld om ervoor te zorgen dat al onze teamleden het belang begrijpen van het beschermen van gevoelige informatie en het respecteren van je privacy. Deze training geeft onze medewerkers de kennis en vaardigheden om verantwoord en ethisch met je gegevens om te gaan. Belangrijke onderdelen van onze privacytraining voor medewerkers zijn: - Gegevensbescherming: Onze medewerkers leren het belang van gegevensbescherming en de cruciale rol die zij spelen bij het waarborgen van de vertrouwelijkheid en integriteit van je informatie. - Privacyregelgeving: We geven inzicht in de relevante privacyregelgeving en wetten die van invloed zijn op hoe we je gegevens behandelen en verwerken. Zo blijven onze werkwijzen in overeenstemming met wettelijke vereisten. - Ethische omgang met gegevens: Onze training legt de nadruk op ethische omgang met gegevens en bevordert een cultuur van respect voor je privacyrechten en gegevenseigendom. - Incidentmelding: We leren onze medewerkers de juiste procedures voor het melden van mogelijke privacy- of beveiligingsincidenten, zodat er snel actie wordt ondernomen en problemen worden opgelost. Door privacytraining voor medewerkers op te nemen in ons Security Awareness Training-programma bouwen we aan een team dat zich inzet voor de hoogste normen op het gebied van privacy en beveiliging.

Om onze activiteiten en je gegevens te beschermen, hebben we een cyberverzekering met wereldwijde dekking, exclusief de VS en Canada. Zo zijn we voorbereid op uiteenlopende cyberrisico's en kunnen we onze diensten bij incidenten effectief blijven leveren.