Privacybeleid

1. Inleiding

Normsky is een ISMS-platform (Information Security Management System) dat organisaties helpt bij het beheren van informatiebeveiliging, compliance en risicomanagement. Dit privacybeleid beschrijft hoe wij omgaan met persoonsgegevens die via dit platform worden verwerkt.

2. Welke gegevens verzamelen wij

Normsky verwerkt de volgende categorieën persoonsgegevens:

• Accountgegevens: gebruikersnaam, e-mailadres, naam en wachtwoord (versleuteld opgeslagen).
• Organisatiegegevens: naam, functie en afdeling binnen uw organisatie.
• Gebruiksgegevens: login-tijdstippen, IP-adres en sessie-informatie ten behoeve van beveiligingslogging en audit.
• Inhoudelijke gegevens: risico's, normen, auditbevindingen en andere door u ingevoerde ISMS-gegevens.

3. Doeleinden van verwerking

Wij verwerken uw gegevens voor de volgende doeleinden:

• Het bieden van toegang tot het ISMS-platform en uw persoonlijke dashboard.
• Het uitvoeren van twee-factor-authenticatie (2FA) voor accountbeveiliging.
• Het bijhouden van een auditlog voor compliance-doeleinden (ISO 27001, BIO 2.0, NIS2).
• Het versturen van beveiligingsmeldingen en systeemnotificaties.
• Het verbeteren van de werking en beveiliging van het platform.

4. Cookies

Normsky gebruikt uitsluitend functionele cookies en sessiecookies die noodzakelijk zijn voor het werken van het platform (sessie-authenticatie, CSRF-bescherming). Er worden geen tracking- of advertentiecookies geplaatst.

5. Delen met derden

Normsky deelt geen persoonsgegevens met derden, tenzij:

• Dit noodzakelijk is voor het uitvoeren van de dienst (bijvoorbeeld hosting-provider, gebonden aan een verwerkersovereenkomst).
• Dit wettelijk verplicht is (bijvoorbeeld op vordering van een toezichthouder).

Er vindt geen verkoop of marketing van gegevens plaats.

6. Beveiliging

Wij nemen passende technische en organisatorische maatregelen om uw gegevens te beschermen, waaronder:

• Versleuteling van wachtwoorden (hashing met salt).
• Twee-factor-authenticatie (TOTP) voor alle gebruikers.
• HTTPS/TLS voor alle communicatie.
• Regelmatige beveiligingsaudits en kwetsbaarheidsanalyses.
• Beperkte toegang tot gegevens op basis van het need-to-know-principe.

7. Uw rechten (AVG)

Op grond van de Algemene Verordening Gegevensbescherming (AVG) heeft u de volgende rechten:

• Inzage: u kunt opvragen welke persoonsgegevens wij van u verwerken.
• Rectificatie: u kunt onjuiste gegevens laten corrigeren.
• Wissen: u kunt verzoeken om verwijdering van uw gegevens.
• Beperking: u kunt verzoeken om beperking van de verwerking.
• Overdraagbaarheid: u kunt uw gegevens in een gangbaar formaat ontvangen.
• Bezwaar: u kunt bezwaar maken tegen de verwerking.

Voor het uitoefenen van uw rechten kunt u contact opnemen via onderstaand adres.

8. Bewaartermijnen

Persoonsgegevens worden bewaard zolang uw account actief is. Na verwijdering van uw account worden persoonsgegevens binnen 30 dagen gewist, met uitzondering van auditlogs die wettelijk verplicht bewaard moeten worden (maximaal 7 jaar).

9. Contact

Voor vragen over dit privacybeleid of het uitoefenen van uw rechten kunt u contact opnemen met de functionaris gegevensbescherming: