Trust Center

In het kort

Certificeringen & compliance

Wij zijn ISO/IEC 27001:2022-gecertificeerd voor ons informatiebeveiligingsmanagementsysteem.

Interne audits en managementbeoordelingen vinden jaarlijks plaats, tussen externe surveillance-audits in.

Regelgevend kader

Wij beschikken niet over een SOC 2-rapport, FedRAMP-autorisatie of PCI QSA-status.

Dataresidentie

Engagementgegevens van klanten die door hackurity.io B.V. worden verwerkt, worden opgeslagen en verwerkt binnen de Europese Unie, in AWS-regio eu-central-1 (Frankfurt, Duitsland). Hackurity repliceert, back-upt of failovert engagementgegevens van klanten niet buiten de Europese Unie.

Wanneer de moederentiteit van een subverwerker buiten de EU is gevestigd, berusten doorgiften op Standaardcontractbepalingen (EU 2021/914) en, voor gecertificeerde Amerikaanse leveranciers, het EU-VS Data Privacy Framework.

Over de CLOUD Act. AWS heeft zijn hoofdkantoor in de VS. Onze gegevens blijven contractueel en technisch geborgd in Frankfurt, versleuteling in rust geldt overal via door de klant beheerde KMS-sleutels, en wij informeren de betrokken klant over elk verzoek om overheidstoegang, tenzij dit wettelijk verboden is.

Subverwerkers

Een subverwerker is een derde partij die namens ons persoonsgegevens van klanten verwerkt. Onder art. 28(2) AVG zijn wij verplicht u vooraf te informeren voordat wij een nieuwe subverwerker inschakelen.

AI-verwerking. Klantgegevens worden door bovenstaande AI-subverwerkers verwerkt met uitsluiting van gebruik voor modeltraining. Wij hebben een rechtstreeks contract dat deze verwerking dekt: ingediende gegevens worden uitsluitend gebruikt ten behoeve van Hackurity, zijn versleuteld tijdens overdracht en in rust, worden nooit gedeeld met derden, worden nooit gebruikt om modellen te trainen, en worden niet door mensen beoordeeld.

Kennisgeving van wijzigingen. Wij geven 30 dagen van tevoren kennis voordat een nieuwe subverwerker begint met verwerken. Klanten kunnen bezwaar maken op redelijke gegevensbeschermingsgronden, en waar een bezwaar niet kan worden opgelost, de betreffende dienst zonder boete beëindigen. Om u aan te melden voor de meldingslijst, mail hello@hackurity.io.

Gegevensverwerking & bewaartermijnen

Offensief beveiligingswerk levert materiaal op dat gevaarlijker is dan de systemen die het beschrijft. Een afgerond penetratietestrapport is een werkende handleiding om de klant te compromitteren.

Classificatie

Bewaartermijn

Verwijdering vindt plaats via srm, cryptografische vernietiging, of een gelijkwaardige meervoudige overschrijving, en wordt gelogd met datum, analist, methode en verificatie. Een verwijderingscertificaat is op verzoek beschikbaar. Klanten kunnen te allen tijde om eerdere verwijdering verzoeken.

Beveiligingspraktijken

Privacy & AVG

Uw rechten onder de artikelen 15 tot en met 21 - inzage, rectificatie, verwijdering, beperking, overdraagbaarheid, bezwaar. Dien een verzoek in bij gdpr@hackurity.io. Wij verifiëren uw identiteit en reageren vervolgens binnen 30 dagen, te verlengen met 60 dagen voor complexe verzoeken onder art. 12(3). Kosteloos.

Klachten kunt u bij ons indienen, en bij de Autoriteit Persoonsgegevens (autoriteitpersoonsgegevens.nl).

Een verwerkersovereenkomst conform art. 28 wordt verstrekt bij het aangaan van het contract of op verzoek, met SCC's waar doorgiften van toepassing zijn.

Volledige privacyverklaring: Privacybeleid.

Verantwoord melden van kwetsbaarheden

Offensieve beveiliging is ons vak. Wij horen liever van u over een fout in onze systemen dan van een klant.

Meld via security@hackurity.io. Bevestiging binnen 2 werkdagen. Ons machineleesbare beleid is gepubliceerd op /.well-known/security.txt.

Vrijwaring ('safe harbor'). Onderzoek dat te goeder trouw wordt uitgevoerd onder dit beleid is toegestaan. Wij zullen geen civiele procedure starten of u aangeven bij de politie voor activiteiten die dit beleid volgen, en wanneer een derde tegen u optreedt vanwege conform onderzoek, zullen wij dat kenbaar maken. Onze autorisatie geldt voor onze eigen systemen en kan niet worden uitgebreid naar een klantomgeving.

Regels. Stop bij een proof of concept. Gebruik uw eigen testaccounts. Krijg geen toegang tot gegevens van een andere partij, voer geen denial-of-service uit, en ga niet verder na het verkrijgen van toegang. Een melding vergezeld van een betalingseis wordt behandeld als afpersing.

De openbaarmakingstermijn is 90 dagen, in overleg te verlengen. Naamsvermelding op verzoek. Voor bevindingen in onze klantgerichte portalen en platformen wordt een geldelijke beloning aangeboden. Bevindingen in onze honeypots komen niet in aanmerking voor een beloning.

Incidentrespons

Vermoede blootstelling van uw gegevens: mail security@hackurity.io met een onderwerpregel die begint met INCIDENT.

Als verwerker informeren wij u; als verwerkingsverantwoordelijke informeert u uw toezichthoudende autoriteit binnen 72 uur (art. 33 AVG). Meldingen vermelden de aard van het datalek, de categorieën en de geschatte omvang van de betrokken gegevens, de waarschijnlijke gevolgen, de genomen maatregelen en een contactpunt. Is het volledige beeld nog niet beschikbaar, dan sturen wij binnen de termijn wat wij weten en volgen wij dit later aan.

Een evaluatie na afloop van het incident wordt binnen 10 werkdagen na afsluiting voltooid, met corrigerende maatregelen bijgehouden in het ISMS-register.

Bedrijfscontinuïteit

Milieu

Onze voetafdruk zit in cloudcompute en de werkwijze van ons personeel. Infrastructuur draait in AWS eu-central-1. Amazon rapporteert dat 100% van het stroomverbruik binnen zijn bedrijfsvoering wordt gedekt door hernieuwbare energie, met als doel netto-nul CO2-uitstoot in 2040. (Bron: sustainability.aboutamazon.com)

Onze bredere toezeggingen staan beschreven in ons Milieubeleid.

Compliancedocumenten

Openbaar: deze pagina, ons Threat Intelligence Data Handling Policy, het beleid voor verantwoord melden van kwetsbaarheden, security.txt, en de lijst met subverwerkers.

Onder NDA: ISO 27001 Verklaring van Toepasselijkheid, samenvatting surveillance-audit, attestatie van een externe penetratietest, bewijs van bedrijfscontinuïteit en hersteltests, Transfer Impact Assessments, verzekeringscertificaten.

Vraag deze op bij hello@hackurity.io, onder vermelding van de aanvragende entiteit, de benodigde documenten en het doel. Levering binnen 5 werkdagen na ondertekening van de NDA.

Wij vullen beveiligingsvragenlijsten van klanten in. De meeste antwoorden staan al op deze pagina, dus verwijzen naar het relevante onderdeel is meestal sneller dan een spreadsheet.

Contact

Juridisch & beleid

• Privacybeleid: hoe wij persoonsgegevens verzamelen, gebruiken en beschermen.
• Algemene Voorwaarden: de voorwaarden voor het gebruik van ons platform en onze diensten.
• Milieubeleid: onze inzet voor duurzame, verantwoorde bedrijfsvoering.