Beveiliging & Compliance

Data Locatie

• Alle data wordt verwerkt binnen Europese datacenters, tenzij anders overeengekomen met de klant
• On-premise optie beschikbaar voor strikte eisen
• ISO 27001 gecertificeerde cloud providers binnen de EU

Data Encryptie

• TLS 1.3 — alle data transfers
• AES-256 — alle opgeslagen data
• Encrypted backups met separate key management

Data Retentie

• Projectdata: duur project + 7 jaar (wettelijke bewaarplicht)
• Logs: 90 dagen (security logs: 1 jaar)
• Backups: 30 dagen rolling backup

Verwerkingsrollen

• Brightworld treedt op als verwerker conform AVG artikel 28
• Standaard verwerkersovereenkomst (DPA) beschikbaar
• Alle subverwerkers hebben een DPA en voldoen aan AVG

Privacy by Design

• Data minimalisatie: alleen noodzakelijke data
• Pseudonimisering waar mogelijk
• Toegangscontrole op need-to-know basis
• Automatische verwijdering van tijdelijke data

Betrokkenenrechten

• Recht op inzage, rectificatie en verwijdering
• Recht op dataportabiliteit
• Reactietijd: binnen 30 dagen

LLM Provider Selectie

• EU-gevestigd of met adequaatheid besluit
• Geen training op klantdata (zero data retention)
• SOC 2 Type II of ISO 27001 certificering

Prompt Injection & Beveiliging

• Input sanitization en validatie
• Output filtering voor gevoelige data
• Rate limiting en misbruikpreventie

Model Governance

• Documentatie van gebruikte modellen en versies
• Bewaking en beperking van vooringenomenheid
• Human-in-the-loop voor kritieke beslissingen

• Multi-factor authenticatie (MFA) verplicht voor alle toegang
• Role-based access control (RBAC) — least privilege principe
• Single Sign-On (SSO) — beschikbaar via SAML/OAuth
• Automatische timeout na inactiviteit
• Alle toegang wordt gelogd en gemonitord

Security Incident Response

• 24/7 bewaking en waarschuwingen
• Onmiddellijke isolatie van getroffen systemen
• Klanten worden binnen 24 uur geïnformeerd bij data breach
• Herstel en preventie van herhaling

Business Continuity

• Uptime SLA: 99.5% (optioneel 99.9% premium)
• Dagelijkse backups met 30 dagen retentie
• Disaster recovery: RTO 4h, RPO 1h
• Multi-AZ deployment voor kritieke systemen

Huidige Compliance

• AVG/GDPR — volledig conform, DPA beschikbaar
• NIS2 — in voorbereiding
• AI Act — monitoring en voorbereiding

Certificeringen (roadmap)

• ISO 27001 (Information Security Management) — Q3 2026
• SOC 2 Type II — Q4 2026
• ISO 27701 (Privacy Information Management) — 2027

• Due diligence op security posture
• Contractuele security en privacy verplichtingen
• Regelmatige audits en reviews
• Lijst van subverwerkers beschikbaar op aanvraag

• Jaarlijkse penetratietesten door externe security firma
• Continue geautomatiseerde kwetsbaarheidsscans
• Security review bij elke release
• Automatische check op kwetsbaarheden in dependencies

• Achtergrondcontroles voor alle medewerkers met data toegang
• Verplichte security awareness training
• NDA voor alle medewerkers en contractors
• Kwartaalse review van toegangsrechten