Privacyverklaring IT Compliant Scanner

Versie 1.1 — in werking getreden op 3 mei 2026

1. Wie is verantwoordelijk

IT-Compliant B.V. (hierna: "wij", "ons" of "onze") is bij gebruik van de IT-Compliant Scanner verwerkingsverantwoordelijke voor de persoonsgegevens van haar klanten, contactpersonen en gebruikers van het portaal.

Voor de scan-data afkomstig uit Microsoft 365- of Microsoft Entra ID-omgevingen van een klant treden wij op als verwerker in de zin van de Algemene Verordening Gegevensbescherming (AVG). De klant of de eigenaar van de tenant blijft voor die data de verwerkingsverantwoordelijke. De afspraken hierover zijn vastgelegd in een Verwerkersovereenkomst die als bijlage hoort bij de Algemene Voorwaarden.

Algemeen contact: info@it-compliant.nl. Specifieke privacy-vragen: privacy@it-compliant.nl. Bedrijfsgegevens zijn opgenomen in artikel 11.

2. Welke persoonsgegevens verwerken wij

Wij verwerken de volgende categorieën persoonsgegevens:

  • Account- en contactgegevens: naam, e-mailadres, telefoonnummer (optioneel), bedrijfsnaam, KvK-nummer (optioneel), bedrijfsdomein (optioneel).
  • Authenticatie-data: Microsoft Entra-object-id, user-principal-name, sessie-tokens (kortlevend, server-side opgeslagen, HttpOnly cookies).
  • Configuratie- en scan-data: compliance-status van Microsoft 365- of Entra ID-instellingen van de klant-tenant. Deze data kan indirect persoonsgegevens bevatten (bijvoorbeeld user-counts, MFA-status, gedeelde mailboxen, security-groepsleden).
  • Audit-log: wie heeft welke handeling wanneer in het portaal verricht — voor security en compliance-traceability.
  • Facturatiegegevens: aantal actieve klant-tenants per maand, factuuradres, contactpersoon facturatie, IBAN (via Mollie), KvK-nummer en btw-nummer.
  • Akkoord-bewijs op de Algemene Voorwaarden: versie van de voorwaarden, tijdstip van akkoord, IP-adres en User-Agent bij akkoord, identiteit van de Owner die akkoord gaf — uitsluitend voor juridisch bewijs.
  • Technische data: IP-adres, user-agent, request-logs voor beveiliging, foutdiagnose en misbruikdetectie.

3. Doelen en rechtsgrond

Wij verwerken persoonsgegevens voor de volgende doelen, op basis van de daarbij genoemde rechtsgrond uit artikel 6 AVG:

  • Uitvoering van de overeenkomst (art. 6 lid 1 onder b): account-aanmaak, scan-uitvoering, rapportage, facturatie, support.
  • Wettelijke verplichting (art. 6 lid 1 onder c): fiscale bewaarplicht voor facturen (7 jaar conform art. 52 AWR), meldplicht datalekken aan de Autoriteit Persoonsgegevens.
  • Gerechtvaardigd belang (art. 6 lid 1 onder f): beveiliging van de Dienst, fraudepreventie, audit-logging, anti-spam-rate-limits, productverbetering en analyses op geanonimiseerde data, juridisch bewijs van akkoord op de Algemene Voorwaarden. Wij maken hierbij steeds een afweging tegen het privacybelang van betrokkenen.
  • Toestemming (art. 6 lid 1 onder a): waar van toepassing en altijd intrekbaar (bijvoorbeeld opt-in voor productupdates per e-mail).

4. Subverwerkers en doorgifte

Voor de uitvoering van de Dienst maken wij gebruik van de onderstaande Subverwerkers. Met al deze partijen zijn verwerkersovereenkomsten afgesloten conform AVG-eisen. De actuele lijst is tevens opgenomen in Bijlage A van de Algemene Voorwaarden.

Subverwerker Doel Locatie
Microsoft Ireland Operations Ltd. (Azure App Service, Functions, Static Web Apps, Key Vault, Application Insights) Hosting van applicatie en infrastructuur West Europe (Amsterdam)
Microsoft Ireland Operations Ltd. (Microsoft Entra ID) Authenticatie via OAuth 2.0 / OpenID Connect EU
Microsoft Ireland Operations Ltd. (Azure Communication Services) Verzending transactionele e-mail EU Data Boundary
Supabase Inc. Persistente opslag van applicatiedata (PostgreSQL + Storage) EU Central (Frankfurt)
Mollie B.V. Verwerking van betalingen en SEPA-mandaten Nederland

Verwerking vindt in principe binnen de Europese Economische Ruimte (EER) plaats. Indien een Subverwerker noodgedwongen support of telemetrie buiten de EER uitvoert, is dit gedekt door de standaardcontractbepalingen (SCC) van de Europese Commissie en aanvullende technische maatregelen.

Wijzigingen in de lijst van Subverwerkers worden minimaal 30 dagen vooraf aangekondigd aan klanten via e-mail of via een banner in het MSP Dashboard.

5. Bewaartermijnen

  • Account-data van actieve klanten: zolang het account actief is, plus 90 dagen uitloopperiode na beëindiging.
  • Account-data van afgewezen MSP-aanvragen: 90 dagen na afwijzing, waarna het record wordt verwijderd en de bijbehorende audit-entries worden geanonimiseerd.
  • E-mail-verificatietokens: 24 uur (verlopen tokens worden automatisch opgeruimd).
  • Owner-activatie-tokens: 14 dagen.
  • Sessie-tokens: vervallen na 4 uur zonder activiteit en uiterlijk 24 uur na inloggen; in het MSP-portaal uiterlijk 8 uur na inloggen; revocatie binnen één request mogelijk. Bij het schorsen en bij het heractiveren van een partnerorganisatie worden alle sessies van haar medewerkers direct ingetrokken.
  • Vertrouwde apparaten (klant- en partnerportaal): 30 dagen nadat u "Vertrouw dit apparaat 30 dagen" aanvinkt; wij bewaren alleen een onleesbare afgeleide (hash) van het apparaatkenmerk, de datum en de browser-aanduiding. Ingetrokken bij wachtwoord- of e-mailwijziging, wachtwoordherstel, MFA-reset, deactiveren of heractiveren van een account, elke statuswijziging van een partneraccount, het schorsen of heractiveren van een partnerorganisatie en accountverwijdering; 7 dagen na verval verwijderd.
  • Audit-log security-events: minimaal 2 jaar voor security-incident-onderzoek; identificerende velden van afgewezen accounts worden na 90 dagen geanonimiseerd.
  • Scan-sessies, scanresultaten en rapporten: tot 24 maanden na afronding van de scan, daarna automatisch verwijderd door een dagelijkse retentie-taak.
  • Gedeactiveerde klant- en MSP-accounts: 12 maanden na deactivatie, waarna de persoonsgegevens definitief worden verwijderd met een vermelding in het verwijderingsregister.
  • Verlopen aanvragen (aanmeldingen, e-mailverificaties, consent-uitnodigingen, teamuitnodigingen, demo-aanvragen, e-mailwijzigingsverzoeken): 90 dagen na verlopen of afronding.
  • Bewijsopslag (compliance-bewijs): standaard in de muteerbare laag, die de scan-retentie hierboven volgt. Klanten kunnen kiezen voor een onveranderbare (WORM) bewaarlaag: het Controlled-profiel bewaart 3 jaar, het Regulated-profiel 7 jaar (voor klanten met een wettelijke bewaarplicht uit bijvoorbeeld NIS2 of DORA). In die profielen is fysieke verwijdering binnen de termijn technisch onmogelijk; een verwijderingsverzoek wordt dan gehonoreerd via crypto-shredding: de per-klant versleutelingssleutel wordt vernietigd, zodat de bewaarde gegevens functioneel ontoegankelijk worden. Vanaf dat moment is de sleutel niet meer opvraagbaar en kunnen wij de gegevens niet meer herleiden. Onze sleutelkluis houdt een vernietigde sleutel daarna nog 90 dagen vast voordat hij automatisch definitief wordt gewist; binnen die periode kan alleen een daartoe bevoegde beheerder de sleutel nog herstellen. Die bewaartermijn is een beveiligingsmaatregel van de kluis tegen onbedoeld of kwaadwillig sleutelverlies en is technisch niet te verkorten.
  • Facturen en facturatie-gegevens: 7 jaar (fiscale bewaarplicht, art. 52 AWR).
  • Akkoord op de Algemene Voorwaarden (incl. IP-adres en User-Agent): 7 jaar als bewijs van overeenkomst.
  • Technische logs (IP, user-agent, requests) zonder PII: 30 dagen, daarna geaggregeerd of verwijderd.
  • Application Insights operationele logs: minimaal 90 dagen, archief tot 2 jaar voor security-events.

6. Beveiligingsmaatregelen

Wij treffen passende technische en organisatorische maatregelen, waaronder:

  • authenticatie via Microsoft Entra ID (OAuth 2.0 / MSAL) met aanbeveling tot multi-factor-authenticatie aan klantzijde;
  • TLS 1.2 of hoger voor alle datatransport, met HSTS-preload op alle publieke domeinen;
  • opslag van geheimen en credentials in versleutelde Azure Key Vault (AES-256-GCM);
  • rate-limits, body-size-caps en anti-enumeration-maatregelen op publieke endpoints;
  • append-only audit-log met SECURITY DEFINER RPC voor PII-anonimisering bij purging;
  • multi-tenant-isolatie via row-level-security en perspective-middleware;
  • hash-only opslag van mailtokens (SHA-256) zodat plaintext nooit in de database staat;
  • bij wachtwoordherstel een controle of het nieuwe wachtwoord voorkomt in bekende datalekken (Have I Been Pwned); daarvoor verlaten alleen de eerste vijf tekens van een hash van het wachtwoord onze systemen, nooit het wachtwoord zelf of een persoonsgegeven;
  • periodieke security-reviews en pre-push code-review bij elke release;
  • geautomatiseerde dependency-scanning en patch-management.

Een uitgebreide beschrijving van onze technische en organisatorische maatregelen is beschikbaar in ons Security Overview-document, dat op verzoek beschikbaar wordt gesteld via security@it-compliant.nl.

7. Datalekken

Indien zich een datalek voordoet dat een hoog risico oplevert voor de rechten en vrijheden van betrokkenen, melden wij dit binnen 72 uur na ontdekking aan de Autoriteit Persoonsgegevens conform artikel 33 AVG. Voor zover wij optreden als verwerker informeren wij de betreffende verwerkingsverantwoordelijke binnen 24 uur, zoals vastgelegd in de Verwerkersovereenkomst. Betrokkenen worden geïnformeerd zodra de wet dat vereist.

Verantwoorde-disclosure-meldingen kunnen worden ingediend via security@it-compliant.nl.

8. Uw rechten als betrokkene

U heeft op grond van de AVG de volgende rechten:

  • Inzage in de persoonsgegevens die wij van u verwerken;
  • Correctie van onjuiste of onvolledige gegevens;
  • Verwijdering ("recht om vergeten te worden"), voor zover dit niet conflicteert met wettelijke bewaarplicht;
  • Beperking van de verwerking;
  • Overdraagbaarheid van uw gegevens in een gangbaar machine-leesbaar formaat (JSON of CSV);
  • Bezwaar tegen verwerking op basis van gerechtvaardigd belang;
  • Intrekken van toestemming waar de verwerking op toestemming is gebaseerd, zonder dat dit afbreuk doet aan de rechtmatigheid van eerdere verwerking.

Verzoeken kunt u indienen via privacy@it-compliant.nl. Wij reageren binnen 30 dagen, conform art. 12 AVG. U heeft tevens het recht om een klacht in te dienen bij de Autoriteit Persoonsgegevens (autoriteitpersoonsgegevens.nl).

9. Geautomatiseerde besluitvorming

Wij maken geen gebruik van geautomatiseerde besluitvorming of profiling met rechtsgevolgen voor betrokkenen in de zin van art. 22 AVG. Goedkeuring of afwijzing van MSP-aanvragen gebeurt door menselijke beoordeling van een medewerker van IT-Compliant.

10. Cookies

Wij gebruiken uitsluitend functionele cookies die noodzakelijk zijn voor het inloggen, het bewaren van de portal-sessie en, als u daarvoor kiest, het onthouden van een vertrouwd apparaat. Alle cookies hieronder zijn HttpOnly (niet leesbaar voor scripts op de pagina) en Secure (alleen verstuurd over HTTPS). Concreet:

  • itc_customer_session: uw sessie in het klantportaal. Bevat alleen een willekeurige code; de sessie zelf staat op onze server, die van die code alleen een onleesbare afgeleide (hash) bewaart. SameSite=Lax, alleen voor api.it-compliant.nl. Vervalt na 4 uur zonder activiteit en uiterlijk 24 uur na inloggen.
  • itc_partner_session: uw sessie in het partnerportaal. Zelfde opzet, instellingen en looptijd als de sessie in het klantportaal.
  • itc_referral_session: uw sessie in het referralportaal. Bevat alleen een willekeurige code, waarvan onze server alleen een hash bewaart. SameSite=Strict, alleen voor api.it-compliant.nl en alleen meegestuurd naar het pad /api/referral. Vervalt na 4 uur zonder activiteit en uiterlijk 24 uur na inloggen.
  • msp_session: uw sessie in het MSP-portaal. SameSite=Strict, alleen voor api.it-compliant.nl en alleen meegestuurd naar het pad /api/msp. Bevat een door ons ondertekend sessie-id en gebruikers-id, zonder naam of e-mailadres. Vervalt uiterlijk 8 uur na inloggen.
  • itc_td (klantportaal) en itc_partner_td (partnerportaal): alleen als u bij het inloggen "Vertrouw dit apparaat 30 dagen" aanvinkt. Zolang de cookie geldig is, vragen wij op dit apparaat niet opnieuw om uw MFA-code. Blijft 30 dagen bewaard, ook als u de browser sluit. Bevat een willekeurige code; onze server bewaart daarvan alleen een hash. SameSite=Lax, alleen voor api.it-compliant.nl. Wanneer wij het vertrouwen eerder intrekken, staat in sectie 5.
  • itc_dl_session: uw sessie nadat u een deeplink opent, een link waarmee u zonder eigen account een onderdeel van het dashboard bekijkt (bijvoorbeeld vanuit een ISMS-systeem). Bevat alleen een willekeurig sessie-id; de gegevens van de sessie staan op onze server. SameSite=Lax, alleen voor api.it-compliant.nl. Vervalt na 15 minuten zonder activiteit en uiterlijk 4 uur na het openen van de link.
  • demo_session: uw sessie in de demo-omgeving. Bevat alleen een willekeurige code, waarvan onze server alleen een hash bewaart. SameSite=Strict, alleen voor api.it-compliant.nl. Vervalt wanneer uw demo-toegang afloopt (zonder einddatum na een jaar).

Daarnaast zet ons hostingplatform (Microsoft Azure App Service) op api.it-compliant.nl en admin.it-compliant.nl de cookies ARRAffinity en ARRAffinitySameSite. Ze zorgen dat opeenvolgende verzoeken bij dezelfde server uitkomen, bevatten alleen een aanduiding van die server en geen persoonsgegevens, en vervallen wanneer u de browser sluit. Beide zijn HttpOnly en Secure; ARRAffinitySameSite heeft SameSite=None.

Wij gebruiken geen tracking-, advertising- of analytics-cookies en plaatsen geen cookies van derden.

11. Bedrijfsgegevens en contact

12. Wijzigingen

Wij kunnen deze privacyverklaring wijzigen, bijvoorbeeld bij wijzigingen in wet- en regelgeving, in onze dienstverlening of in onze Subverwerkers. Materiële wijzigingen worden minimaal 30 dagen vooraf gecommuniceerd via het primaire contactadres van Klant. Het versienummer en de inwerkingtredingsdatum bovenaan deze verklaring geven aan welke versie van toepassing is.

Zie ook de Algemene Voorwaarden en (voor MSP-klanten) de bijbehorende Verwerkersovereenkomst.