Beveiliging & compliance

Eerlijk over onze status. Wij zijn een jonge, gespecialiseerde leverancier. We claimen geen certificaten die we (nog) niet hebben. Waar we "conform de principes van" of "in voorbereiding" schrijven, bedoelen we dat ook zo. Onderbouwing en documentatie leveren we op verzoek aan.

Uw data blijft van u

Dit is ons belangrijkste uitgangspunt. De inspectie- en rapportagegegevens die u in ECR gebruikt, staan:

• in uw eigen omgeving — in Microsoft Dataverse binnen de tenant van uw dienst, en
• op de iPad van de inspecteur alleen de eigen zaken, versleuteld en zonder iCloud-back-up, zodat er ook zonder bereik gewerkt kan worden.

Uw dossiers komen niet op onze servers te staan. Bij Aurora Innovations komen alleen: een rapportage, kort, om haar te lezen en te scoren (die wordt niet bewaard); ondersteuningsmeldingen; en maandtotalen voor de facturatie, zonder bedrijfsnamen. U bent en blijft eigenaar van uw data.

Hosting & datalocatie

Alle verwerking bij Aurora Innovations vindt plaats binnen de EU/EER:

• de analysedienst, de ondersteuningsmeldingen en de technische logboeken draaien bij Microsoft Azure, regio North Europe (Ierland); de technische logboeken bevatten geen inhoud van rapportages en worden na 30 dagen verwijderd;
• de webcockpit is een statische website bij Microsoft Azure, regio West Europe (Nederland), en slaat zelf geen gegevens op;
• de publieke website en de besloten demo-omgeving draaien bij Hostnet. De besloten omgeving is uitsluitend een demonstratie en bevat geen echte inspectiedata.

Transport & toegang

• Al het verkeer verloopt versleuteld via HTTPS/TLS. Er worden geen persoonsgegevens in URL's geplaatst.
• De iPad-app en de webcockpit melden zich aan met het werkaccount van uw dienst (Microsoft Entra ID, met uw eigen MFA-beleid). De app heeft alleen gedelegeerde rechten: zij kan nooit meer dan de aangemelde medewerker.
• De besloten demo-omgeving is afgeschermd met authenticatie via een eenmalige e-mailcode en een toegelaten-lijst.
• Geen trackingcookies of externe analytics.

Informatiebeveiliging (BIO)

ECR is ontwikkeld aansluitend op de Baseline Informatiebeveiliging Overheid (BIO), gebaseerd op ISO/IEC 27002. Wij zijn niet ISO 27001-gecertificeerd. Vóór de productiefase laten we een onafhankelijke beveiligingstest (pentest) uitvoeren. We werken met dataminimalisatie, toegangsbeheer en het principe van "veilig standaard".

AVG, verwerkersovereenkomst & DPIA

Waar wij namens uw dienst persoonsgegevens verwerken (beperkte server-side verwerkingen), doen we dat als verwerker. Er ligt een verwerkersovereenkomst klaar en we leveren de input (gegevensstromen, doeleinden, maatregelen) die u nodig heeft voor uw DPIA. Zie ook onze privacyverklaring.

Datalekken & incidenten

Constateren wij een beveiligingsincident of datalek dat uw gegevens raakt, dan melden wij dit onverwijld bij uw organisatie (als verwerkingsverantwoordelijke), met de informatie die u nodig heeft om aan uw eigen meldplichten te voldoen. Beveiligingskwesties kunt u melden via info@ecr-software.nl.

Open standaarden & overdraagbaarheid

ECR werkt met open exportformaten (CSV/PDF) en is gericht op koppelbaarheid via open API's, aansluitend op Common Ground/ZGW-standaarden waar relevant. Zo blijft u leverancieronafhankelijk en voorkomen we vendor lock-in. De productielijn loopt via het Microsoft Power Platform (Power Apps + Dataverse).

Digitale toegankelijkheid

ECR wordt ontwikkeld met oog voor digitale toegankelijkheid conform EN 301 549 / WCAG 2.1 niveau AA, zodat de tool bruikbaar is voor iedereen en aansluit op de inkoopeisen van de overheid.

Verantwoord gebruik van bronnen

ECR benut authentieke bronnen: RVO-rapportages, EP-Online, BAG en Kadaster. We houden ons aan de geldende gebruiks- en licentievoorwaarden van deze bronnen.

Inkoop: GIBIT & NIS2

Wij zijn bekend met en bereid te contracteren onder de GIBIT-inkoopvoorwaarden en de gemeentelijke ICT-kwaliteitsnormen. We houden rekening met de aankomende Cyberbeveiligingswet (NIS2) en de ketenverplichtingen die daaruit voor leveranciers voortvloeien.