Beveiligingsbeleid van de Safety Software (SaaS)-applicatie
Beveiligingsbeleid voor de Safety Software (SaaS)-applicatie
Beveiligingsbeleid van de Safety Software-applicatie (SaaS)
ID: SE-2026-V2
Update: 2026-03-05
1. Doel en reikwijdte
Dit Beveiligingsbeleid bepaalt de regels voor de bescherming van informatie en gegevens die worden verwerkt binnen de Safety Software-applicatie die wordt aangeboden volgens het Software as a Service (SaaS)-model.
Het document heeft betrekking op de beveiliging van gebruikers die de applicatie in de Safety Software-dienst gebruiken en vormt een aanvulling op de Algemene Voorwaarden en het Privacybeleid.
Het beleid heeft een informatief karakter en beschrijft de basis technische en organisatorische maatregelen die worden toegepast door Safety Software Sp. z o.o., ul. Półłanki 80, 30-740 Kraków, Polen (hierna: „Beheerder”).
2. Verantwoordelijkheidsmodel
Het systeem werkt volgens een model van gedeelde verantwoordelijkheid:
Beheerder (Safety Software) is verantwoordelijk voor de beveiliging van de applicatiecode, inlog-, autorisatie- en sessiemechanismen, gegevensbescherming op applicatielaag, het maken van back-ups en het reageren op beveiligingsincidenten.
Leveranciers van infrastructuur en ondersteunende diensten zijn verantwoordelijk voor de beveiliging van elementen die binnen de reikwijdte van de door hen geleverde diensten vallen.
Klant is verantwoordelijk voor de beveiliging van zijn apparaten, wachtwoorden, gebruikersidentiteiten en het beheren van toegangen binnen zijn team.
3. Regels voor applicatiebeveiliging
Gegevensoverdracht vindt uitsluitend plaats met gebruik van TLS-versleuteling.
Gebruikerssessies worden beveiligd met cookies met de attributen HttpOnly, Secure (voor versleutelde verbindingen) en SameSite. Na authenticatie vindt rotatie van de sessie-id plaats.
Voor sessies worden limieten voor inactiviteit en maximale duur toegepast.
Verzoeken die de toestand van het systeem wijzigen, worden beveiligd met CSRF-tokens die aan de serverzijde worden geverifieerd.
De applicatie hanteert een restrictief content security policy, inclusief mechanismen die het uitvoeren van niet-geautoriseerde scripts beperken en standaard browserbeveiligingsheaders.
Er worden mechanismen toegepast die misbruik beperken, waaronder rate limiting en bescherming tegen brute-force inlogpogingen.
Elke operatie wordt uitgevoerd in de context van de gebruiker en de organisatie; niet-geautoriseerde toegang wordt geblokkeerd.
4. Versleuteling en gegevensbescherming
Wachtwoorden van gebruikers worden opgeslagen met gebruik van het bcrypt-algoritme.
Geselecteerde gevoelige gegevens die in de database worden opgeslagen, worden beschermd met gebruik van een envelope-encryptiemodel. Cryptografische sleutels worden afzonderlijk beheerd in een extern sleutelbeheersysteem.
Waar dit gerechtvaardigd is, worden mechanismen toegepast die de blootstelling van gegevens beperken met behoud van zoek- of identificatiefuncties, zonder dat het noodzakelijk is volledige waarden in leesbare vorm op te slaan.
5. Back-up en herstel (BCP/DR)
Wij hanteren een gelaagde aanpak voor back-ups: lokale kopieën voor snel herstel en kopieën die buiten de primaire omgeving worden opgeslagen.
Kopieën die buiten de primaire omgeving worden opgeslagen omvatten incrementeel uitgevoerde omgevingsimages. Deze zijn versleuteld, worden regelmatig gevalideerd en vallen onder hersteltests.
De database wordt beveiligd met applicatieconsistentie-back-ups. Daarnaast worden lokale database-dumps onderhouden ter ondersteuning van snel herstel.
De integriteit van de back-ups wordt geverifieerd met controlemechanismen, waaronder checksums.
Het back-upproces is geautomatiseerd, wordt dagelijks uitgevoerd en valt onder monitoring van het slagen en falen van taken.
Er worden regelmatig tests voor gegevensherstel uitgevoerd, die ten minste het herstellen van geselecteerde bestanden omvatten.
6. Monitoring en alerts
Het systeem registreert geselecteerde beveiligingsgebeurtenissen en administratieve handelingen, met name die welke verband houden met authenticatie, toegangspogingen en het functioneren van kritieke processen.
Er worden monitoringsmechanismen en automatische alerts toegepast bij het falen van taken, kritieke fouten en gebeurtenissen die kunnen wijzen op misbruik of een beveiligingsincident.
Toegang tot logs en operationele informatie is beperkt tot bevoegde personen.
7. Infrastructuur en instandhouding van beveiliging
Administratieve toegang is beperkt tot bevoegde personen en beveiligd met sterke authenticatiemechanismen, waaronder authenticatie met sleutels.
Direct inloggen op een geprivilegieerde account is uitgeschakeld of beperkt overeenkomstig het principe van minimale privileges.
Er worden mechanismen toegepast voor verkeersfiltering, bescherming tegen brute-force toegangspogingen en monitoring van infrastructuurgebeurtenissen.
Beveiligingsupdates worden regelmatig doorgevoerd.
E-maildiensten die worden gebruikt voor de werking van het systeem zijn beveiligd met versleuteling van de transmissie en mechanismen die misbruik beperken.
8. Leveranciers en integraties
Voor zover het systeem gebruikmaakt van externe diensten of ondersteunende integraties, houdt de keuze van oplossingen rekening met gegevensbeveiliging, het minimalisatiebeginsel en controle over de reikwijdte van de doorgegeven informatie.
Communicatie met externe diensten vindt plaats met gebruik van versleutelde transmissie.
9. Incidentmelding
Meldingen met betrekking tot de beveiliging van de applicatie of vermoedens van incidenten dienen te worden gericht aan het adres:
office@safetysoftware.eu
Onderwerp van het bericht: SECURITY
Meldingen worden geanalyseerd overeenkomstig de interne incidentafhandelingsprocedure.
10. Naleving en rechtsmacht
Beveiligingsmaatregelen worden ontworpen en onderhouden met inachtneming van de toepasselijke wettelijke bepalingen, waaronder de vereisten van de AVG, en erkende praktijken voor informatiebeveiliging.
Het toepasselijke recht is het Poolse recht.
In geval van verschillen tussen taalversies is de Poolse versie beslissend.
11. Inwerkingtreding
Deze versie van het Veiligheidsbeleid geldt vanaf 2026-03-05.
De actuele versie van het document wordt gepubliceerd in de Safety Software-service.
Verwerkingsverantwoordelijke en eigenaar van het systeem:
Safety Software Sp. z o.o.
ul. Półłanki 80
30-740 Kraków, Polen
E-mail: office@safetysoftware.eu
Wijzigingslog
Update: 2026-03-05
gelaagde back-ups en het proces voor gegevensherstel (BCP/DR) verduidelijkt
de beschrijving van gegevensversleuteling aangevuld met het envelopmodel en extern sleutelbeheer
de beschrijving van applicatiebeveiliging uitgebreid met sessies, CSRF, CSP en anti-misbruikmechanismen
een sectie monitoring en alerts toegevoegd en de sectie integratie met externe diensten vereenvoudigd