Veiligheid en privacy

Alleen leesrechten

Uw beheerder kent de AzureScan-app drie ingebouwde Azure-rollen toe, en niets meer:

• Reader: de beschrijving van uw resources lezen
• Cost Management Reader: uw kosten lezen
• Reservations Reader (optioneel): uw reserveringen lezen

Met die rollen kan AzureScan niets wijzigen, aanmaken of verwijderen. Aanbevelingen voert u zelf uit, of uw IT-partner.

Wat we lezen, en wat nooit

• We lezen: namen, groottes, regio, tags en status van resources, uw kosten, en prestatiecijfers zoals CPU- en geheugengebruik.
• We lezen nooit: bestanden, databanken, mailboxen, de inhoud van schijven, wachtwoorden of sleutels.

Uw gegevens blijven in België

Het portaal en de databank draaien in Microsoft Azure in België (regio Belgium Central). Back-ups blijven in dezelfde regio; er gaan geen kopieën naar andere landen. De formulieren op deze website verwerken we in onze eigen toepassing, zonder externe formulierdienst.

Een afgeschermd platform in containers

AzureScan draait niet op servers die we zelf onderhouden. Het portaal en de nachtelijke scanner zijn containers op Azure Container Apps, een platform dat Microsoft beheert en bijwerkt.

• Elk onderdeel draait in een eigen container, op een minimaal Linux-image, als gewone gebruiker zonder beheerdersrechten (root).
• Het portaal is alleen bereikbaar via HTTPS. Het platform controleert de Microsoft-aanmelding nog voor een verzoek onze toepassing bereikt.
• Onze container-images staan in ons eigen, privé containerregister, zonder beheerdersaccount. De containers halen ze op met een managed identity.
• De hele omgeving is beschreven in code (infrastructure as code). Test en productie zijn zo identiek opgezet, en elke wijziging is vastgelegd.
• Productie draait precies de container die in de testomgeving door de tests kwam: die wordt doorgezet, nooit opnieuw gebouwd, en pas na goedkeuring.

Wie uw gegevens ziet

• Uw eigen organisatie, aangemeld met uw eigen Microsoft-werkaccounts. Meervoudige verificatie (MFA) volgt het beleid van uw organisatie.
• Uw MSP, als u via een MSP werkt: alleen de mensen die de MSP zelf in zijn team zet, en alleen voor zijn eigen klanten.
• AzureScan, om u te begeleiden.
• Elke organisatie ziet alleen haar eigen gegevens. Dat controleren automatische tests bij elke nieuwe versie.

Hoe lang we iets bewaren

• Zolang u klant bent: uw scans, bevindingen en het logboek van wat er in het portaal gebeurde.
• Na het einde van de overeenkomst: bevindingen, rapporten en logboek meteen weg; de eerste scan (bewijs voor de besparingsgarantie) 30 dagen later, en niet vóór de garantietermijn verstreken is.
• Back-ups van de databank: 7 dagen. Technische logboeken: 30 dagen.

Toegang intrekken in één stap

Verwijder de AzureScan-app in Microsoft Entra ID, of haal de rollen weg, en AzureScan kan meteen niets meer lezen. Daar hebt u ons niet voor nodig.

AVG: de rollen in de keten

• U bent verwerkingsverantwoordelijke voor de gegevens in uw Azure-omgeving.
• Werkt u via een MSP, dan is uw MSP verwerker en AzureScan subverwerker; anders is AzureScan uw verwerker.
• Onze enige subverwerker is Microsoft (Azure en Microsoft 365), binnen de EU.
• Verwerkersovereenkomst: op aanvraag, ook in een versie die een MSP kan doorgeven aan zijn eigen klanten.

Hoe we het beveiligen

• Aanmelden via Microsoft Entra ID: we bewaren geen wachtwoorden.
• Alle verbindingen versleuteld (TLS), ook naar de databank. Gegevens versleuteld opgeslagen.
• Geheimen in Azure Key Vault, en managed identities in plaats van wachtwoorden tussen onze onderdelen.
• Een logboek van wie wat goedkeurde of wijzigde in het portaal.

Waar we nog aan werken

We zijn open over wat beter kan. Op dit moment werken we aan een afgeschermde netwerkverbinding tussen het portaal en de databank, die nu met een wachtwoord en versleuteling beveiligd is.

Als er iets misgaat

Merken we een beveiligingsincident dat uw gegevens raakt, dan verwittigen we u (en uw MSP) zonder onnodige vertraging en uiterlijk binnen 48 uur, met wat we weten en wat we doen. Zo kunt u de wettelijke termijn van 72 uur halen.

Documenten en vragen

Wilt u de verwerkersovereenkomst of ons document over veiligheid en AVG voor uw eigen beoordeling? Vraag het aan via bart@bpollet.eu. Meer details staan in onze privacyverklaring.