Dit beleid beschrijft hoe Cortena omgaat met gevoelige gegevens en persoonsgegevens (PII).
1. Doel
Zorgen dat gevoelige gegevens binnen het hele bedrijf veilig en consistent worden verwerkt.
2. Reikwijdte
Van toepassing op alle teamleden, opdrachtnemers, systemen en processen van Cortena die mogelijk klantgegevens verwerken.
3. Definities
PII: informatie waarmee een persoon kan worden geïdentificeerd, bijvoorbeeld een naam of e-mailadres.
Gevoelige gegevens: financiële documenten, factuurgegevens, verwijzingen naar banktransacties, inloggegevens en andere vertrouwelijke bedrijfsgegevens.
4. Beleidsvereisten
4.1 Minimaliseren
Verzamel en verwerk alleen wat nodig is om de dienst te leveren.
4.2 Beschermen
- Versleutel gegevens tijdens verzending en in opslag
- Beperk toegang via RBAC en het principe van minimale toegangsrechten
- Vereis veilige interne toegangsmethoden voor systemen met bevoorrechte toegang, bijvoorbeeld een VPN. Zie Toegangsbeheer en Beveiliging.
4.3 Onveilige verwerking voorkomen
- Gevoelige gegevens niet delen via openbare kanalen
- Klantgegevens niet kopiëren naar tools zonder beheer
- Geheimen niet opslaan in code, configuratie of logs
4.4 Alleen goedgekeurde subverwerkers
Gevoelige gegevens mogen alleen worden verwerkt door goedgekeurde subverwerkers die contractueel zijn geregeld. Zie Subverwerkers.
5. Uitzonderingen
Voor uitzonderingen is expliciete goedkeuring van de CTO of CEO vereist. Ze moeten worden gedocumenteerd en aan de lijst met subverwerkers worden toegevoegd.