Beveiliging en privacy van je enquêtes

Waar je data staat

Alles staat in de Europese Unie, bij Nederlandse partners. Hosting en database draaien bij TransIP in Nederland en e-mail loopt via Lettermint (Nederland). Er gaat geen data naar landen buiten de EER en we gebruiken geen trackers van derden. De volledige lijst met wie ons helpen en waar je data staat, vind je op de subverwerkerspagina.

Zes maatregelen die we waarmaken

Strikte scheiding tussen organisaties

Vraply is multi-tenant: veel organisaties delen hetzelfde platform, maar niemand kan bij de gegevens van een ander. Die scheiding zit op meerdere lagen ingebouwd en wordt bij elke wijziging automatisch getest. Zo blijft "organisatie A ziet nooit data van B" een garantie, geen belofte.

Zo min mogelijk gegevens

We verzamelen bewust weinig. Invullers hoeven geen account te maken en we bewaren geen IP-adressen. Stel je gevoelige vragen (bijvoorbeeld aan medewerkers of leerlingen), dan kun je een anonimiteitsdrempel instellen: resultaten, rapport en export verschijnen dan pas vanaf een minimum aantal reacties. Je kunt ook een bewaartermijn instellen, zodat oude reacties automatisch worden opgeschoond.

De AVG: wie is waarvoor verantwoordelijk

Jij bent verwerkingsverantwoordelijke, Vraply is verwerker. Je regelt de verwerkersovereenkomst self-service in je portaal en downloadt hem als PDF. Daarin staan onze afspraken over instructies, bewaartermijnen, subverwerkers, doorgifte binnen de EER en beveiliging. In onze privacyverklaring lees je in gewone taal hoe we met gegevens omgaan.

Datalekken

Merken we een datalek dat jou raakt, dan informeren we je zonder onredelijke vertraging en uiterlijk binnen 72 uur na ontdekking, met de informatie die je nodig hebt voor een eventuele melding aan de Autoriteit Persoonsgegevens.

Rechten van betrokkenen

Wil een invuller of teamlid inzage of verwijdering? Het meeste regel je zelf in het portaal (exporteren, verwijderen, retentie). Waar dat niet lukt, helpen we je.

Back-ups en beschikbaarheid

We maken een back-up vóór elke databasewijziging. Fouten worden gemonitord in de EU (Sentry, regio Frankfurt, zonder persoonsgegevens van respondenten) en de beschikbaarheid bewaken we met externe uptime-monitoring.

Waar we nog aan werken

Eerlijk is eerlijk: we blijven verbeteren. Op de planning staan een versleutelde back-up buiten onze hostingpartner en een onafhankelijke beveiligingstest. We houden deze pagina bij zodra er iets verandert.

Kwetsbaarheid gevonden? Vertel het ons

Vind je een kwetsbaarheid? Meld het ons alsjeblieft via het adres in ons security.txt-bestand. We reageren snel en waarderen verantwoorde meldingen enorm.

Veelgestelde vragen over beveiliging

Waar staat mijn data bij Vraply?

Al je data staat in de Europese Unie, bij Nederlandse partners: TransIP voor hosting en database, Lettermint voor e-mail. Er gaat niets naar landen buiten de EER en er zijn geen trackers van derden.

Zijn de antwoorden van invullers anoniem?

Ja. Van respondenten slaan we geen IP-adres of identificatie op, alleen het antwoord zelf. Bij gevoelige vragen kun je bovendien een anonimiteitsdrempel instellen, zodat uitsplitsingen pas verschijnen vanaf een minimum aantal reacties.

Kan een andere organisatie bij mijn enquêtes?

Nee. Elke organisatie ziet uitsluitend de eigen gegevens. Die strikte scheiding tussen organisaties wordt automatisch getest bij elke wijziging, dus ze kan niet per ongeluk wegvallen.

Gebruikt Vraply versleuteling?

Ja. Al het verkeer loopt over HTTPS met moderne TLS en HSTS, en gevoelige velden slaan we versleuteld op. Wachtwoorden worden nooit leesbaar bewaard.

Sluit Vraply een verwerkersovereenkomst?

Ja. Je regelt de verwerkersovereenkomst (AVG) self-service in je portaal en downloadt hem als PDF. Jij bent verwerkingsverantwoordelijke, Vraply is verwerker.

Wat gebeurt er bij een datalek?

We informeren je zonder onredelijke vertraging, en uiterlijk binnen 72 uur na ontdekking, over een datalek dat jou raakt, met de informatie die je nodig hebt voor een eventuele melding aan de Autoriteit Persoonsgegevens.