Je complete compliance-dossier

Waar je data staat, en waarom je geen TIA nodig hebt

Vraply draait volledig binnen de Europese Economische Ruimte. Hosting en database staan bij TransIP in Nederland, systeem-e-mail loopt via Lettermint (Nederland), betalingen via Mollie (EU) en foutmonitoring via Sentry in de EU-regio Frankfurt. Er gaat geen persoonsgegeven naar een land buiten de EER.

Dat scheelt je werk. Omdat er geen doorgifte naar een derde land plaatsvindt, hoef je geen Transfer Impact Assessment (TIA) uit te voeren en zijn er geen standaardcontractbepalingen (SCC's) voor doorgifte nodig. Precies het soort vraag dat een inkoop- of privacyteam als eerste stelt, en bij Vraply is het antwoord kort: nee, niet nodig.

Onze certificeringsroute, eerlijk verteld

We doen geen loze beloftes. Vraply is nog niet ISO 27001-gecertificeerd, en dat zeggen we liever ronduit dan dat we het verhullen. Wél werken we volgens de maatregelen die daarbij horen, en die kun je vandaag al nakijken op de beveiligingspagina.

• AVG (GDPR): verwerkersrol vastgelegd, self-service verwerkersovereenkomst, dataminimalisatie en instelbare bewaartermijnen.
• WCAG-toegankelijkheid: de invulkant is toegankelijk gebouwd, als vaste discipline en niet als bijzaak.
• ISO 27001 als richtsnoer: beleid, toegangsbeheer, back-ups en een geteste scheiding per organisatie. Certificering is een doel op onze route, geen afvinkvakje dat we al claimen.
• Onafhankelijke beveiligingstest (pentest): staat op de planning. We werken deze pagina bij zodra er iets verandert.

Verwerkersovereenkomst (AVG, artikel 28)

Jij bent verwerkingsverantwoordelijke, Vraply is verwerker. Je legt de verwerkersovereenkomst self-service vast in je portaal (met versie, datum en wie akkoord gaf) en downloadt hem daarna als PDF voor je administratie. Wil je hem eerst laten nakijken door een collega of jurist? Download het model, zonder account.

Subverwerkers

We werken bewust met een klein aantal partijen, allemaal binnen de EU en waar het kan gewoon Nederlands. Met elk van hen is een verwerkersovereenkomst gesloten.

De actuele lijst met toelichting staat op de subverwerkerspagina. Wijzigt de lijst? Dan melden we dat vooraf aan alle organisaties.

Beveiliging in het kort

• Versleutelde verbindingen (HTTPS met moderne TLS en HSTS); gevoelige velden versleuteld opgeslagen.
• Strikte scheiding per organisatie, automatisch getest bij elke wijziging.
• Sterke wachtwoorden, rem op inlogpogingen en tweefactorauthenticatie (2FA) als optie.
• Automatische back-up vóór elke databasewijziging en wekelijkse controle op kwetsbaarheden.
• Kwaliteitspoort: niets gaat live zonder groene tests en veiligheidscontroles.

De volledige uitleg met alle maatregelen lees je op de beveiligingspagina.

Datalek en rechten van betrokkenen

Merken we een datalek dat jou raakt, dan informeren we je zonder onredelijke vertraging en uiterlijk binnen 72 uur na ontdekking, met de informatie die je nodig hebt voor een eventuele melding aan de Autoriteit Persoonsgegevens. Wil een invuller of teamlid inzage of verwijdering? Het meeste regel je zelf in het portaal (exporteren, verwijderen, retentie); waar dat niet lukt, helpen we je. In onze privacyverklaring lees je in gewone taal hoe we met gegevens omgaan.

Verantwoord melden

Vind je een kwetsbaarheid? Meld het ons alsjeblieft. De contactgegevens staan machineleesbaar in /.well-known/security.txt. We reageren snel en waarderen verantwoorde meldingen enorm. Benieuwd of alles draait? Dat zie je live op de statuspagina.

Nog een vraag voor je inkoopteam?

Verwerkt Vraply gegevens buiten de EU?

Nee. Alle gegevens blijven binnen de Europese Economische Ruimte, bij Nederlandse partners (TransIP, Lettermint) en Mollie in de EU. Er is geen doorgifte naar landen buiten de EER, dus je hoeft geen Transfer Impact Assessment (TIA) uit te voeren.

Is Vraply ISO 27001-gecertificeerd?

Nog niet, en dat zeggen we eerlijk. We werken volgens de maatregelen die daarbij horen (beleid, toegangsbeheer, back-ups, geteste scheiding per organisatie) en een onafhankelijke beveiligingstest staat op de planning. Onze certificeringsroute houden we op deze pagina bij.

Kan ik een verwerkersovereenkomst afsluiten?

Ja. Je regelt de verwerkersovereenkomst (AVG, artikel 28) self-service in je portaal en downloadt hem als PDF. Wil je hem eerst lezen? Download het model als PDF, zonder account.

Wie zijn de subverwerkers van Vraply?

TransIP (hosting en database, Nederland), Lettermint (systeem-e-mail, Nederland), Mollie (betalen, EU) en Sentry (foutmonitoring, EU-regio Frankfurt). We noemen ze met naam en locatie, en een wijziging melden we vooraf aan alle organisaties.

Hoe meld ik een beveiligingsprobleem?

Verantwoord melden kan via ons beveiligingsadres. De coördinaten staan machineleesbaar in /.well-known/security.txt en we reageren zo snel mogelijk.

Hoe snel horen we van een datalek?

Merken we een datalek dat jou raakt, dan informeren we je zonder onredelijke vertraging en uiterlijk binnen 72 uur na ontdekking, met de informatie die je nodig hebt voor een melding aan de Autoriteit Persoonsgegevens.

Iets niet gevonden? Neem gerust contact op, dan denken we mee.