Security & compliance
De meeste leverancierspagina's over security zijn een rij logo's. Deze is een statuslijst, omdat u het gaat controleren en omdat ons eigen managementsysteem verbiedt een certificaat te claimen dat wij niet hebben.
Upward Technologies bouwt een geïntegreerd managementsysteem naar ISO/IEC 27001:2022 en ISO 9001:2015, bedoeld voor certificering door een instelling die geaccrediteerd is door de Raad voor Accreditatie. Dat werk loopt en er is vandaag geen certificaat. De AVG en de Uitvoeringswet AVG zijn geen ambitie maar een verplichting die nu geldt, en de Cyberbeveiligingswet (NIS2) staat daarnaast als directe wettelijke plicht waar geen certificaat bij hoort. Waar een klant onafhankelijke assurance verlangt, is het beoogde instrument een ISAE 3000- of ISAE 3402-rapport; een SOC 2-rapport laten wij alleen opstellen wanneer een Amerikaanse of Amerikaans eigendom zijnde klant daarom vraagt.
Managementsysteem voor informatiebeveiliging over managed hosting en de ontwikkelactiviteiten die daaraan raken. Scope, risicomethodiek, verklaring van toepasselijkheid en beleidsset zijn opgesteld; de certificeringsaudit heeft nog niet plaatsgevonden.
Kwaliteitsmanagementsysteem over ontwerp, ontwikkeling, levering en doorlopende ondersteuning. Eén systeem samen met het ISMS, geen parallelle documentenstapel.
Wij treden op als verwerker voor veel onderling onafhankelijke verwerkingsverantwoordelijken, en als verwerkingsverantwoordelijke voor onze eigen medewerkers-, leveranciers- en prospectgegevens. Artikel 28-overeenkomsten, een verwerkingsregister, een subverwerkersregister en een meldprocedure die u zonder onredelijke vertraging informeert conform artikel 33(2).
Een managed service- en hostingaanbieder van ons type valt waarschijnlijk binnen de reikwijdte als belangrijke entiteit. Bevestiging van onze classificatie en de bevoegde autoriteit ligt bij juridisch adviseur, en de stand wordt als open punt gevoerd in plaats van als afgedaan gepresenteerd.
Het beoogde instrument voor onafhankelijke assurance voor Nederlandse en Europese klanten, over beveiliging, beschikbaarheid, vertrouwelijkheid en privacy. Wordt opgedragen zodra de beheersmaatregelen een meethistorie hebben die het rapporteren waard is.
Voor zorgworkloads, inclusief de logging van toegang tot patiëntgegevens waar Nederlandse zorgklanten en hun auditors naar vragen.
Waar AI-functionaliteit onderdeel is van wat wij bouwen of beheren, horen rolbepaling (aanbieder of gebruiksverantwoordelijke) en een impactbeoordeling van het AI-systeem bij het proces, niet bij het opruimen achteraf.
Security & compliance
Wij zijn verwerker van andermans persoonsgegevens, op schaal, voor veel onderling onafhankelijke verwerkingsverantwoordelijken. Elke gehoste site kan persoonsgegevens van úw klanten bevatten. Artikel 28-overeenkomsten, subverwerkers en meldplicht zijn bij ons kernprocessen, geen juridische bijzaak.
Ja, en wij lezen hem. Waar een bepaling ons committeert aan iets dat wij niet kunnen aantonen, zeggen wij dat en stellen wij de versie voor die wij wél waarmaken. Dat is nuttiger voor u dan een handtekening die niet klopt.
Ja. Hostingpartijen, mail, monitoring en eventueel uitbestede support staan erin, en materiële wijzigingen worden gemeld zodat uw recht van bezwaar in stand blijft.
Persoons- en productiegegevens van u of uw klanten gaan niet naar AI-diensten van derden. Worden ze door AI verwerkt, dan uitsluitend met modellen die wij lokaal of zelf hosten, tenzij we schriftelijk iets anders afspreken. Overige vertrouwelijke informatie, waaronder broncode, mag alleen worden verwerkt via zakelijk afgenomen AI-diensten waarvan de voorwaarden regelen dat uw invoer niet wordt gebruikt om modellen te trainen, dat de aanbieder tot geheimhouding verplicht is en dat een beperkte bewaartermijn geldt. Gratis en consumentenversies gebruiken wij daarvoor niet. Zonder uw voorafgaande schriftelijke toestemming gebruiken wij uw gegevens niet om eigen of andermans modellen te trainen of te verbeteren. Welke AI-diensten van derden wij voor u gebruiken, houden wij bij; dat overzicht krijgt u op verzoek. Dit staat in artikel 10 van onze algemene voorwaarden, die op iedere overeenkomst van toepassing zijn.
U wordt zonder onredelijke vertraging geïnformeerd, met de inhoud die artikel 33 vereist, zodat uw eigen 72-uursklok richting de toezichthouder niet opgaat aan wachten op ons. Onder NIS2 loopt onze eigen meldtermijn apart, en beide zijn beoefend, niet theoretisch.
Dat is de juiste vraag, en het is de vraag waar auditors op steekproeven. Ingehuurde krachten en onderaannemers vallen onder hetzelfde managementsysteem als medewerkers: dezelfde toegangsbeheersing, hetzelfde bewijs, op dezelfde manier op te vragen.
Dat is meestal het nuttigste eerste gesprek. Of het antwoord nu een nieuw systeem is, een AI-agent, een koppeling tussen wat u al heeft, of helemaal niets: u krijgt een eerlijke inschatting.
