Beveiliging bij Penbox

1. Naleving en certificeringen

ISO/IEC 27001. Penbox is ISO/IEC 27001 gecertificeerd met een volledige scope: de organisatie en al haar producten. De certificering vereist een continue verbeteringscyclus, interne audits, jaarlijkse externe surveillance-audits en periodieke managementbeoordelingen. Het certificaat is op aanvraag beschikbaar.

Realtime nalevingsbewaking. Buiten de jaarlijkse certificeringscyclus om wordt onze naleving in realtime bewaakt met Probo, een platform voor nalevingsbewaking: controles, beleid en bewijsmateriaal worden continu bijgehouden, niet alleen tijdens de audit.

AVG. Bij het leveren van onze diensten treedt Penbox op als verwerker in de zin van de AVG: onze klanten blijven de verwerkingsverantwoordelijken en behouden de volledige controle over hun gegevens. Onze verplichtingen zijn vastgelegd in een verwerkersovereenkomst (DPA) die in overeenstemming is met artikel 28 van de AVG.

Functionaris voor gegevensbescherming. Penbox heeft een externe DPO aangesteld, met wie contact kan worden opgenomen voor alle vragen met betrekking tot gegevensbescherming.

2. Hosting en datalocatie

De gehele verwerkingsketen bevindt zich, zonder uitzondering, in de Europese Unie.

Component	Locatie
Applicatieservers	Duitsland (Frankfurt), Amazon Web Services
Databases	Duitsland (Frankfurt), Amazon Web Services
Bestandsopslag	Duitsland (Frankfurt), Amazon Web Services
Back-ups	België, op een locatie gescheiden van productie
AI-verwerking (alle AI-modules)	Europese Unie
Technische logs	Europese Unie

Het volledige Penbox-team is gevestigd in Europa: er vindt geen toegang tot gegevens plaats van buiten de Europese Unie, ook niet voor ondersteuning. Er worden geen gegevens buiten de EU overgedragen.

3. Architectuur en isolatie van klanten

Penbox is een SaaS-platform: de infrastructuur wordt gedeeld en de gegevens van elke klant zijn strikt geïsoleerd op elk niveau.

Op database-niveau. Isolatie wordt afgedwongen door de database-engine zelf, met behulp van PostgreSQL Row-Level Security. Elke rij is gekoppeld aan de desbetreffende organisatie, en de engine weigert elke lees- of schrijfactie buiten het bereik van de klant. Isolatie is dus niet uitsluitend afhankelijk van applicatiecode.

Op applicatieniveau. Elk verzoek doorloopt een autorisatiecontrole aan de serverzijde die is afgestemd op de desbetreffende organisatie. Tokens en sessies zijn strikt gebonden aan de organisatie die ze heeft uitgegeven.

Op bestandsopslagniveau. Elke klant heeft een eigen, specifieke opslagruimte. Bestanden zijn nooit toegankelijk via een openbare URL of een deelbare link: elke toegang verloopt via het Penbox-platform, na een autorisatiecontrole.

Continue verificatie. Deze isolatie wordt automatisch getest bij elke implementatie, en externe penetratietests dekken expliciet scenario's voor toegang tussen klanten.

Onveranderlijke infrastructuur. Onze productie-infrastructuur is volledig beheerd en onveranderlijk: er is geen directe toegang tot servers, er is geen beheerpoort blootgesteld aan het internet en instanties worden bij elke implementatie opnieuw opgebouwd in plaats van gewijzigd.

4. Versleuteling

Onderweg. Alle communicatie is versleuteld met TLS, zowel tussen gebruikers en het platform als tussen onze diensten.

In rust. Databases en bestandsopslag zijn in rust versleuteld.

Back-ups. Back-ups worden gecodeerd voordat ze überhaupt worden opgeslagen, met een sleutel die exclusief in het bezit is van Penbox: de opslagprovider heeft hier nooit toegang toe. De opslagservers zelf zijn ook gecodeerd.

5. Toegangsbeheer

Voor jouw teams

Single sign-on (SSO). Verificatie kan worden gedelegeerd aan uw eigen identiteitsprovider. Uw wachtwoord-, meervoudige verificatie- en toegangsbeperkingsbeleid is dan standaard van toepassing en de levenscyclus van uw account blijft beheerd door uw IAM.

Rollen en machtigingen. Je wijst zelf rollen toe en beoordeelt ze in je werkruimte. Alleen een beheerder kan een andere beheerder aanmaken.

Zelfservicebeheer. Uw beheerders configureren zelf de beveiliging van hun werkruimte: geldigheidsduur van links, beleid voor eenmalige codes, bewaarperiode van gegevens, geaccepteerde bestandstypen en -grootten. Alle beheeracties worden geregistreerd.

Testomgevingen. Er kunnen omgevingen los van de productieomgeving aan u beschikbaar worden gesteld, zodat elke configuratiewijziging kan worden gevalideerd voordat deze live gaat.

Voor het Penbox-team

Minste privilege. Toegang tot productieomgevingen is beperkt tot een klein aantal geautoriseerde personen, op basis van 'need-to-know', met behulp van accounts op naam.

Sterke authenticatie. Alle interne toegang verloopt via single sign-on met verplichte meervoudige verificatie.

Toegangsbeoordelingen. Toegangsrechten worden elk kwartaal beoordeeld als onderdeel van onze ISO 27001-certificering, en worden onmiddellijk ingetrokken wanneer een werknemer de organisatie verlaat.

Traceerbaarheid. Alle beheerdersacties worden onveranderlijk gelogd.

6. Beveiliging van de trajecten van uw ontvangers

De mensen naar wie u een Penbox-formulier verzendt, hebben veilig toegang tot hun traject.

Beveiligde links. Elke reis is toegankelijk via een unieke link, waarvan u de geldigheidsduur zelf bepaalt.

Identiteitsverificatie. Toegang kan worden beveiligd met een eenmalige code die via e-mail of sms wordt verzonden.

Controle over geüploade bestanden. U bepaalt de geaccepteerde bestandstypen en -grootten. Geüploade documenten worden opgeslagen in uw eigen dedicated ruimte en worden nooit openbaar gemaakt.

Consistentiecontroles. U kunt consistentiecontroles voor antwoorden en regels die een reis blokkeren configureren.

7. Kunstmatige intelligentie

Alle Penbox AI-modules (document intelligence, Email Intelligence, dossier Intelligence, AI-agents en meer) vallen onder dezelfde garanties.

Gehost in Europa. De AI-modellen zijn geïmplementeerd in een private enterprise-omgeving die wordt gehost in de Europese Unie. Alle AI-verwerking vindt daar plaats.

Geen retentie. De omgeving waarin de modellen draaien bewaart geen gegevens: gegevens worden verwerkt, het resultaat wordt teruggestuurd naar het Penbox-platform en er wordt niets bewaard aan de AI-zijde.

Geen training op uw gegevens. De gegevens van onze klanten worden nooit gebruikt om AI-modellen te trainen.

Hetzelfde kader als de rest van het platform. AI-verwerking valt onder onze ISO 27001-certificering, de AVG en onze DPA, net als de rest van onze diensten.

8. Logboekregistratie en traceerbaarheid

Wat er wordt gelogd. Alle platformgebeurtenissen: authenticatie (toegang tot links, verzenden en valideren van eenmalige codes), toegang tot en acties op dossiers, formulieren en taken, acties door dossierbehandelaars en beheerders, configuratiewijzigingen en API-aanroepen.

Geen persoonlijke gegevens in logs. Logs bevatten alleen technische identificatiemiddelen (gebruiker, betrokken object, tijdstempel, IP-adres, actie en resultaat), nooit zakelijke of persoonlijke gegevens.

Onveranderlijk en gescheiden. Logs kunnen alleen worden toegevoegd: niemand, inclusief bij Penbox, kan ze wijzigen of verwijderen. Ze worden gehost op een logging-pijplijn die gescheiden is van de applicatie-omgeving, zodat een inbreuk op de applicatie de audit trail niet kan wijzigen.

Bewaartermijn. Logs worden 365 dagen bewaard en kunnen op verzoek aan u beschikbaar worden gesteld, bijvoorbeeld als onderdeel van een onderzoek.

9. Bewaring, verwijdering and omkeerbaarheid

U stelt de bewaarperiode in. De bewaarperiode voor gegevens wordt gedefinieerd door uw beheerders in uw werkruimte-configuratie.

Automatische, verifieerbare verwijdering. Wanneer de bewaarperiode afloopt, wordt er een automatische verwijdering uitgevoerd. Elke verwijdering wordt gelogd en kan in realtime worden bekeken door uw beheerders in de applicatie: u heeft direct bewijs van verwijdering. Uw beheerders kunnen ook op elk gewenst moment een verwijdering in gang zetten.

Permanente verwijdering. Verwijdering in productie is permanent. Verwijderde gegevens verdwijnen vervolgens uit back-ups aan het einde van het rollende venster van 30 dagen. Er is daarna geen archivering meer.

Aan het einde van het contract. Uw gegevens worden uiterlijk 60 dagen na het einde van het contract verwijderd, of onmiddellijk op uw verzoek. U ontvangt een certificaat van vernietiging.

10. Applicatiebeveiliging en -testen

Externe penetratietesten. Het platform ondergaat penetratietesten uitgevoerd door een onafhankelijke leverancier, NVISO, volgens de OWASP Application Security Verification Standard (ASVS) op niveau 2. De testen dekken zowel geauthenticeerde als niet-geauthenticeerde perspectieven, en alle ASVS-domeinen: authenticatie, sessiebeheer, autorisatie, API's, bestandsverwerking, cryptografie, configuratie en gegevensbeschorsteling. Elke campagne wordt gevolgd door een hertest van de oplossingen. Een samenvatting is beschikbaar op aanvraag.

Real-time beveiligingsmonitoring. We maken gebruik van Aikido, een toonaangevend platform voor real-time beveiligingsmonitoring, dat continu onze code, onze afhankelijkheden en open-source componenten, de mogelijke aanwezigheid van geheimen, onze cloudconfiguratie en ons externe aanvalsoppervlak analyseert. Gedetecteerde kwetsbaarheden worden afgehandeld binnen termijnen die zijn gedefinieerd op basis van het ernstniveau.

Geautomatiseerde testen. Beveiligingstesten, inclusief isolatietesten tussen klanten, worden automatisch uitgevoerd bij elke implementatie.

Klantbeoordelingen. Onze klanten voeren regelmatig hun eigen veiligheidsbeoordelingen van het platform uit: audits, vragenlijsten en technische tests.

11. Monitoring en incidentenbeheer

Monitoring. Het platform wordt continu gemonitord, met waarschuwingen bij abnormaal gedrag en de beschikbaarheid van de dienst.

Incidentbeheerprocedure. Penbox heeft een procedure voor het beheer van beveiligingsincidenten die is gedocumenteerd als onderdeel van zijn ISO 27001 ISMS: detectie, kwalificatie, inperking, herstel, evaluatie na het incident en verbetermaatregelen.

Kennisgeving. In het geval van een inbreuk in verband met persoonsgegevens informeren wij onze klanten zonder onredelijke vertraging, in overeenstemming met de AVG en onze verwerkersovereenkomst (DPA), zodat zij aan hun eigen meldingsplichten kunnen voldoen.

12. Bedrijfscontinuïteit en back-ups

Regelmatige back-ups. Er wordt automatisch een back-up van gegevens gemaakt over een voortschrijdend venster van 30 dagen, op een locatie in België die gescheiden is van de productieomgeving.

Gecodeerd en geïsoleerd. Back-ups worden vóór opslag gecodeerd met een sleutel die alleen in het bezit is van Penbox.

Hoge beschikbaarheid. De productie-infrastructuur draait op door Amazon Web Services beheerde diensten, ontworpen voor redundantie en herstel bij storingen.

13. Organisatie en mensen

Bewustzijn. Alle medewerkers zijn getraind in informatiebeveiliging en gegevensbescherming, met regelmatige sessies.

Geheimhoudingsplichten. Elke werknemer is gebonden aan een geheimhoudingsplicht.

Onboarding en offboarding. Toegang wordt verleend op basis van rol bij binnenkomst en direct ingetrokken bij vertrek, volgens een formele procedure.

Gedocumenteerd beleid. Ons veiligheidsbeleid (toegangscontrole, incidentbeheer, leveranciersbeheer, bedrijfscontinuïteit) is gedocumenteerd, wordt periodiek herzien en gecontroleerd als onderdeel van de ISO 27001-certificering.

14. Documenten op aanvraag beschikbaar

Voor uw beveiligings-, compliance- of inkoopteams bieden wij:

ons ISO/IEC 27001-certificaat;
de samenvatting van de nieuwste penetratietest;
onze gegevensverwerkingsovereenkomst (DPA);
de gedetailleerde lijst van onze subverwerkers;
antwoorden op uw beveiligingsvragenlijsten.

Schrijf ons op security@penbox.io.

15. Meld een kwetsbaarheid

Denkt u een kwetsbaarheid in Penbox te hebben gevonden? Stuur een e-mail naar security@penbox.io met een beschrijving van het probleem en hoe dit te reproduceren is. We bevestigen meldingen onmiddellijk en behandelen elke melding met prioriteit. We vragen u de kwetsbaarheid niet verder te misbruiken dan nodig is om deze aan te tonen, geen gegevens van andere gebruikers te openen en ons de tijd te geven om het probleem op te lossen voordat u hierover iets openbaar maakt.

Veelgestelde vragen

Worden de gegevens geanonimiseerd voordat ze door de AI worden verwerkt?

Nee, en dit is een bewuste keuze: het doel van onze AI-modules is om informatie te extraheren uit de inhoud die ze verwerken, wat vereist dat deze in de oorspronkelijke staat wordt verwerkt. Beveiliging is gebaseerd op andere garanties: verwerking in een besloten omgeving binnen de Europese Unie, geen gegevensopslag aan de AI-zijde, geen gebruik voor training, versleuteling en isolatie per klant.

Welk AI-model gebruikt u?

We geven geen details vrij over de modellen die we gebruiken. Wel documenteren we nauwkeurig het kader waarin ze werken: hosting in de Europese Unie, geen gegevensbewaring, geen training op uw gegevens.

Worden mijn gegevens gebruikt om AI te trainen?

Nee, nooit.

Waar worden mijn gegevens opgeslagen?

In Duitsland (Frankfurt) voor productie en in België voor back-ups. AI-verwerking vindt ook plaats binnen de Europese Unie. Uw gegevens verlaten de EU nooit.

Wat gebeurt er met mijn gegevens als we stoppen met het gebruik van Penbox?

Het wordt uiterlijk 60 dagen na het einde van het contract verwijderd, of onmiddellijk op uw verzoek, en u ontvangt een certificaat van vernietiging. Vervolgens verdwijnt het binnen 30 dagen uit de back-ups.

Wie bij Penbox heeft toegang tot mijn gegevens?

Een klein aantal geautoriseerde personen, alleen wanneer dat noodzakelijk is, met sterke authenticatie en volledige traceerbaarheid van elke actie. Er vindt geen toegang plaats van buiten de Europese Unie.

Kan ik mijn eigen SSO gebruiken?

Ja. De authenticatie van uw teams kan worden gedelegeerd aan uw identityprovider, die vervolgens uw eigen regels toepast (MFA, toegangsbeperkingen).