AVG / GDPR
Van toepassing en ingericht. Gezondheidsdata wordt verwerkt onder artikel 9 lid 2 sub a (uitdrukkelijke toestemming). Er is een verwerkersovereenkomst, een sub-processorslijst en een DPIA-template.
Trust & security
Wat we wel en niet kunnen aantonen.
Deze pagina bestaat zodat inkoop, IT en een functionaris gegevensbescherming hun vragen kunnen beantwoorden zonder eerst een gesprek te plannen. We schrijven op wat er is, en net zo expliciet wat er nog niet is.
Laatst bijgewerkt: .
Certificering
De eerlijke status.
Certificeringsclaims zijn makkelijk te doen en makkelijk te controleren. Daarom staan ze hier los van elkaar, mét status.
NEN 7510
Niet gecertificeerd. De self-assessment is afgerond en de audit loopt. We claimen geen certificering — en we raden je aan die claim bij élke leverancier te verifiëren.
ISO 27001
Niet gecertificeerd. Het beleidskader wordt gevolgd, certificering is in voorbereiding. Vereist jouw inkoopproces een geldig certificaat, dan voldoen we daar vandaag niet aan.
SOC 2
Niet van toepassing. Er is geen SOC 2 Type I of II rapport. Voor organisaties die dit hard eisen zijn we op dit moment geen geschikte leverancier.
Hosting en versleuteling
Waar de data staat.
Regio
Google Cloud Frankfurt (europe-west3). Data blijft binnen de EU.
Versleuteling
AES-256 at rest, TLS 1.3 in transit. HSTS met preload op het volledige domein.
Doorgifte buiten de EU
Google is een Amerikaanse aanbieder. Bij artikel 9-data is dat een reëel aandachtspunt en we lopen er niet omheen: vraag de transfer impact assessment op vóórdat je tekent.
Sub-processors
Wie er nog meer bij betrokken is.
Volledige lijst voor Arpsy Pro. Wijzigingen melden we vooraf aan bestaande klanten.
| Partij | Waarvoor | Werknemersdata? |
|---|---|---|
| Google Cloud Platform | Hosting en authenticatie | Ja — versleuteld, EU-regio |
| Stripe | Facturatie B2B | Nee |
Twee partijen, verder niemand. De Arpsy Pro-omgeving laadt geen analytics-, advertentie- of sessie-opnamescripts: de pagina's /pro en /demo bevatten nul externe scripts. Dat is te controleren met “paginabron bekijken”.
Privacy by design
De drempel is een mechanisme, geen belofte.
Teamsignalen verschijnen pas vanaf 15 actieve deelnemers. Onder die grens toont het product geen cijfers, geen trend en geen richting — niet als waarschuwing, maar als blokkade. Je ziet dat terug in de demo: onder de drempel verschijnt een lege staat in plaats van data.
Werkgevers zien nooit individuele check-ins, emoties, notitieteksten, of wie welke tool gebruikte.
Documenten
Op te vragen voor je inkoopdossier.
Kwetsbaarheden melden
Iets gevonden?
Meld het via contact met “Security” in het onderwerp. We reageren binnen één werkdag en ondernemen geen juridische stappen tegen melders die zorgvuldig te werk gaan en ons redelijke tijd geven om te herstellen.