Beveiliging
Hoe wij jouw gegevens beschermen, wat wij doen als er iets misgaat, en hoe je een kwetsbaarheid meldt. Dit document is bedoeld om vooraf te kunnen lezen: door jou, door je ICT'er, of door iemand die iets gevonden heeft.
De uitgangspunten
Zo min mogelijk bewaren. Wat er niet is, kan niet uitlekken. Wij vragen geen gegevens die wij niet nodig hebben en bewaren niets langer dan waarvoor wij het hebben.
Eén werkruimte is een grens. Elk verzoek wordt per verzoek gecontroleerd op werkruimte en rol; er is geen scherm waarin per ongeluk de gegevens van een andere klant kunnen verschijnen.
Een sleutel die je ons geeft is van jou. Sleutels voor Odoo, Meta, Google of je socialkanalen worden versleuteld opgeslagen, nooit teruggetoond, nooit in een logregel geschreven en nooit naar een AI-model gestuurd.
Toegang van een beheerder is tijdelijk en laat een spoor na. Er is geen permanente beheerderssessie in een klantomgeving.
Toegang
Accountlogin loopt via Google Firebase. Of tweestapsverificatie wordt afgedwongen hangt af van de gebruikte inlogroute en het accountbeleid. Het centrale beheerportaal ondersteunt passkeys en een tijdcode. Dit is geen garantie dat elke rechtstreekse app-login een tweede factor vraagt.
Wil een beheerder een klantomgeving openen, dan gebeurt dat met een briefje dat twee minuten geldig is, dat alleen dat ene systeem opent en dat door dat systeem zelf wordt beoordeeld. Het briefje zelf komt nergens in een logboek; de uitgifte wel, met wie, welk systeem en wanneer.
Rechten worden per werkruimte toegekend. Vertrekt iemand, dan wordt zijn toegang ingetrokken; in het OS doe je dat zelf onder Team.
Versleuteling
Al het verkeer loopt over TLS. Wie op http binnenkomt wordt doorgestuurd naar https.
Gegevens staan versleuteld op de opslag van onze leveranciers.
Geheimen staan uitsluitend in de omgeving van de hostingleverancier. Ze staan niet in de broncode en niet in een configuratiebestand dat meegaat in versiebeheer.
De software zelf
Alle code staat in versiebeheer. Elke publicatie is herleidbaar tot een commit en kan worden teruggedraaid.
Voor elke publicatie draait een geautomatiseerde testsuite van meer dan tweeduizend tests. Een rode suite betekent niet publiceren.
Een strikt Content Security Policy bepaalt welke scripts, stijlen en verbindingen een pagina mag gebruiken. Een script van een onbekende herkomst draait niet, ook niet als het er via een omweg in zou komen.
Afhankelijkheden worden gecontroleerd op bekende kwetsbaarheden. Een kwetsbaarheid van niveau hoog of hoger blokkeert de publicatie tot hij verholpen is.
Toezicht
Handelingen met gevolgen — toegang verlenen, een systeem openen, een sleutel wijzigen — komen in een auditspoor.
Fouten en waarschuwingen worden centraal verzameld. Persoonsgegevens worden daar niet in meegeschreven.
De bereikbaarheid en de inlogbeveiliging van elk klantsysteem worden doorlopend automatisch gecontroleerd. Serveert een systeem zijn startpagina zonder inlog, dan staat dat als alarm op het beheerscherm.
Als er toch iets misgaat
Wij melden een inbreuk in verband met persoonsgegevens binnen 24 uur na ontdekking bij de betrokken klant, met wat er is gebeurd, wat het vermoedelijk raakt, wat wij hebben gedaan en bij wie je terechtkunt. Dat is korter dan de 72 uur die de AVG jou geeft, zodat jij je eigen afweging kunt maken met tijd over.
Wij houden een register bij van inbreuken, ook van die welke niet gemeld hoefden te worden.
Wij melden niet namens jou bij de toezichthouder, tenzij je ons daar schriftelijk om vraagt. Jij bent de verwerkingsverantwoordelijke; die melding is jouw beslissing.
Een kwetsbaarheid melden
Vind je iets, meld het dan op security@socialnow.nl, of lees eerst https://socialnow.nl/security.txt. Beschrijf wat je vond, waar, en hoe je het kunt laten zien. Een schermafbeelding of een kort stappenplan helpt.
Wat je van ons mag verwachten: binnen drie werkdagen een reactie van een mens, een inschatting van de ernst binnen tien werkdagen, en bericht wanneer het verholpen is. Meld je verantwoord en misbruik je niet wat je gevonden hebt, dan doen wij geen aangifte en stellen wij je niet aansprakelijk. Wil je genoemd worden bij de oplossing, dan doen wij dat graag.
Wat wij van jou vragen: geen gegevens van anderen inzien, kopiëren, wijzigen of verwijderen; geen dienst platleggen; geen social engineering, phishing of fysieke toegang; geen geautomatiseerd scannen dat het systeem belast; en het lek niet delen voordat het verholpen is. Kom je onbedoeld bij gegevens van anderen, stop dan en meld dat erbij.
Wij betalen geen beloning. Wat wij wel doen is snel antwoorden en snel oplossen.
Wat wij niet doen
Wij hebben geen ISO 27001- of SOC 2-certificering. SocialNow is een klein bedrijf; zo'n certificering zegt op dit moment meer over het budget voor auditors dan over de beveiliging zelf. Wat wij wel doen is hierboven te lezen, en in bijlage B van de verwerkersovereenkomst staat het als lijst waar je langs kunt lopen.
Wij hebben geen achterdeur in een klantsysteem. Toegang loopt altijd via het kortlevende briefje dat het klantsysteem zelf beoordeelt.
Contact
Kwetsbaarheden: security@socialnow.nl. Privacy en gegevens: privacy@socialnow.nl. Alles daarbuiten: hello@socialnow.nl.