Privacy- en beveiligingsbeleid

Reikwijdte en rollen

OfferteTool is een online dienst voor notariskantoren. Voor account-, facturatie- en beveiligingsgegevens is Notariskantoor Bergen B.V. verwerkingsverantwoordelijke. Voor klant-, offerte-, PDF- en verzendgegevens handelt OfferteTool in beginsel als verwerker namens het kantoor. Het kantoor bepaalt de doelen, grondslagen en bewaartermijnen.

Dit beleid beschrijft de technische basis van de dienst. Het is geen certificering of juridisch advies en vervangt geen verwerkersovereenkomst, verwerkingsregister of DPIA.

Technische maatregelen

• Tenantisolatie per kantoor en rolgebaseerde toegangscontrole.
• CSRF-bescherming, sterke wachtwoordvalidatie, e-mailverificatie en optionele TOTP-MFA.
• Login-rate-limiting, lokale CAPTCHA op publieke accountflows, burstbescherming en organisatiequota.
• Gehashte eenmalige tokens: uitnodiging, e-mailverificatie, publieke offerte-reactie en kantoorherstel (7 dagen).
• Audit-events voor belangrijke offerte-, beheer- en privacyacties.
• Beveiligde PDF-toegang, vaste onveranderlijke snapshots van verzonden versies en gevalideerde logo- en banner-uploads.
• Privacyverzoeken, retentiebeleid, automatisch archiveren, bewaarplicht (legal hold), bulk-handhaving en een veilige retentie-preview.
• Automatische opschoning van nooit-geverifieerde accounts na 7 dagen.

Account- en toegangsbeheer

De eigenaar beheert medewerkers, rollen, uitnodigingen en toegang. Inactieve memberships kunnen worden geblokkeerd zonder historische gegevens te verwijderen. MFA kan per gebruiker worden ingesteld; na activering is MFA bij nieuwe logins vereist.

Productieoperators horen toegang te beperken, MFA te gebruiken en periodiek toegangsrechten te controleren. Support- of admin-toegang moet doelgebonden en aantoonbaar zijn.

Retentie en rechten

Het kantoor stelt bewaartermijnen vast met inachtneming van notariële bewaarplichten. OfferteTool ondersteunt een bevestigd retentiebeleid, dagelijkse cleanup, organisatie-export en bewaarplicht (legal hold) per klant of per offerte. Automatische verwijdering geldt alleen voor gearchiveerde klanten en gearchiveerde offertes; een beleid moet zijn bevestigd en ingeschakeld, en een bewaarplicht op een klant of offerte blokkeert verwijdering. Vooraf kan het kantoor offertes automatisch laten archiveren per status (concept, afgewezen, ingetrokken, verlopen, verzonden zonder reactie) na een instelbare wachttijd.

Kantoor verwijderen kent 7 dagen bedenktijd met herstel-link per e-mail, daarna anonimiseren en na 1 jaar harde verwijdering. Niet-geverifieerde accounts worden na 7 dagen automatisch opgeschoond. Privacyverzoeken worden door het kantoor beoordeeld en geregistreerd. Controleer identiteit, bewaarplichten en betrokken dossiers voordat gegevens worden gewijzigd of verwijderd.

Incidenten en datalekken

Beveiligingsincidenten worden geregistreerd in het datalekregister en beoordeeld op aard, omvang, risico en meldplicht. Het kantoor en OfferteTool informeren elkaar zonder onnodige vertraging. De verwerkersovereenkomst moet de ondersteuning, contactpersonen en meldtermijnen verder vastleggen.

Monitor minimaal mislukte logins, 403/429-responses, exports, workerfouten, e-mailfouten, PDF-fouten, containerproblemen en backupresultaten. Log geen volledige wachtwoorden, tokens, PDF-inhoud of e-mailinhoud.

Leveranciers en doorgiften

De huidige kernleveranciers zijn OVHcloud voor hosting, database, opslag en back-ups, Brevo voor account-, offerte- en herinneringsmails en Stripe voor abonnementen en betalingen. De actuele locaties, verwerkersovereenkomsten, subverwerkers en eventuele doorgiften buiten de EER worden daarnaast bijgehouden in het verwerkingsregister en de verwerkersovereenkomst.

Openstaande organisatorische acties

• Definitief verwerkingsregister, inclusief doeleinden, categorieën, ontvangers en bewaartermijnen.
• Verwerkersovereenkomst met ieder kantoor en afspraken over subprocessors.
• DPIA/GEB wanneer de risicoanalyse dat vereist.
• Incidentprocedure, datalekregister, jaarlijkse oefening en aanspreekpunten.
• Back-up- en restoretest, monitoring, access reviews en securitytraining.
• Juridische controle van deze tekst, de privacyverklaring en de algemene voorwaarden.

Contact

Vragen over privacy of beveiliging kunt u stellen via jrieff@notariskantoorbergen.nl of Siebengewaldseweg 9, 5854PA, Nieuw Bergen (L). KvK-nummer: 78510511.