Informatiebeveiligingsbeleid

Centryxa Hybrid Health System
Handelsnaam van SharingGlobal
Versie 1.0

1. Doel

Dit Informatiebeveiligingsbeleid beschrijft de uitgangspunten en maatregelen waarmee SharingGlobal/Centryxa informatie beschermt die in het kader van het Centryxa Hybrid Health System wordt verwerkt.

Het beleid is gericht op drie centrale beveiligingsprincipes:

Vertrouwelijkheid – Integriteit – Beschikbaarheid

Daarbij wordt bijzondere aandacht besteed aan persoonsgegevens en, waar deze door SharingGlobal worden verwerkt, medische en andere bijzondere persoonsgegevens.

2. Reikwijdte

Dit beleid is van toepassing op personen en partijen die voor hun werkzaamheden toegang hebben tot informatie of systemen van SharingGlobal/Centryxa, waaronder waar van toepassing:

• bestuurders;
• medewerkers;
• tijdelijke medewerkers;
• opdrachtnemers;
• externe adviseurs;
• leveranciers;
• verwerkers en subverwerkers;
• partners;
• landvertegenwoordigers en distributeurs.

Iedere betrokkene krijgt uitsluitend toegang voor zover dit voor zijn of haar taak noodzakelijk is.

3. Uitgangspunten

SharingGlobal/Centryxa hanteert onder meer de volgende uitgangspunten:

• Privacy by Design;
• Privacy by Default;
• dataminimalisatie;
• need-to-know;
• least privilege;
• passende technische en organisatorische beveiliging;
• beperking van toegang;
• veilige verwerking gedurende de gehele levenscyclus van gegevens;
• periodieke beoordeling van beveiligingsrisico’s.

De beveiligingsmaatregelen worden afgestemd op de aard, omvang, context en doeleinden van de verwerking en de daarmee samenhangende risico’s.

4. Bijzondere positie van Centryxa

Centryxa is ontworpen vanuit het uitgangspunt dat medische informatie zoveel mogelijk onder regie van de gebruiker blijft.

Centryxa streeft er daarom naar geen centrale medische database op te bouwen voor medische behandeling.

Een belangrijk deel van de informatie kan fysiek bij de gebruiker beschikbaar zijn via:

• Cards;
• NFC;
• SSD;
• andere persoonlijke informatiedragers.

Hierdoor wordt voorkomen dat voor iedere vorm van informatiebeschikbaarheid afhankelijkheid ontstaat van internetverbinding, cloudopslag of toegang tot een centraal systeem.

Dit uitgangspunt vermindert centrale gegevensverwerking, maar neemt de noodzaak van passende beveiliging van de gegevensdragers zelf niet weg.

5. Dataminimalisatie

SharingGlobal/Centryxa verwerkt centraal uitsluitend persoonsgegevens voor zover deze noodzakelijk zijn voor bijvoorbeeld:

• registratie;
• bestelling;
• levering;
• facturatie;
• klantenservice;
• ondersteuning;
• wettelijke verplichtingen.

Medische en continuïteitsinformatie wordt niet langer centraal verwerkt of bewaard dan noodzakelijk is voor het doel waarvoor deze aan SharingGlobal is verstrekt.

6. Tijdelijke verwerking voor personalisatie

Voor het produceren, personaliseren of actualiseren van Cards, NFC of SSD kan het noodzakelijk zijn dat SharingGlobal tijdelijk toegang heeft tot door de gebruiker geselecteerde informatie.

Deze informatie wordt uitsluitend gebruikt voor het overeengekomen doel.

Toegang tot dergelijke informatie wordt zoveel mogelijk beperkt tot personen voor wie deze toegang noodzakelijk is.

Na afronding gelden de bewaartermijnen en vernietigingsprocedures zoals opgenomen in het Dataretentie- en Vernietigingsbeleid.

7. Toegangsbeheer

Toegang tot bedrijfs- en persoonsgegevens wordt verstrekt op basis van functie en noodzaak.

Waar passend worden maatregelen toegepast zoals:

• persoonlijke gebruikersaccounts;
• sterke wachtwoorden;
• multifactor-authenticatie;
• autorisatie op functieniveau;
• periodieke controle van toegangsrechten;
• tijdige intrekking van toegang bij functiewijziging;
• onmiddellijke intrekking bij beëindiging van werkzaamheden indien noodzakelijk.

Gedeelde accounts worden zoveel mogelijk vermeden.

8. Wachtwoordbeleid

Voor systemen waarin vertrouwelijke informatie wordt verwerkt, worden passende eisen gesteld aan wachtwoorden.

Gebruikers dienen:

• sterke wachtwoorden te gebruiken;
• unieke wachtwoorden te gebruiken voor kritieke systemen;
• wachtwoorden vertrouwelijk te houden;
• wachtwoorden niet onbeveiligd te delen;
• wachtwoorden te wijzigen wanneer misbruik wordt vermoed.

Waar passend wordt gebruikgemaakt van aanvullende authenticatie.

9. Apparatuur

Apparatuur waarop persoonsgegevens of vertrouwelijke bedrijfsinformatie wordt verwerkt, wordt passend beveiligd.

Afhankelijk van het risico kan dit onder meer bestaan uit:

• schermvergrendeling;
• gebruikersauthenticatie;
• actuele beveiligingsupdates;
• malwarebescherming;
• versleuteling;
• beveiligde opslag;
• gecontroleerde verwijdering van gegevens.

Verlies of diefstal van apparatuur waarop relevante gegevens aanwezig kunnen zijn, dient onmiddellijk intern te worden gemeld.

10. E-mail en elektronische communicatie

Bij verzending van vertrouwelijke of gevoelige informatie wordt vooraf beoordeeld welke wijze van verzending passend is.

Waar noodzakelijk kunnen aanvullende maatregelen worden toegepast, zoals:

• versleuteling;
• beveiligde bestanden;
• wachtwoordbeveiliging;
• gescheiden verzending van wachtwoorden;
• beveiligde overdrachtsvoorzieningen.

Bijzondere persoonsgegevens worden niet onnodig via onbeveiligde communicatiekanalen verspreid.

11. Fysieke beveiliging

Papieren documenten en fysieke gegevensdragers met persoonsgegevens of vertrouwelijke informatie worden zodanig opgeslagen dat onbevoegde personen daar redelijkerwijs geen toegang toe hebben.

Werkplekken worden zodanig ingericht dat vertrouwelijke informatie niet onnodig zichtbaar of toegankelijk blijft.

Papieren documenten die niet langer noodzakelijk zijn, worden overeenkomstig het Dataretentie- en Vernietigingsbeleid vernietigd.

12. Cards

De fysieke Centryxa Cards zijn bedoeld om geselecteerde informatie direct beschikbaar te maken.

De gebruiker bepaalt welke informatie daarop wordt opgenomen.

Omdat informatie op een Card fysiek leesbaar kan zijn, dient de gebruiker zich ervan bewust te zijn dat degene die toegang heeft tot de Card mogelijk ook kennis kan nemen van de daarop zichtbare informatie.

Daarom wordt gestreefd naar opname van uitsluitend informatie die voor het doel van de betreffende Card relevant is.

13. NFC

Binnen daarvoor geschikte Centryxa-uitvoeringen kan Card 1 voorzien zijn van NFC.

NFC kan worden gebruikt om geselecteerde informatie digitaal beschikbaar te maken zonder dat daarvoor noodzakelijkerwijs een internetverbinding of cloudomgeving nodig is.

De technische inrichting en eventuele beveiliging kunnen verschillen per productuitvoering.

Centryxa streeft naar een passende balans tussen:

snelle beschikbaarheid – praktische bruikbaarheid – bescherming van informatie.

14. SSD

Bij uitvoeringen waarbij een SSD wordt geleverd, kan uitgebreidere informatie door de gebruiker fysiek worden meegenomen.

Afhankelijk van de gekozen uitvoering kunnen daarop bijvoorbeeld worden geplaatst:

• geselecteerde medische informatie;
• relevante brondocumenten;
• continuïteitsinformatie;
• persoonlijke documenten;
• andere door de gebruiker geselecteerde informatie.

Waar passend kan gebruik worden gemaakt van wachtwoordbeveiliging, versleuteling of een andere toegangsbeperking.

15. Verantwoordelijkheid gebruiker voor gegevensdragers

Na levering is de gebruiker verantwoordelijk voor het zorgvuldig bewaren van zijn of haar Cards, NFC-dragers, SSD en toegangscodes.

De gebruiker wordt geadviseerd:

• gegevensdragers zorgvuldig te bewaren;
• toegangscodes niet samen met beveiligde gegevensdragers onbeveiligd te bewaren;
• periodiek de werking te controleren;
• belangrijke informatie te actualiseren;
• waar relevant een veilige reservekopie te bewaren.

16. Back-ups

Voor bedrijfskritische informatie die onder verantwoordelijkheid van SharingGlobal wordt opgeslagen, worden waar passend back-upvoorzieningen toegepast.

Back-ups worden beveiligd tegen onbevoegde toegang en overeenkomstig vastgestelde termijnen beheerd.

Het bestaan van bedrijfsback-ups betekent niet dat SharingGlobal automatisch een reservekopie bewaart van persoonlijke medische gegevens die uitsluitend op de Card, NFC of SSD van de gebruiker staan.

17. Logging en controle

Voor relevante bedrijfssystemen kan logging worden toegepast om:

• toegang te controleren;
• beveiligingsincidenten te onderzoeken;
• misbruik te signaleren;
• technische problemen te analyseren.

Logging wordt niet langer bewaard dan noodzakelijk en wordt zelf passend beveiligd.

18. Leveranciers en verwerkers

Wanneer een leverancier of verwerker toegang krijgt tot persoonsgegevens, wordt vooraf beoordeeld welke beveiligingsafspraken noodzakelijk zijn.

Waar wettelijk vereist worden verwerkersovereenkomsten gesloten.

Daarin kunnen onder meer afspraken worden opgenomen over:

• vertrouwelijkheid;
• beveiligingsmaatregelen;
• toegang;
• incidentmeldingen;
• subverwerkers;
• bewaartermijnen;
• verwijdering of teruggave van gegevens.

19. Subverwerkers

Een verwerker mag subverwerkers uitsluitend inschakelen overeenkomstig de toepasselijke wettelijke en contractuele voorwaarden.

Waar noodzakelijk worden eisen die voor de oorspronkelijke verwerker gelden eveneens aan de subverwerker opgelegd.

20. Beveiligingsincidenten

Iedere medewerker of andere daartoe gehouden betrokkene dient een vermoedelijk beveiligingsincident zo spoedig mogelijk intern te melden.

Onder beveiligingsincidenten kunnen onder meer vallen:

• verlies van documenten;
• verlies of diefstal van apparatuur;
• onbevoegde toegang;
• verkeerd verzonden informatie;
• phishing;
• malware;
• cyberaanvallen;
• verlies van gegevens;
• ongeoorloofde openbaarmaking.

Een melding wordt beoordeeld op aard, omvang, gevolgen en noodzakelijke vervolgmaatregelen.

21. Datalekken

Wanneer bij een beveiligingsincident persoonsgegevens betrokken zijn, wordt beoordeeld of sprake is van een datalek in de zin van de AVG.

Indien wettelijk vereist zal SharingGlobal:

• het incident registreren;
• passende maatregelen nemen;
• de Autoriteit Persoonsgegevens informeren;
• betrokken personen informeren wanneer daarvoor een wettelijke verplichting bestaat.

De beoordeling en eventuele melding vinden plaats binnen de daarvoor geldende wettelijke termijnen.

22. Incidentregister

SharingGlobal kan een intern register bijhouden van beveiligingsincidenten en datalekken.

Daarin kunnen onder meer worden geregistreerd:

• datum;
• aard van het incident;
• betrokken gegevens;
• mogelijke gevolgen;
• genomen maatregelen;
• eventuele melding aan toezichthouder;
• vervolgmaatregelen.

De registratie zelf wordt vertrouwelijk behandeld.

23. Beveiliging tijdens productie

Tijdens productie en personalisatie wordt toegang tot persoonsgegevens zoveel mogelijk beperkt.

Productiebestanden en formulieren worden uitsluitend gebruikt voor zover noodzakelijk voor:

• vervaardiging;
• controle;
• correctie;
• levering.

Daarna worden deze overeenkomstig het Dataretentie- en Vernietigingsbeleid verwijderd of vernietigd.

24. Bewustwording

Personen die toegang hebben tot vertrouwelijke informatie worden gewezen op het belang van:

• privacy;
• veilig wachtwoordgebruik;
• phishingpreventie;
• veilig e-mailgebruik;
• geheimhouding;
• bescherming van fysieke documenten;
• veilig gebruik van apparatuur;
• melding van incidenten.

Waar passend worden aanvullende instructies of trainingen verstrekt.

25. Geheimhouding

Personen die vanuit hun werkzaamheden toegang hebben tot persoonsgegevens, medische informatie of andere vertrouwelijke gegevens zijn gehouden aan geheimhouding voor zover dat uit hun functie, overeenkomst of wet voortvloeit.

Deze verplichting kan ook na beëindiging van de werkzaamheden of samenwerking blijven gelden.

26. Internationale verwerking

Persoonsgegevens worden in beginsel binnen de Europese Economische Ruimte verwerkt.

Wanneer persoonsgegevens buiten de EER worden verwerkt, zorgt SharingGlobal voor een geldige doorgiftegrondslag en passende waarborgen voor zover de AVG dat vereist.

27. Continuïteit

SharingGlobal houdt bij haar informatiebeveiliging rekening met bedrijfscontinuïteit.

Afhankelijk van de aard van het systeem kunnen maatregelen worden getroffen voor:

• back-ups;
• herstel;
• toegangscontinuïteit;
• vervangende apparatuur;
• incidentrespons.

Het Centryxa-concept zelf kan daarnaast bijdragen aan praktische informatiebeschikbaarheid doordat geselecteerde informatie ook fysiek en offline bij de gebruiker aanwezig kan zijn.

28. Periodieke beoordeling

Beveiligingsmaatregelen worden periodiek en bij relevante wijzigingen beoordeeld.

Aanleiding voor tussentijdse beoordeling kan onder meer zijn:

• een beveiligingsincident;
• nieuwe technologie;
• nieuwe dienstverlening;
• wijziging van leveranciers;
• gewijzigde wetgeving;
• nieuwe risico’s;
• wijziging van de aard of omvang van gegevensverwerking.

29. Geen absolute beveiligingsgarantie

SharingGlobal/Centryxa treft passende beveiligingsmaatregelen, maar absolute veiligheid kan niet worden gegarandeerd.

Technische storingen, menselijke fouten, verlies, diefstal, cybercriminaliteit en andere onvoorziene omstandigheden kunnen nooit volledig worden uitgesloten.

Dit doet niet af aan de verplichting van SharingGlobal om passende beveiligingsmaatregelen te treffen en bij incidenten overeenkomstig toepasselijke wetgeving te handelen.

30. Samenhang met overige documentatie

Dit Informatiebeveiligingsbeleid moet worden gelezen in samenhang met onder meer:

• de Algemene Voorwaarden;
• Privacyverklaring;
• NFC-, SSD- en digitale gegevens;
• Dataretentie- en Vernietigingsbeleid;
• Verwerkers en gegevensbescherming;
• Kwaliteitsbeleid;
• Medische informatie en gebruik;
• Klachtenregeling.

31. Verantwoordelijkheid

De directie van SharingGlobal is verantwoordelijk voor de vaststelling van dit beleid.

Medewerkers, leveranciers, verwerkers en andere betrokken partijen zijn binnen hun eigen rol verantwoordelijk voor naleving van de op hen van toepassing zijnde beveiligingsverplichtingen.

32. Wijzigingen

Dit beleid kan worden gewijzigd wanneer:

• wet- of regelgeving verandert;
• nieuwe beveiligingsrisico’s ontstaan;
• technologie verandert;
• de dienstverlening wordt uitgebreid;
• interne processen wijzigen.

De meest recente officieel vastgestelde versie is leidend.

33. Contact

Vragen of meldingen over informatiebeveiliging kunnen worden gericht aan:

SharingGlobal
handelend onder de handelsnaam
Centryxa Hybrid Health System

KvK: 97419788
Vestigingsadres: Broekstraat 1 B, 6675 BD Valburg
E-mail: support@sharingglobal.com / info@centryxa.com

34. Slotbepaling

Dit Informatiebeveiligingsbeleid vormt onderdeel van de juridische documentatie en het interne beleid van SharingGlobal/Centryxa.

Uitgangspunt: zo weinig mogelijk centraal opslaan, zorgvuldig beveiligen wat noodzakelijk is en de gebruiker zoveel mogelijk regie laten houden over zijn eigen informatie.