Voor de meeste inkopers is dit de eerste vraag.
In een strategisch plan staat waar een organisatie op inzet, wat ze daarvoor laat, over welke cijfers ze zich zorgen maakt en wie waarvoor verantwoordelijk is. Er zijn weinig documenten die je minder graag ziet uitlekken. Daarom geldt alles hieronder voor elk abonnement, ook tijdens de proefperiode.
ISO 27001:2022-gecertificeerd
Toolsfactory is gecertificeerd tegen ISO 27001:2022, getoetst door Brand Compliance onder accreditatie van de Raad voor Accreditatie.
Wat telt: het certificaat komt van een partij die juist de gaten moet vinden en het wordt elk jaar opnieuw getoetst. Beleid, risicobeoordelingen, toegangscontroles, incidentafhandeling en leveranciersbeheer vallen allemaal onder de certificering.
Je hoeft ons niet op ons woord te geloven. Certificaat NL 2293.1.1 staat in IAF CertSearch, het internationale register van geaccrediteerde certificaten, waar je zelf nagaat of het echt is en nog geldig, zonder het ons te hoeven vragen.
Waar je data staat
Het antwoord is kort.
Het platform draait in Nederland. De hosting ligt bij Tilaa, een Nederlandse aanbieder. Alle data wordt versleuteld opgeslagen.
Back-ups blijven in de EU. Back-ups staan bij twee losse aanbieders, Hetzner en Scaleway, beide op EU-servers. Zo vang je niet alleen een kapotte schijf op, maar ook het wegvallen van een leverancier. Ze staan er versleuteld, dus geen van beide leveranciers kan ze lezen.
De AI draait ook in de EU. Daarover hieronder meer.
Elke subverwerker die je data aanraakt, staat met naam in de privacyverklaring, met wat hij doet en op welke grondslag.
Wie wat kan zien
Binnen de organisatie telt vertrouwelijkheid net zo zwaar als daarbuiten. Niet elk plan hoeft voor iedereen zichtbaar te zijn en vaak is de rapportage gevoeliger dan het plan zelf.
Toegang wordt per team geregeld, met vier rollen:
- Kijker. Kan het plan lezen en niets anders
- Respondent. Kan lezen en reageren
- Deelnemer. Kan onderdelen in het plan wijzigen
- Beheerder. Volledige controle over de OGSM van dat team
Gebruikersgroepen geven een hele groep mensen in één keer die rechten, in plaats van per persoon. Zo verwatert het rechtenbeheer niet als de organisatie verandert. Wie zowel een individuele rol als een groepsrol heeft, krijgt de rol die het meest toestaat.
Op het niveau van de omgeving komt een beheerder bij de instellingen en het gebruikersbeheer; een gebruiker niet.
Inloggen
Tweefactorauthenticatie zit in elk abonnement, niet alleen in het duurste. Beveiliging die extra kost, wordt meestal niet aangezet.
Single sign-on met Microsoft Entra ID, voorheen Azure AD, zit in elk abonnement. Voor de meeste organisaties van enige omvang regelt dat de in- en uitdiensttreding. Vooral dat laatste telt: vervalt het account, dan vervalt ook de toegang.
Versleuteling
Data wordt versleuteld tijdens verzending en in opslag. De website en de applicatie gaan over TLS. E-mail is beschermd met DKIM, SPF en DMARC en het domein is ondertekend met DNSSEC.
AI en vertrouwelijkheid
Over de AI-functies komen de scherpste vragen en dat is begrijpelijk. Vier punten.
De aanbieder is Mistral, een Europees bedrijf, en de data blijft binnen de EU. Dat is een bewuste keuze die in deze markt ongebruikelijk is.
Je invoer wordt nooit gebruikt om modellen te trainen.
Je kijkt na voordat je verstuurt. Je haalt vertrouwelijke informatie eruit voordat iets naar de AI gaat en ontdekt niet achteraf wat er meeging.
Een beheerder kan het volledig uitzetten voor de hele omgeving. Staat jullie beleid geen AI toe, dan zet je één schakelaar om. Een supportticket is niet nodig.
AVG
Toolsfactory is een Nederlands bedrijf dat werkt onder de AVG. In de privacyverklaring staat elke subverwerker met naam, welke persoonsgegevens worden verwerkt en op welke grondslag, hoe lang ze worden bewaard en hoe je ze kunt inzien, laten corrigeren of laten verwijderen.
Een verwerkersovereenkomst is beschikbaar. Vraag ernaar, dan krijg je hem.
Deze website
Iets ongebruikelijks: deze site plaatst geen cookies en toont geen cookiebanner.
De statistieken lopen via Plausible, dat zonder cookies werkt en geen persoonsgegevens verzamelt. Video’s laden pas als je erop klikt, dus er draait niets van derden voordat je erom vraagt. Lettertypen komen van dit domein en niet van Google.
Wie je vraagt je strategie toe te vertrouwen, hoort je op zijn website niet ongemerkt te volgen.
Transparantie en een probleem melden
De actuele status van de dienst staat op status.ogsm.online.
Een kwetsbaarheid gevonden? Mail help@toolsfactory.nl. We horen het veel liever van jou.
Gebruikt door overheidsorganisaties, pensioenuitvoerders en internationale ondernemingen in 20 landen.