Hosting en beveiliging

Aanhangsel 2. Subverwerkers

Deze lijst is volledig. De dienstverleners die de gegevens van uw klanten niet namens ZIXAR verwerken, staan na de tabel.

Subverwerker	Dienst	Gegevens van uw klanten	Plaats en waarborg
Cyber Technology SRL, handelsnaam StrictlyHosting (BE 0474.407.105), België	Hosting van de servers, databanken en back-ups	Alle	Servers in Nederland, in de Europese Unie
Brevo (Sendinblue SAS), Frankrijk	Verzending van de e-mails van uw webshop naar uw klanten: bevestiging en opvolging van bestellingen, campagnes die u opstart	Naam, e-mailadres, inhoud van de e-mails	Europese Unie

Zijn geen subverwerkers in de zin van deze bijlage, omdat zij de gegevens van uw klanten niet namens ZIXAR verwerken:

• Mollie B.V. (online betaling van uw eerste factuur) en Belfius Bank NV (domiciliëring van uw maandbedragen). Zij verwerken uw gegevens als klant van ZIXAR;
• Odoo SA (facturatie en boekhouding van ZIXAR). Zelfde opmerking;
• OVH SAS of een andere registrar, voor de domeinnaam die op uw naam is geregistreerd;
• Brevo, als u ons uw eigen account bezorgt: de e-mails van uw webshop vertrekken dan vanuit dat account, u sluit rechtstreeks een overeenkomst met Brevo en u bent er de verwerkingsverantwoordelijke voor. Brevo valt in dat geval uit de lijst hierboven. Zolang u geen account bezorgt, vertrekken de e-mails vanuit het account van ZIXAR en blijft Brevo zijn subverwerker;
• uw eigen betaaldienstverlener (Mollie, Stripe of een andere). U kiest die zelf en u sluit rechtstreeks een overeenkomst met hem.

Deze dienstverleners worden vermeld in het privacybeleid van ZIXAR, wanneer zij uw gegevens verwerken.

Aanhangsel 3. Beveiligingsmaatregelen

ZIXAR past de volgende maatregelen toe.

• Versleuteling van de uitwisselingen via HTTPS op de webshop, de beheeromgeving en de klantenruimte, met automatische doorverwijzing en automatisch vernieuwd certificaat.
• Wachtwoorden opgeslagen in gehashte vorm, met een erkend algoritme (argon2id voor de webshops, PBKDF2 voor de klantenruimte). Ze worden nooit in leesbare vorm opgeslagen.
• De gegevens van elke handelaar worden opgeslagen in een afzonderlijke databank, met toegangsrechten per tabel. Een handelaar heeft geen toegang tot de gegevens van een andere, en die afscherming wordt door een geautomatiseerde controle nagegaan.
• Beheertoegang beperkt tot de personen die ze nodig hebben. De toegang tot de server gebeurt met een cryptografische sleutel. De beheerconsoles zijn beveiligd met een wachtwoord, met blokkering na meerdere mislukte pogingen en in de tijd beperkte sessies.
• De beheeromgeving en de klantenruimte luisteren enkel op het interne netwerk van de server. Alleen de publieke webserver is aan het internet blootgesteld.
• De dienst gebruikt geen enkele externe afhankelijkheid: hij is geschreven met enkel de standaardbibliotheek van de taal. De onderdelen die bibliotheken van derden gebruiken, leggen hun versies vast in een lockbestand, en elke toevoeging wordt nagekeken. De updates van het besturingssysteem worden door onze hostingprovider toegepast.
• Dagelijkse back-ups van de gegevens van de dienst, dertig dagen bewaard, met hersteltests. De back-upbestanden zijn enkel leesbaar voor het technische account van de dienst. De server wordt bovendien elke dag gerepliceerd bij onze hostingprovider. Deze back-ups zijn niet versleuteld: de sleutel zou op de server moeten staan en zou met hem verdwijnen, waardoor de back-up onbruikbaar zou worden op het moment zelf dat ze nodig is.
• Logging van de technische verwerkingen en van de fouten, twaalf maanden bewaard. De logs van de webserver, die IP-adressen bevatten, worden dertig dagen bewaard door onze hostingprovider.
• Vertrouwelijkheidsverbintenis van de personen die toegang hebben tot de gegevens.
• Schriftelijke procedure voor het beheer van incidenten en inbreuken in verband met persoonsgegevens.
• Selectie en controle van de subverwerkers.
• Testomgevingen gescheiden van de productie: de testgegevens zijn verzonnen of geanonimiseerd, nooit gekopieerd uit de productie.
• Geen enkel gegeven van betaalkaarten wordt door FoodIt.Be opgeslagen.
• Veilige wissing van de gegevens aan het einde van hun bewaartermijn.