Lupasafe Privacyverklaring v1.6

Download deze privacyverklaring als PDF (v1.6)

Laatst bijgewerkt: 2 oktober 2026. Versie 1.6 verduidelijkt de datavelden die wij per medewerker vastleggen en voegt een sectie toe over het gebruik van AI. De overige tekst is ongewijzigd ten opzichte van versie 1.5.

Doel van de gegevensverwerking

Lupasafe geeft organisaties inzicht in hun cyberrisico's via dark-web-monitoring, kwetsbaarheids- en e-mailscans, phishing-simulaties, security-awareness-training, endpoint- en Microsoft 365-audits en compliance-rapportage. Wij zorgen ervoor dat uw persoonsgegevens vertrouwelijk worden behandeld en verwerkt in overeenstemming met de Algemene verordening gegevensbescherming (AVG). Uw persoonsgegevens kunnen voor de volgende doeleinden worden verwerkt:

1. Het sluiten en uitvoeren van een overeenkomst
2. Het leveren van diensten, producten en informatie
3. Het factureren van betaalde diensten of producten
4. Het versturen van gebruikersinformatie, servicemeldingen en andere niet-commerciële berichten
5. Het voldoen aan wettelijke en regelgevende verplichtingen, waaronder audits

Naleving van de AVG

Lupasafe zet zich in voor naleving van de AVG. Wij verzamelen alleen de noodzakelijke gegevens en verwerken deze zorgvuldig, en bieden betrokkenen de rechten die zij op grond van de AVG hebben, waaronder het recht op inzage, correctie en verwijdering. Uw persoonsgegevens worden verwerkt op basis van uw toestemming of, waar van toepassing, gerechtvaardigde belangen. Onze privacywerkwijze is erop gericht uw gegevens te beschermen, en wij actualiseren onze beveiligingsmaatregelen doorlopend. Persoonsgegevens en klantdata worden opgeslagen en verwerkt binnen de EU in Microsoft Azure (Amsterdam, Nederland). Technische scan- en testgegevens worden verwerkt op OVHcloud (EU).

Verzameling van gegevens

• Klanten: Bij het zakendoen verzamelen wij de noodzakelijke persoonsgegevens van klanten, vertegenwoordigers, contactpersonen en medewerkers, waaronder e-mailadressen, zakelijke telefoonnummers en bedrijfsadressen.
• Gebruiker platform Lupasafe: De vereiste gegevens omvatten:
  • Naam
  • E-mailadres
  • IP-adres van het apparaat, voor zover gekoppeld aan de medewerker
  • Kopie van tags uit Microsoft Entra ID, waaronder de kantoorlocatie
  • Phishing- en awareness-resultaten (awareness-profiel)
  • Gelekte of dark-web-gegevens (wachtwoorden gemaskeerd)

Als er Lupasafe-software wordt geïnstalleerd, kunnen op basis van het gebruik aanvullende gegevens worden verwerkt.

Authenticatie via derden en het delen van gegevens

Integratie met Google Workspace en Microsoft Entra ID

Lupasafe integreert met Google Workspace en Microsoft Entra ID (voorheen Azure AD) om naadloze authenticatie en gebruikersbeheer te bieden. Wanneer u uw account koppelt, verzamelen wij de volgende informatie:

• E-mailadres
• Voornaam
• Achternaam

Doel van de gegevensverzameling

Deze gegevens worden uitsluitend gebruikt om:

• Gebruikers te authenticeren en toegang te geven tot het Lupasafe-platform
• Gebruikerslijsten aan te maken voor bewustwordingstrainingen op het gebied van cybersecurity
• Gebruikersinformatie weer te geven in het dashboard van uw organisatie
• Communicatie over cyberrisico's en service-updates mogelijk te maken

Het delen en bekendmaken van gegevens

Wij verkopen geen gebruikersgegevens aan derden.

Wij gebruiken deze gegevens niet voor reclame- of marketingdoeleinden buiten onze eigen diensten.

Uw gegevens kunnen worden ingezien door of gedeeld met:

• Microsoft Azure (Amsterdam, Nederland): Onze hostingprovider, waar uw gegevens veilig worden opgeslagen en verwerkt met ISO- en NEN-certificeringen
• Geautoriseerde medewerkers van Lupasafe: Uitsluitend voor dienstverlening, technische ondersteuning en beveiligingsmonitoring

Wij dragen uw gegevens niet over aan andere derden, behalve wanneer dit wettelijk of op grond van wettelijke verplichtingen vereist is.

Naleving van het Google API Services User Data Policy

Ons gebruik van informatie die wij via Google API's ontvangen, voldoet aan het Google API Services User Data Policy, met inbegrip van de Limited Use-vereisten.

Toegang tot uw gegevens

Alleen geautoriseerde medewerkers van Lupasafe hebben toegang tot uw persoonsgegevens, en uw werkgever heeft toegang tot het dashboard voor inzicht in cyberrisico's. Neem contact op met uw werkgever om te weten wie toegang heeft tot het dashboard.

Bescherming tegen ongeautoriseerde toegang

Lupasafe treft technische en organisatorische maatregelen om ongeautoriseerde toegang, kopiëren, wijziging, verlies of openbaarmaking van persoonsgegevens te voorkomen. Alle interacties tussen endpoints en de servers van Lupasafe worden gelogd en gemonitord.

Bewaartermijnen

Bewaren en verwijderen. Tijdens het contract bewaart Lupasafe uw gegevens zolang het contract loopt; audit-logs worden na circa 3 maanden automatisch verwijderd en facturatiegegevens 7 jaar bewaard (wettelijke bewaarplicht). Op uw verzoek verwijderen wij gegevens binnen 30 dagen. Bij beëindiging verwijderen wij de klantgegevens binnen 30 dagen uit de live productieomgeving (uit het portaal binnen circa 1 dag) en uiterlijk binnen 2 maanden volledig uit de versleutelde back-ups. Back-ups staan binnen de EU (Microsoft Azure). Op verzoek ontvangt u een schriftelijke verwijderverklaring.

Grondslagen voor de gegevensverwerking

Gegevens worden verwerkt op basis van drie AVG-grondslagen:

1. Uitvoering van de overeenkomst: Noodzakelijke gegevens, zoals naam en betaalgegevens, voor dienstverlening en facturatie.
2. Gerechtvaardigd belang: Om klanten te informeren als hun gebruikersnamen of wachtwoorden na datalekken openbaar beschikbaar zijn.
3. Toestemming: Voor verwerkingen waarvoor u ons uitdrukkelijk toestemming geeft, bijvoorbeeld analyse- en trackingcookies. U kunt uw toestemming op elk moment intrekken.

Leveranciers

Wij stellen hoge eisen aan onze leveranciers, die gegevens uitsluitend in onze opdracht verwerken. Relevante leveranciers zijn onder meer:

• Microsoft Azure (Amsterdam): hosting, ISO 27001 en SOC 2.
• OVHcloud (EU): scan- en testomgeving.
• Have I Been Pwned (Australie): controle op gelekte e-mailadressen, met SCC-waarborg.

De actuele lijst van subverwerkers staat in de verwerkersovereenkomst.

Uw privacyrechten uitoefenen

U kunt per e-mail, telefoon of post contact met ons opnemen om uw rechten uit te oefenen:

Cookies

Lupasafe gebruikt technische en functionele cookies voor de werking van de website en het gebruiksgemak. Onze cookies zijn essentieel voor het functioneren van de website en zijn bedoeld om uw ervaring te verbeteren door instellingen te onthouden en onze inhoud te optimaliseren. Voor analyse- en trackingcookies (waaronder HubSpot en Google) vragen wij vooraf uw toestemming (opt-in); u kunt deze weigeren of later intrekken. Functionele cookies zijn noodzakelijk voor de werking van de website.

Gegevensbescherming

Lupasafe volgt strikte protocollen om uw gegevens te beschermen, zoals versleuteling en toegangscontrole. Ons beveiligingskader sluit aan bij:

• NIS2 (Supply Chain 10/20)
• ISO 27001
• Cyber Essentials Standard

Datalekken

Bij een (vermoedelijk) datalek informeren wij de betrokken klant (verwerkingsverantwoordelijke) onverwijld. Waar de wet dit vereist, melden wij binnen 72 uur aan de Autoriteit Persoonsgegevens. Wij werken mee aan onderzoek en beperking van de gevolgen.

Gegevensverwerking buiten de EU

Lupasafe verwerkt gegevens binnen de EU. Een verwerking vindt buiten de EU plaats: e-mailadressen worden gecontroleerd tegen Have I Been Pwned (Australie) om datalekken op te sporen. Deze doorgifte is afgedekt met de EU-modelcontractbepalingen (Standard Contractual Clauses, SCC).

Kunstmatige intelligentie (AI)

Wij gebruiken geen AI voor het genereren van phishingcontent en geen AI voor risicoscoring of prioritering. AI zetten wij uitsluitend in voor het vertalen van trainingcontent naar andere talen, met een in de EU gehost model binnen Microsoft Azure. De trainingcontent bevat geen persoonsgegevens. Wij gebruiken uw gegevens niet voor het trainen of verbeteren van modellen. Onder de AI-verordening is dit een toepassing met beperkt risico, geen hoog-risico-systeem, en er vindt geen geautomatiseerde besluitvorming over personen plaats.

Slotnotitie

Wij kunnen deze privacyverklaring bijwerken. De meest recente versie is beschikbaar op onze website. Als u vragen of klachten hebt, neem dan contact op via support@lupasafe.com. U hebt daarnaast het recht om een klacht in te dienen bij de privacytoezichthouder. In Nederland is dat de Autoriteit Persoonsgegevens (autoriteitpersoonsgegevens.nl).