Privacyverklaring Veralux

1. Wie verwerkt je gegevens

Network-IT BV, Adegemstraat 88, 2800 Mechelen, België, ondernemingsnummer BE 0553.500.113, RPR Antwerpen, afdeling Mechelen. Vragen over privacy: hello@network-it.be of +32 15 63 90 32.

Voor de gegevens uit de Microsoft 365-tenant van een klant treedt Network-IT BV op als verwerker: de klant is verwerkingsverantwoordelijke en bepaalt het doel (de audit) en de omvang (de toegekende rechten en de afgesproken reikwijdte). De verwerkersafspraken maken deel uit van de opdrachtovereenkomst. Voor de accounts van onze eigen consultants en voor de contactgegevens van klantbeheerders is Network-IT BV verwerkingsverantwoordelijke.

2. Wat de scanner leest, en wat niet

De scanner gebruikt uitsluitend Microsoft Graph application-rechten van het type alleen-lezen. De volledige lijst met de reden per recht staat op de toestemmingspagina die de klantbeheerder opent vóór hij toestemming geeft. De scanner wijzigt niets in de tenant.

Gelezen configuratie en metadata

• Organisatie en licenties: tenantnaam, geverifieerde domeinen, aangekochte en toegewezen licenties en serviceplannen.
• Gebruikers: gebruikersnaam (UPN), weergavenaam, afdeling en functie, accounttype (medewerker of gast), status, toegewezen licenties en de datum van de laatste succesvolle aanmelding.
• Groepen en teams: naam, zichtbaarheid, eigenaren, leden en sensitivity label.
• Beheerdersrollen, Privileged Identity Management-toewijzingen, Conditional Access-beleid, authenticatiemethoden en Secure Score.
• Toepassingen: service principals, application permissions en tenantbrede toestemmingen (welke app welke rechten heeft).
• Beveiliging: ernst, status, leeftijd en categorie van Defender-incidenten en Entra-risicodetecties. Geen alertinhoud, geen betrokken personen, geen IP-adressen.
• SharePoint en OneDrive: sites, documentbibliotheken, machtigingen op de root en op items, deellinks (type, bereik, vervaldatum), bestandsnamen en paden van gedeelde items, grootte, wijzigingsdatum en sensitivity labels.
• Gebruiksrapporten (180 dagen) over SharePoint, OneDrive, Teams en e-mail, geaggregeerd per afdeling; nooit per persoon in een rapport.
• Optioneel, via de sidecar in de klanttenant: Data Access Governance-rapporten van SharePoint Advanced Management en Purview-configuratie (labels, DLP-beleid, retentie, auditinstellingen). De klant kiest zelf of en wanneer hij die aanlevert.

Niet gelezen

• De inhoud van bestanden, e-mails, chats of agenda's.
• Wachtwoorden, wachtwoordhashes of authenticatiegeheimen van gebruikers.
• Toegangstokens worden per scan in het geheugen verkregen en nooit opgeslagen.

3. Waarvoor en op welke grond

• Uitvoering van de opdracht (art. 6.1.b AVG): de audit beoordeelt of de tenant klaar is voor Microsoft 365 Copilot en AI-agents, met bevindingen op objectniveau zodat de klant gericht kan saneren.
• Gerechtvaardigd belang van de klant (art. 6.1.f AVG) bij informatiebeveiliging en bij het voorkomen van overdeling van persoonsgegevens vóór een AI-uitrol.
• Voor platformaccounts en klantcontacten: uitvoering van de overeenkomst en ons gerechtvaardigd belang bij een beveiligd, controleerbaar platform (toegangslogboek).

De toestemming die een Global Administrator in Microsoft Entra geeft, is de technische toegangsgrond voor de app. Ze kan op elk moment worden ingetrokken door de bedrijfstoepassing in Entra te verwijderen; vanaf dan kan de scanner niets meer lezen.

4. Hoe we beveiligen

• Ruwe scanresultaten (evidence) worden versleuteld opgeslagen met AES-256-GCM, met sleutelversies en een gedocumenteerde rotatieprocedure. De sleutel staat niet bij de database-back-ups.
• Toegang per organisatie: een consultant ziet alleen de klanten waarvoor hij is geautoriseerd. Elke raadpleging, export en afdruk van een rapport staat in een niet-wijzigbaar toegangslogboek.
• Aanmelden op het platform gebeurt met het werkaccount van Network-IT BV, onder onze eigen MFA- en Conditional Access-voorwaarden.
• Rapporten hebben een privacyniveau. Standaard worden personen gemaskeerd; een volledig anoniem rapport vervangt alle identificatoren door stabiele pseudoniemen. De sleutel om pseudoniemen terug te vertalen is alleen beschikbaar voor wie de audit beheert en elke download wordt gelogd.
• Offline bundels van de sidecar zijn door de klant ondertekend (Ed25519) en worden geweigerd als handtekening, tenantkoppeling of versie niet klopt. Certificaten en private sleutels van de klant verlaten de klanttenant nooit.
• Hosting op infrastructuur van Network-IT BV in België. Gegevens blijven binnen de Europese Unie.

5. Wie de gegevens nog ziet

• Microsoft: de scanner leest via Microsoft Graph uit de eigen tenant van de klant; Microsoft blijft daarbij de verwerker van de klant onder de bestaande Microsoft-overeenkomst.
• Resend (e-mailverzending) voor platformmails zoals uitnodigingen en notificaties: alleen zakelijke e-mailadressen en de inhoud van de melding.
• Anthropic, uitsluitend wanneer de consultant een managementsamenvatting laat genereren: het model krijgt alleen de geaggregeerde cijfers van het managementrapport (scores, aantallen, controltitels en de organisatienaam), nooit objectnamen, gebruikersnamen of evidence. De tekst wordt als modelgegenereerd gemarkeerd en bepaalt nooit een score of oordeel.

Gegevens worden niet verkocht en niet voor andere doeleinden gebruikt dan de opdracht. Er is geen geautomatiseerde besluitvorming met rechtsgevolgen voor personen.

6. Hoe lang we bewaren

• Scanresultaten, bevindingen en versleutelde evidence: voor de duur van de opdracht en tot 24 maanden na de laatste scan, zodat een hertoets de verandering kan tonen. Korter op verzoek van de klant; langer alleen bij een afgesproken bewaarplicht of legal hold.
• Door de klant aangeleverde documenten (intake, beleid, runbooks): dezelfde termijn als de opdracht waartoe ze horen.
• Toegangslogboek: minimaal 12 maanden, niet wijzigbaar, zodat raadplegingen achteraf verantwoord kunnen worden.
• Toestemmings- en sidecarlinks vervallen automatisch na respectievelijk 7 en 14 dagen.

Verwijdering gebeurt volgens een gecontroleerde procedure met vier-ogencontrole; de klant krijgt een bevestiging met datum en omvang.

7. Je rechten

Betrokkenen (medewerkers en gasten van de klant) oefenen hun rechten op inzage, verbetering, verwijdering, beperking en bezwaar uit bij hun eigen organisatie, de verwerkingsverantwoordelijke; wij ondersteunen die verzoeken binnen de afgesproken termijnen. Platformgebruikers en klantcontacten kunnen rechtstreeks bij ons terecht via hello@network-it.be.

Je kan een klacht indienen bij de Gegevensbeschermingsautoriteit, Drukpersstraat 35, 1000 Brussel, gegevensbeschermingsautoriteit.be.

8. Cookies

Het platform gebruikt uitsluitend functionele cookies voor de aangemelde sessie en de beveiliging daarvan (CSRF). Er zijn geen analytics-, advertentie- of trackingcookies. De publieke toestemmings- en sidecarpagina's plaatsen geen cookies.

9. Wijzigingen

Bij een inhoudelijke wijziging passen we de datum bovenaan aan en informeren we lopende klanten. De versie die gold op het moment van een scan, blijft bij die scan traceerbaar via de controlcatalogusversie in het rapport.

Algemene voorwaarden van Network-IT BV: https://www.network-it.be/algemene-voorwaarden/. Gebruiksvoorwaarden van het platform: https://veralux.network-it.be/voorwaarden.