Beveiliging en subverwerkers
Wat een CISO of een koper moet kunnen controleren voordat hij ons zijn inventaris toevertrouwt: waar onze servers draaien, wie uw gegevens nog meer ziet passeren, wat het platform beschermt en naar wie u moet schrijven als u er een fout in ontdekt.
Hosting en locatie
De applicatie, de database, de zoekmachine en onze mailserver draaien op servers die worden beheerd door OVHcloud (OVH SAS), een Frans bedrijf, in datacentra in Frankrijk.
De website en de applicatie worden bediend via Cloudflare, die fungeert als een omgekeerde proxy: paginalevering, bescherming tegen denial-of-service-aanvallen en filtering van kwaadaardig verkeer. Zoals elke reverse proxy ziet Cloudflare de IP-adressen, headers en inhoud van verzoeken passeren. Cloudflare, Inc. is een Amerikaans bedrijf met een wereldwijd netwerk, dus we behandelen deze stroom als een overdracht buiten de Europese Unie, gedekt door de onderstaande waarborgen.
Onze subverwerkers
Hier vindt u de volledige lijst van de aanbieders die namens ons persoonsgegevens verwerken. Het komt ook voor in onze privacybeleid.
| Subverwerker | Rol | Betrokken gegevens | Land | Beveiligingen voor overdracht |
|---|---|---|---|---|
| OVHcloud (OVH SAS) | Hosting van de servers, de database en de mailserver | Alle servicegegevens: accounts, inventarissen, waarschuwingen, cases, logs, verzonden e-mails | Frankrijk | Niet van toepassing: gehost in Frankrijk |
| Wolkflare, Inc. | Reverse proxy, paginalevering (CDN) en aanvalsbescherming, vóór de website en de applicatie | IP-adressen, headers en inhoud van de aanvragen die passeren | Verenigde Staten | Certificering onder het EU-VS-certificaat Data Privacy Framework en de standaardcontractbepalingen van de Europese Commissie |
| PostHog, Inc. | Publieksmeting voor de website en de applicatie | Paginaweergaven, klikken, technische browserinformatie, IP-adres. Alleen met uw toestemming: een permanente identificatie, sessie-opname (getypte invoer gemaskeerd) en, in de applicatie, de identificatie van uw account, e-mailadres, naam, rol, taal en plan | Amerikaans bedrijf; gegevens gehost in de EU (Frankfurt) | Gegevensverwerkingsovereenkomst (DPA) en standaardcontractbepalingen |
| Mistral AI | “Vigie”-assistent en AI-functies | Berichten verzonden naar de assistent en de technische context die nodig is om te antwoorden (componenten, waarschuwingen, CVEs, datums voor einde levensduur), alleen als u deze functies gebruikt | Frankrijk; gehost in de EU | Niet van toepassing: verwerkt in de Europese Unie |
| Paddle (Paddle.com markt beperkt) | Officiële reseller (Merchant of Record): betaling, facturering en belastingen voor abonnementen | Naam, e-mailadres, factuuradres, BTW-nummer, betaalmethode (ingevoerd met Paddle, nooit bij ons) | Verenigd Koninkrijk | Adequaatheidsbesluit van de Europese Commissie voor het Verenigd Koninkrijk, of standaardcontractbepalingen |
E-mails (alerts, samenvattingen, serviceberichten) worden verzonden vanaf onze eigen mailserver, gehost door OVHcloud: er is geen e-mailbezorgingsprovider betrokken. Ze zijn DKIM-ondertekend en ons domein publiceert SPF- en DMARC-records.
Meldingen die u instelt voor uw eigen tools (Slack, Microsoft Teams, webhooks) gaan naar de bestemmingen die u kiest: die services zijn van u, niet van onze subverwerkers.
Wij gebruiken uw gegevens niet om een model te trainen. Volgens de voorwaarden van Mistral AI worden de gegevens die naar de betaalde API worden verzonden, ook niet gebruikt om de modellen te trainen; het wordt 30 dagen bewaard voor detectie van misbruik.
Maatregelen aanwezig
Deze lijst bevat alleen maatregelen die vandaag de dag werken. Wat er niet op staat, claimen wij niet.
Accounts en authenticatie
- Wachtwoorden gehasht met bcrypt, nooit opgeslagen in platte tekst.
- Tweefactorauthenticatie met op tijd gebaseerde codes (TOTP, RFC 6238), beschikbaar op elk account, met herstelcodes voor eenmalig gebruik. Als u dit inschakelt, worden de andere open sessies gesloten.
- OpenID Connect eenmalige aanmelding (SSO) op het Business-abonnement, met verificatie van de domeinen van de organisatie.
- Toegangstokens geldig voor 15 minuten, vernieuwd met sessietokens voor eenmalig gebruik die 7 dagen geldig zijn, opgeslagen in HttpOnly en Secure-cookies.
- Als u een wachtwoord wijzigt of opnieuw instelt, wordt elke sessie van het account afgesloten.
- Het aantal pogingen bij aanmelden, aanmelden, tweefactorauthenticatie en verzoeken om wachtwoordherstel is beperkt, met een waarschuwing aan ons team wanneer de limiet wordt overschreden.
Applicatie en API
- Over de applicatie: een strikt content security policy (CSP) met een nonce vernieuwd bij elke aanvraag; weergave binnen frames van derden geblokkeerd; HSTS, X-Content-Type-Options, Referrer-Policy en Permissions-Policy headers.
- Op de website: X-Frame-Options, X-Content-Type-Options en Referrer-Policy headers.
- API-sleutels worden alleen opgeslagen als hashes, zijn herroepbaar en kunnen worden beperkt tot specifieke gegevensfamilies.
- SSO-verbindingsgeheimen gecodeerd in de database.
Infrastructuur
- De database, de cache en de zoekmachine luisteren alleen naar de lokale interface van de server: ze zijn niet bereikbaar vanaf internet. De API is alleen te bereiken via de webserver aan de voorkant.
- Services zijn verdeeld over afzonderlijke Docker-netwerken. De applicatie- en websitecontainers draaien zonder rootrechten, zonder Linux-mogelijkheden en met uitgeschakelde privilege-escalatie; de container van de applicatie draait op een alleen-lezen bestandssysteem.
Traceerbaarheid
- Auditlogboek van gevoelige acties: aanmeldingen, wachtwoordwijzigingen, groepen en machtigingen, SSO-configuratie, inventariswijzigingen, beheeracties. Bewaard gedurende 30 dagen (Free), 90 dagen (Team), 1 jaar (Pro) of 5 jaar (Business); organisatiebeheerders kunnen het raadplegen op de Pro- en Business-abonnementen.
Softwaretoeleveringsketen
- We produceren een softwarestuklijst (SBOM) in CycloneDX-formaat op basis van de daadwerkelijk geïmplementeerde afbeeldingen: systeempakketten, bibliotheken en afhankelijkheden, met hun exacte versies. U kunt deze bij ons opvragen voor uw leveranciersbeoordeling.
Een kwetsbaarheid melden
Denk je dat je een fout in TechWatchAlert hebt gevonden? Schrijf naar [email protected]. Dit adres wordt ook gepubliceerd in het standaard security.txt-formaat (RFC 9116), op de website evenals op de applicatie.
Reikwijdte
- In scope: de techwatchalert.com-website en de applicatie en de API op app.techwatchalert.com.
- Buiten bereik: de diensten van onze subverwerkers (meld deze aan de betreffende leverancier), denial-of-service-aanvallen, social engineering en rapporten van geautomatiseerde tools zonder aangetoonde impact.
Regels testen
- Test met uw eigen accounts. Krijg geen toegang tot de gegevens van andere gebruikers en wijzig deze niet, en bewaar alleen wat voor de demonstratie vereist is.
- Voor het geautomatiseerd of indringend testen (scans, fuzzing, injection) van onze infrastructuur is voorafgaande schriftelijke toestemming vereist, zoals bepaald in Artikel 12.3 van de Gebruiksvoorwaarden: schrijf ons voordat u ze uitvoert.
- Geef ons de tijd om het probleem op te lossen voordat er enige publicatie plaatsvindt, en laten we samen de datum afspreken.
Wat een nuttig rapport bevat
- de betreffende pagina, adres of API-eindpunt;
- de stappen om te reproduceren, met de relevante verzoeken en antwoorden;
- de impact die je hebt kunnen aantonen;
- hoe ik contact met u kan opnemen.
Waar wij ons voor engageren
Wij erkennen elke melding, houden u op de hoogte van de afhandeling ervan totdat deze is opgelost en spreken met u de publicatiedatum af. Wij ondernemen geen juridische stappen tegen iemand die te goeder trouw en binnen deze regels heeft gehandeld, zoals bepaald in Artikel 12.2 van de Gebruiksvoorwaarden.
TechWatchAlert in uw NIS2-beoordeling
Als uw organisatie valt onder de NIS2-richtlijn, is TechWatchAlert een van uw leveranciers: artikel 21.2.d vraagt u om rekening te houden met de veiligheid van uw toeleveringsketen. Op deze pagina wordt verzameld wat een dergelijke beoordeling doorgaans van een leverancier vraagt. Voor een vragenlijst of een gegevensverwerkingsovereenkomst (DPA), schrijf ons.
TechWatchAlert biedt ook tooling voor een deel van uw eigen verplichtingen: monitoring waaronder CERT-FR en de EUVD, een register van geaccepteerde risico's, saneringsdeadlines, leveranciers, incidenten. Wat het aanbod omvat, en wat niet.
Veelgestelde vragen
Verlaten mijn gegevens de Europese Unie?
De gegevens van de dienst worden gehost in Frankrijk, met OVHcloud. Buiten de Europese Unie zijn drie subverwerkers gevestigd: Cloudflare, die het webverkeer doorlaat, en PostHog, die het publiek meet, zijn Amerikaans; Paddle, dat de facturering afhandelt, is Brits. Elk van deze overdrachten valt onder een waarborg waarin de AVG voorziet, zoals weergegeven in de tabel met subverwerkers.
Gebruiken jullie mijn gegevens om een AI te trainen?
Nee. Wanneer u de Vigie-assistent gebruikt, gaan uw vraag en de relevante technische context naar de betaalde API van Mistral AI, gehost in de Europese Unie. Volgens de voorwaarden van Mistral AI worden deze gegevens niet gebruikt om de modellen te trainen en worden ze 30 dagen bewaard voor detectie van misbruik.
Wacht het meten van doelgroepen op uw toestemming?
Gedeeltelijk. Zonder uw toestemming meet PostHog het verkeer zonder cookies of opslag in uw browser, zonder sessieregistratie en zonder iets aan uw account te koppelen. Met uw toestemming worden er cookies geplaatst, worden sessies geregistreerd waarbij de getypte velden worden gemaskeerd en worden in de applicatie gebeurtenissen aan uw account gekoppeld.
Kunnen wij een gegevensverwerkingsovereenkomst (DPA) ondertekenen?
Ja, op verzoek vanaf het Team-abonnement en ondertekend met het Business-abonnement. Vraag ernaar, met uw eigen sjabloon als u die heeft; anders bieden wij de onze.
Hoe meld ik een kwetsbaarheid?
Schrijf naar [email protected], volg het gedeelte 'Een kwetsbaarheid melden' op deze pagina: reikwijdte, testregels en wat een nuttig rapport bevat.