Trust Centre HumanCapitalCare

U treedt zelf op als verwerkingsverantwoordelijke voor uw gegevens. Dit betekent dat u als werkgever bepaalt welke gegevens worden verwerkt en met welk doel, bijvoorbeeld in het kader van casemanagement. Als u gebruik maakt van dit werkgeversportaal heeft u IT&Care aangesteld als verwerker. Bij de introductie van het werkgeversportaal van BlueVi maakt IT&Care gebruik van de software en diensten van Visma Verzuim B.V. (de leverancier van BlueVi) als subverwerker. Met Visma Verzuim B.V. is een subverwerkersovereenkomst gesloten, waarin is vastgelegd dat zij uw gegevens alleen volgens de instructies van de verwerkingsverantwoordelijke mogen verwerken en passende beveiligingsmaatregelen treffen. IT&Care en Visma (BlueVi) werken zo samen om uw gegevens veilig en vertrouwelijk te behandelen, ieder binnen hun eigen rol en verantwoordelijkheid.

Alle gegevens die in BlueVi worden verwerkt, worden opgeslagen in de cloudomgeving van Microsoft Azure. Deze cloudservers bevinden zich fysiek in Nederland, waardoor uw data binnen Nederland en de Europese Economische Ruimte (E.E.R.) blijft. Microsoft Azure voldoet aan strenge eisen voor gegevensresidentie en compliance. De Azure-datacenters bieden een robuuste, moderne infrastructuur met hoge beschikbaarheid, beveiliging en noodherstelmogelijkheden. De Azure-omgeving voor IT&Care is zo ingericht dat alleen geautoriseerde partijen (IT&Care en Visma Verzuim) toegang hebben. Hiermee garanderen we dat uw klantgegevens veilig gehost worden onder toezicht van IT&Care in de Nederlandse Azure-regio, conform alle relevante wet- en regelgeving.

Zowel IT&Care als Visma Verzuim beschikken over toonaangevende certificeringen die aantonen dat zij voldoen aan hoge normen voor informatiebeveiliging en privacy:
IT&Care B.V.: ISO/IEC 27001 en NEN 7510 gecertificeerd. Hiermee voldoet IT&Care aan de hoogste eisen voor procesbeheersing en bescherming van medische en persoonsgegevens. IT&Care is tevens geregistreerd bij de Autoriteit Persoonsgegevens als verwerker. (Link naar certificaten)

BlueVi / Visma Verzuim B.V.: ISO/IEC 27001 en NEN 7510 gecertificeerd voor haar BlueVi platform. Daarnaast beschikt Visma Verzuim over een ISAE 3000 Type II assurance-verklaring, waarin de belangrijkste privacy-controles jaarlijks onafhankelijk worden getoetst. 
Deze certificeringen worden jaarlijks door externe auditors geverifieerd, wat bevestigt dat alle partijen continu werken volgens strikte beveiligingsstandaarden en wetgeving.

Hier vindt u de links naar onze certificeringen:
Certificaat ISO IEC 27001 2022
Certificaat NEN 7510 2017
Verklaring Van Toepasselijkheid Iso 27001 Versie 3.1
Verklaring Van Toepasselijkheid Nen 7510 Versie 3.2

Er zijn uitgebreide technische en organisatorische maatregelen getroffen om uw gegevens in BlueVi te beschermen tegen onbevoegde toegang of verlies. Enkele belangrijke beveiligingsmaatregelen zijn:

Encryptie: Alle gegevens worden versleuteld opgeslagen en verzonden. Dat wil zeggen dat informatie zowel in transit (tijdens dataverkeer) als at rest (opslag) versleuteld is, zodat onbevoegden er geen gebruik van kunnen maken. 

Toegangsbeheer: Strikte toegangscontroles zijn ingericht. Alleen geautoriseerde medewerkers kunnen bij uw gegevens en dan nog uitsluitend voor de uitvoering van hun taken. Toegang tot BlueVi verloopt via persoonlijke accounts met sterke wachtwoorden en multi-factor authenticatie. 

Veilig ontwikkeling & beheer: IT&Care en Visma passen security by design toe. De software wordt ontwikkeld en beheerd volgens strikte coderingrichtlijnen en beveiligingsprocedures, inclusief het gebruik van SAST tooling. Medewerkers volgen verplichte security awareness trainingen, inclusief OWASP top 10 om veilig werken te waarborgen. Er is een centraal patchmanagementproces voor het tijdig testen en uitrollen van beveiligingsupdates op alle beheerde systemen, zodat bekende kwetsbaarheden snel worden verholpen.

Continuïteit: (nog toe te voegen op later tijdstip)

Fysieke en netwerkbeveiliging: De onderliggende Azure-cloudomgeving biedt sterke fysieke beveiliging van datacenters en netwerkbeveiliging (firewalls, DDoS-bescherming, continue logbewaking). De infrastructuur en het dataverkeer wordt voortdurend in de gaten gehouden en beschermd. 

Toegang tot uw gegevens is streng beperkt tot bevoegde personen en gebeurt op basis van het need-to-know-principe. In de praktijk betekent dit dat alleen daartoe geautoriseerde gebruikers bij uw gegevens kunnen:

IT-beheerders (IT&Care): Een beperkt aantal IT-beheerder(s) van IT&Care heeft toegang tot de systemen voor onderhoud en ondersteuning. Deze toegang is strikt gereguleerd en gelogd onder de NEN 7510- en NEN 7513-norm. Deze IT&Care-medewerkers behandelen alle persoonsgegevens, waaronder medische gegevens, vertrouwelijk. Deze IT&Care-medewerkers hebben een geheimhoudingsplicht ondertekend.

BlueVi support (Visma): Medewerkers van Visma Verzuim (BlueVi) hebben geen standaard toegang tot klantgegevens. In uitzonderlijke gevallen, bijvoorbeeld voor technische support of incidentafhandeling, kan tijdelijke toegang nodig zijn. Dit gebeurt uitsluitend met toestemming van IT&Care en onder strenge voorwaarden volgens de verwerkersovereenkomst.

Geen enkele externe partij of onbevoegd persoon kan bij uw gegevens. De rollen en rechten binnen BlueVi zijn zo ingericht dat elke gebruiker alleen die informatie ziet die voor zijn/haar rol relevant is. Zo blijven privacy en vertrouwelijkheid gewaarborgd.

IT&Care en haar partners voldoen volledig aan de Algemene Verordening Gegevensbescherming (AVG), internationaal bekend als GDPR. Dit betekent onder andere:

Verwerkersovereenkomsten: Er zijn juridisch bindende overeenkomsten gesloten tussen IT&Care en Visma (BlueVi), waarin de afspraken rondom gegevensverwerking, vertrouwelijkheid en beveiliging zijn vastgelegd conform de AVG. 

Doelbinding en minimale data: Uw persoonsgegevens worden alleen verwerkt voor het specifieke doel waarvoor ze verzameld zijn (bijvoorbeeld begeleiding bij verzuim). Daarnaast wordt er niet meer data verzameld dan noodzakelijk.

Rechten van betrokkenen: IT&Care hecht grote waarde aan de bescherming van persoonsgegevens en respecteert de privacyrechten van uw medewerkers. Dit betekent dat medewerkers altijd het recht hebben op inzage in hun gegevens, het recht om onjuiste gegevens te laten corrigeren, en het recht om gegevens te laten verwijderen wanneer dat gerechtvaardigd is.. Volgens de AVG dient een betrokkene zijn of haar rechten uit te voeren bij de verwerkingsverantwoordelijke. In het geval van de werknemersadministratie in het werkgeversportaal bent u als werkgever zelf de verwerkingsverantwoordelijke. Mocht uw werknemer gebruik willen maken van zijn/haar rechten, dan verleent IT&Care alle redelijke medewerking om ervoor te zorgen dat u, als werkgever, kan voldoen aan de verplichtingen rondom uw verzoeken. Hoe u uw werknemer zijn/haar rechten bij u kan uitvoeren, dient u zelf op te nemen in uw eigen toepasselijke privacyreglementen. Via ons privacyreglement kunnen uw werknemers  deze rolverdeling nalezen:

Toezicht door Functionaris Gegevensbescherming: Binnen HumanTotalCare, waar IT&Care onderdeel vanuit maakt, is een Functionaris Gegevensbescherming (FG) aangesteld die toeziet op naleving van privacy wet- en regelgeving. De contactgegevens van de FG zijn opgenomen in het privacyreglement.

Bewaartermijnen: In BlueVi is een functionaliteit beschikbaar waarmee klanten zelf bewaartermijnen kunnen instellen en beheren. Het is uw verantwoordelijkheid om de toepasselijke wet- en regelgeving bewaartermijnen correct in te richten, zodat gegevens automatisch verwijderd of bewaard worden. IT&Care verwerkt en verwijdert gegevens conform uw instructies.

Jaarlijkse privacy-audit: De belangrijkste privacymaatregelen van Visma Verzuim (BlueVi) worden jaarlijks onafhankelijk getoetst in het kader van een ISAE 3000 Type II audit. Ook IT&Care wordt periodiek geaudit op haar AVG-compliance. Hiermee is aantoonbaar dat de verwerking van persoonsgegevens conform wet- en regelgeving verloopt.

Zowel IT&Care als Visma (BlueVi) hebben duidelijke procedures voor incident- en datalekbeheer. Veiligheid en transparantie staan hierbij voorop. Dit houdt onder andere in:

Incident detectie: Onze IT-omgeving wordt 24/7 gemonitord op verdachte activiteiten of kwetsbaarheden. IT&Care heeft real-time monitoring ingericht en houdt de infrastructuur voortdurend in de gaten. Door het interne Security Operations team wordt er onder andere gebruikt gemaakt van NIDS, XDR, SIEM en SOAR technologieën, ondersteunt door een externe Managed Detection & Response provider die is aangesloten bij het Z Cert en ook DFIR-diensten biedt. 

Incident responsplan: Mocht er onverhoopt een beveiligingsincident of datalek optreden, dan treedt er direct een incident responseplan in werking. Bevoegde security- en privacy officers van IT&Care als Visma werken gezamenlijk om het lek te dichten, de impact te beperken en herhaling te voorkomen. Hierbij handelen zij strikt volgens de wet, contractuele afspraken en interne procedures.

Meldplicht en communicatie: Conform de AVG en de meldplicht datalekken informeert IT&Care u zo spoedig mogelijk  indien uw gegevens zijn geraakt door een ernstig datalek. U ontvangt dan informatie over de aard van het lek, welke gegevens zijn betrokken, de (verwachte) gevolgen en de getroffen maatregelen. Omdat u verwerkingsverantwoordelijke bent voor de gegevens, bent u zelf verplicht om het datalek, indien meldplichtig, te melden bij de Autoriteit Persoonsgegevens (AP) en, indien van toepassing, de betrokkenen te informeren. IT&Care ondersteunt u daarbij door tijdig en volledig de benodigde informatie aan te leveren zoals vastgelegd in de verwerkersovereenkomst. We streven altijd naar transparantie en zorgvuldige afhandeling in dergelijke situaties.

Continue verbeteren: Na afhandeling van major incidenten voeren we een evaluatie uit. Waar nodig verbeteren we onze beveiligingsmaatregelen en processen om toekomstige incidenten te voorkomen.

Dankzij onze detectie technologieën, proactieve aanpak en snelle reactiecapaciteit kunnen we incidenten effectief beheersen. Uiteraard zetten we alles op alles om een datalek te voorkomen. Mocht het toch gebeuren, dan wordt u correct en tijdig geïnformeerd en worden de juiste stappen ondernomen om uw gegevens te beschermen.
 

Ja, er vinden continu audits en tests plaats om de veiligheid van onze systemen en het BlueVi-platform te garanderen. Veiligheidsborging is een doorlopend proces bij IT&Care en Visma Verzuim (BlueVi):

Externe certificeringsaudits: Zowel IT&Care en Visma Verzuim worden jaarlijks (en vaak meerdere keren per jaar) extern geaudit voor de ISO 27001 en NEN 7510 certificeringen. Onafhankelijke auditoren controleren of onze informatiebeveiliging nog steeds aan alle eisen voldoet. We slagen steevast voor deze audits en zijn transparant in het delen van bevindingen met klanten. 

Interne audits en verbetercyclus: Los van externe audits hebben wij een intern Information Security Management System (ISMS) dat continu wordt verbeterd. We voeren interne controles en audits uit, houden risico-analyses actueel en zorgen voor up-to-date beveiligingsbeleid en procedures. Bevindingen uit audits of tests leiden tot concrete verbeteracties, die we tijdig implementeren.

Penetratietesten en kwetsbaarheidsscans: IT&Care voert doorlopend geautomatiseerde kwetsbaarheidsscans uit op al onze infrastructuurcomponenten: van broncode en netwerkassets tot laptops, servers, cloudomgevingen en applicaties. Deze activiteiten worden gecoördineerd en gemonitord door ons interne Security Operations Team, dat gebruikmaakt van moderne technologieën en actuele threat intelligence om risico’s vroegtijdig te detecteren en te mitigeren. Daarnaast werken we samen met een gerenommeerde externe partner voor het jaarlijks uitvoeren van penetratietesten op alle kritieke systemen en externe (internet-facing) componenten. Een recente test, inclusief een dataflow- en architectuurdiagram van onze dienstverlening, én een overzicht van de laatste testresultaten vindt u in het volgende rapport: (wordt later toegevoegd)

IT&Care faciliteert veilige en betrouwbare koppelingen met externe systemen, zoals HR-, salaris- of verzuimsystemen van klanten. Deze integraties worden in principe gerealiseerd op basis van de SIVI Verzuimstandaard, zoals gepubliceerd door Stichting SIVI. Deze standaard beschrijft heldere gegevensdefinities, procesafspraken en koppelvlakken (API’s en berichtenverkeer) voor het veilig en interoperabel uitwisselen van verzuimgegevens. Door deze standaard te hanteren, borgen we zowel een gestandaardiseerde integratie-aanpak als gegevensbescherming, en kunnen we snel koppelen met veelgebruikte systemen in de markt. Indien nodig kunnen ook maatwerkinterfaces of alternatieve beveiligde koppelingen worden ingericht, uiteraard conform onze informatiebeveiligings- en privacyrichtlijnen. 

Klantgegevens worden logisch gescheiden in de onderliggende databasestructuur. Elke klant heeft een eigen, afgeschermde dataset, waardoor uw data strikt gescheiden blijft van data van andere klanten. IT&Care beheert de databaseversleuteling en sleutelopslag centraal; gebruik van door klanten beheerde sleutels (customer managed keys) is niet van toepassing. Daarnaast wordt de databaseomgeving actief gehard en beveiligd volgens best practices, zodat integriteit en vertrouwelijkheid van data gewaarborgd zijn binnen de multitenant architectuur.

U heeft in principe beperkte directe toegang tot logging vanuit onze systemen. Wij adviseren daarom om, waar mogelijk, gebruik te maken van Single Sign-On (SSO), zodat logging en gebruikersbeheer grotendeels binnen de eigen IT-omgeving geregeld kan worden. IT&Care logt alle relevante toegang en verwerking van persoonsgegevens volgens de NEN 7513-norm. In geval van een beveiligingsincident stellen wij aan u noodzakelijke loggegevens ter beschikking, indien dit relevant is voor onderzoek of verantwoording.

Niet in alle gevallen is een verwerkersovereenkomst vereist. IT&Care hanteert het volgende uitgangspunt:

• Bij negatieve registratie, waarbij uitsluitend gegevens van werknemers met een zorgvraag worden uitgewisseld met de arbodienst HumanCapitalCare, is géén verwerkersovereenkomst tussen de klant en IT&Care nodig. Dit geldt ook als er gebruik wordt gemaakt van een technische koppeling. IT&Care treedt in deze situatie niet op als uw verwerker, maar faciliteert slechts de gegevensuitwisseling naar de arbodienst.
• Bij positieve registratie, waarbij u ook gegevens van werknemers zonder zorgvraag deelt (in het werkgeversportaal of via een koppeling), is wél een verwerkersovereenkomst tussen u, als werkgever, en IT&Care vereist. In dit geval verwerkt IT&Care persoonsgegevens in uw opdracht en fungeert IT&Care dus als verwerker.

Als er sprake is van negatieve registratie, maar u maakt wel gebruik van het werkgeversportaal als onderdeel van de dienstverlening, dan kan dat leiden tot een andere situatie. Als u het portaal actief gebruikt voor eigen verzuimregistratie, dan is een verwerkersovereenkomst tussen u en IT&Care noodzakelijk. Wordt het portaal enkel passief gebruikt om terugkoppelingen van de arbodienst te raadplegen, dan is dit niet vereist.

Overstappen van negatieve naar positieve registratie mag niet zelfstandig door uzelf worden doorgevoerd. Hiervoor is altijd afstemming met uw accountmanager van HumanCapitalCare nodig, zodat de contractuele afspraken worden aangepast en indien van toepassing een verwerkersovereenkomst met IT&Care wordt gesloten.