Security & Data Statement

1. Data-architectuur

Het Platform bestaat uit één webapplicatie met een bijbehorende website, gehost op een eigen virtuele server. Alle data van het Platform staat op die server in bestandsgebaseerde datasets en een lokale database; er is geen externe databasedienst. De code van het Platform wordt versiebeheerd; gebruikersaccounts, logbestanden en klantvertrouwelijke bestanden worden bewust buiten het versiebeheer gehouden en uitgesloten van uitrol.

Het Platform kent twee soorten gegevens met een verschillend regime: publieke, gedeelde marktintelligentie (sectie 2) en klantvertrouwelijke informatie (sectie 3).

2. Publieke en gedeelde data

De gedeelde marktintelligentie is opgebouwd uit publieke en openbaar toegankelijke bronnen: jaarverslagen van pensioenfondsen, verslagen en publicaties van uitvoerders en vermogensbeheerders, open data van De Nederlandsche Bank, publicaties van toezichthouders en persberichten. Elk gegeven draagt een bronverwijzing (document, pagina en waar mogelijk het letterlijke citaat) en een zekerheidsniveau. Deze dataset is voor alle klanten gelijk.

3. Klantvertrouwelijke data

Klantvertrouwelijke informatie is alles wat een klant aan ons verstrekt en wat niet uit openbare bronnen afkomstig is, zoals mandaat-, contract- of vergoedingsinformatie, interne beleidsstukken en aantekeningen uit gesprekken. Functionaliteit waarmee klanten zelf gegevens in het Platform uploaden wordt op dit moment beperkt aangeboden; waar zij wordt gebruikt, geldt onderstaand regime.

Client-private information is not incorporated into PensionAssetIQ's shared market intelligence dataset without explicit customer permission. Klantvertrouwelijke informatie wordt niet gedeeld met andere klanten en niet gebruikt om profielen of analyses van andere partijen te verrijken.

4. Data-isolatie

Klantvertrouwelijke bestanden en relatiebeheergegevens staan in aparte, van de gedeelde datasets gescheiden opslaglocaties op de server, die buiten het versiebeheer en buiten de uitrolprocedure vallen. Toegang tot deze onderdelen in het Platform is beperkt tot beheerders. Het Platform is op dit moment een gedeelde omgeving voor alle klanten: gebruikers zien de gedeelde marktintelligentie en de fondsen en modules die aan hun account zijn toegekend. Strikte technische scheiding per klantorganisatie (multi-tenant isolatie) is nog niet geïmplementeerd en staat op de roadmap.

5. Toegangsbeheer

• Toegang tot het Platform is uitsluitend op uitnodiging; accounts worden door PensionAssetIQ aangemaakt.
• Het Platform kent drie rollen (beheerder, analist, gast). Beheerfuncties, relatiebeheer en klantvertrouwelijke onderdelen zijn alleen beschikbaar voor beheerders.
• Per account wordt vastgelegd welke fondsen en modules zichtbaar zijn en tot welke datum het account geldig is; verlopen accounts krijgen geen toegang.
• Wijzigingen in accounts (aanmaken, verwijderen, vervaldatum, fondskoppeling, wachtwoordreset) worden in een auditlog vastgelegd.
• Servertoegang voor beheer verloopt via SSH en is beperkt tot PensionAssetIQ.

6. Authenticatie

• Wachtwoorden worden uitsluitend opgeslagen als bcrypt-hash; het Platform kent geen wachtwoorden in leesbare vorm.
• Na vijf mislukte inlogpogingen wordt het account geblokkeerd; ontgrendeling verloopt via een beheerder. De functie om een tijdelijk wachtwoord per e-mail te versturen is in productie niet geactiveerd.
• Sessies gebruiken een ondertekend token (HMAC-SHA256) met een beperkte geldigheidsduur (standaard dertig dagen); een gebruiker kan zelf uitloggen.
• Multi-factor authenticatie (MFA) is nog niet beschikbaar. Voor klanten die dit vereisen is invoering van MFA een gepland verbeterpunt; tot die tijd claimen wij het niet.

7. Versleuteling

• In transit: al het verkeer naar de website en het Platform loopt over HTTPS (TLS) met automatisch beheerde certificaten en HTTP Strict Transport Security. De applicatie zelf is niet rechtstreeks vanaf internet bereikbaar, alleen via de beveiligde reverse proxy.
• At rest: versleuteling van de opslag op de server is nog niet geverifieerd. Wij doen daarover geen toezegging totdat dit is vastgesteld en gedocumenteerd.

8. Hosting

Het Platform en de website worden gehost bij Hetzner Online GmbH in een datacenter in de Europese Unie (Finland). De server draait de applicatie in een container met vastgelegde resourcelimieten en een automatische herstart bij uitval. Er is één productieserver; er is geen geografisch gespreide redundantie.

9. Logging en webanalyse

• Applicatie-auditlog: het Platform logt inlog- en beveiligingsgebeurtenissen (succesvolle inlog, mislukte poging, blokkering, wachtwoordreset, accountbeheer) in een apart auditlog, gekoppeld aan de gebruikersnaam.
• Webserver: de webserver (Caddy) schrijft geen request- of toegangslogs naar bestand; het systeemjournaal bevat alleen service- en certificaatinformatie. Er worden dus geen bezoek-IP-adressen in serverlogs bewaard.
• Applicatiefouten worden gelogd zonder datawaarden; de foutdetails die aan gebruikers worden getoond zijn beperkt tot het fouttype.
• Webanalyse: de publieke commerciële websitepagina's gebruiken Umami, zelf gehost op analytics.pensionassetiq.nl op dezelfde server in de EU. Umami is cookieloos, slaat geen IP-adressen op (alleen browser, besturingssysteem, apparaattype, taal en land/regio per bezoek) en deelt niets met derden. Het Platform en de juridische pagina's laden dit script niet.
• Er is geen externe monitoringdienst; beschikbaarheid wordt bewaakt via de ingebouwde health check van de container en dagelijkse geautomatiseerde controles vanaf de server.

10. Back-ups

Server-only gegevens (accounts, auditlogs, klantvertrouwelijke bestanden en het relatiebeheersysteem) worden dagelijks automatisch gekopieerd naar een aparte locatie op dezelfde server, met een bewaartermijn van dertig dagen; van het relatiebeheersysteem blijft daarnaast een maandelijkse kopie bewaard. De gedeelde marktintelligentie en de code staan in versiebeheer en zijn daaruit volledig herstelbaar. Een kopie van de back-ups buiten de productieserver (off-site) is nog niet ingericht en is een gepland verbeterpunt.

11. Incidentrespons

Bij een vermoed beveiligingsincident beoordeelt PensionAssetIQ zonder onredelijke vertraging de aard en omvang, beperkt de impact (bijvoorbeeld door accounts te blokkeren of toegang op te schorten) en informeert getroffen klanten. Datalekken worden beoordeeld en waar vereist gemeld conform artikel 33 en 34 AVG; voor klanten waarvoor wij verwerker zijn, geldt de meldtermijn uit de Data Processing Agreement. Beveiligingsmeldingen kunt u sturen aan info@pensionassetiq.nl.

12. Bewaartermijnen

Accountgegevens worden bewaard gedurende de overeenkomst en tot 24 maanden daarna; beveiligingslogs in beginsel maximaal twaalf maanden; back-ups dertig dagen. Klantvertrouwelijke informatie wordt na het einde van de overeenkomst op verzoek geretourneerd of verwijderd. De volledige termijnen staan in het Privacybeleid.

13. Sub-verwerkers en leveranciers

Wijzigingen in deze lijst worden in dit statement bijgewerkt; klanten met een Data Processing Agreement worden vooraf geïnformeerd.

14. AI en modelgebruik

Het Platform maakt in de productieomgeving geen gebruik van generatieve AI-diensten van derden: er worden geen gebruikersgegevens, klantvertrouwelijke informatie of Platformdata naar externe AI-aanbieders gestuurd. Analyses, reconstructies en classificaties in het Platform zijn deterministisch en herleidbaar naar bron en berekening. Bij de ontwikkeling en het onderhoud van het Platform kan PensionAssetIQ AI-ondersteunde ontwikkeltools gebruiken; klantvertrouwelijke informatie wordt daarbij niet aan externe AI-diensten aangeboden zonder toestemming van de klant.

15. Verwijdering van data

Op verzoek van de klant, en in ieder geval bij het einde van de overeenkomst, worden accounts gedeactiveerd en klantvertrouwelijke bestanden verwijderd of geretourneerd. Verwijderde bestanden blijven ten hoogste dertig dagen aanwezig in back-ups, waarna zij door het rotatieschema worden overschreven. Gegevens uit openbare bronnen vallen niet onder verwijdering op klantverzoek; personen die in het Platform op basis van een openbare bron worden genoemd, kunnen bezwaar maken via privacy@pensionassetiq.com.

16. Bedrijfscontinuïteit

De applicatie herstart automatisch bij uitval en wordt bewaakt via een health check. Uitrol van nieuwe versies verloopt via een vaste, geautomatiseerde procedure met controle van bestandsintegriteit, waardoor een uitgerolde versie altijd overeenkomt met een vastgelegde versie in versiebeheer. Bij verlies van de productieserver kunnen code en gedeelde datasets vanuit versiebeheer worden hersteld; herstel van server-only gegevens is afhankelijk van de meest recente back-up (sectie 10). Een formeel getest continuïteitsplan met hersteltijddoelstelling is nog niet opgesteld.

17. Status van de maatregelen

Wij onderscheiden drie categorieën. Alleen de eerste categorie presenteren wij als bestaande beveiligingsmaatregel.