De verwerking van bedrijfskritieke gegevens vereist de juiste garanties
Het waarborgen van de veiligheid van uw gevoelige gegevens is onze topprioriteit. Maar je hoeft ons niet zomaar op ons woord geloven. We hebben alle nodige garanties van relevante externe auditors. Privacy en veiligheid zijn gegarandeerd.
ISO 27001 certified · SOC 2 Type II · TISAX AL3 · Hosted in the EU
Data over meldingen wordt bij ons veilig en zorgvuldig beheerd
Your security team can review the evidence directly in our trust center.
Standards and audits
ISO/IEC 27001:2022
We run our information security under the international standard, audited by A-LIGN.
SOC 2 Type II
An independent auditor tested our security controls over a period of months.
TISAX AL3
The automotive industry’s highest assessment level. Partners can view it in the ENX portal.
ISO/IEC 27701
Extends ISO 27001 to privacy management.
ISO/IEC 42001
The international standard for managing AI systems.
Regulations
GDPR
We process your data as your processor, under a formal Data Processing Agreement. Your data is hosted in the EU.
EU Whistleblower Directive
A secure, confidential internal reporting channel that meets the Directive’s requirements. Check that your other channels and follow-up procedures do too.
Multi-factor authenticatie
Multi-factor authenticatie en single sign-on (SSO) zijn cruciaal voor beveiligde gegevensverwerking. Met deze functies behoud je de volledige controle over wie toegang krijgt tot welke gegevens op jouw klokkenluidersplatform.
Privacyvoorschriften
EU Whistleblowing DirectiveZorg ervoor dat jouw organisatie voldoet aan een complex scala aan regelgeving, waaronder de GDPR en de EU Whistleblowing Directive. SpeakUp voldoet ook aan de richtlijnen voor het bewaren van gegevens en de vereisten voor gegevenslokalisatie.
German Supply Chain Act (LkSG): People across your supply chain can report in 100+ languages, by web, app, or phone.
NIS2 and DORA: Our certifications and Trust Center documentation give your supplier risk review the evidence it needs.
Veelgestelde vragen
SpeakUp is gecertificeerd volgens SOC 2 Type II, ISO/IEC 27001:2022 en TISAX. SpeakUp voldoet daarnaast doorlopend aan de GDPR, de EU AI Act, NIS2, DORA en andere kaders.
TISAX-beoordelingsresultaten kunnen worden uitgewisseld via het ENX-portaal. Is jouw organisatie TISAX-deelnemer, log dan in op portal.enx.com en zoek naar SpeakUp.
Ja. De certificeringsaudits voor ISO/IEC 27701:2025 en ISO/IEC 42001 lopen.
Jouw gegevens worden in de EU gehost. Primair: Frankfurt. Disaster recovery: Parijs.
Ja. Opgeslagen gegevens worden versleuteld met AES-256 en gegevens tijdens verzending met TLS 1.2 of hoger. Dit geldt ook voor back-ups.
SpeakUp beheert versleutelingssleutels gedurende hun volledige levenscyclus in een managed key service, met gedocumenteerde rotatie, logging van alle sleutelacties en strikte scheiding tussen sleutels en de gegevens die ze beschermen. Elke klant krijgt een unieke client master key, wat cryptografische isolatie per tenant biedt.
Nee. SpeakUp beheert versleutelingssleutels binnen de eigen sleutelbeheerdienst als onderdeel van de managed service; door de klant beheerde sleutels worden niet aangeboden.
Het platform draait op een multi-tenant architectuur met logische isolatie tussen klanten. De gegevens van elke klant worden beschermd met een unieke client master key, en rolgebaseerde toegangscontroles voorkomen dat een gebruiker of proces bij de gegevens van een andere klant kan komen.
SpeakUp treedt op als verwerker; jouw organisatie blijft de verwerkingsverantwoordelijke. Alle verwerking valt onder een formele verwerkersovereenkomst.
Toegang van SpeakUp-medewerkers tot de meldingsgegevens van een specifieke klant vereist een goedgekeurde supportprocedure die aan een ticket is gekoppeld, is tijdsgebonden, wordt gelogd en wordt gecontroleerd. Toegang is rolgebaseerd en volgt het principe van minimale rechten (least privilege).
Ja. SpeakUp schakelt een beperkt aantal gescreende subverwerkers in (zie het gedeelte over subverwerkers in dit Trust Center). Wijzigingen in subverwerkers worden 30 dagen van tevoren aan klanten gemeld.
Jij bepaalt de bewaartermijn voor meldings- en casegegevens: jouw beheerders stellen de bewaartermijnen in het platform in, en het platform verwijdert de gegevens automatisch zodra de ingestelde termijn is verstreken. Verwijderingen worden vastgelegd.
Wij voeren logging en monitoring uit binnen onze diensten en volgen een gedocumenteerd incidentresponsplan met gedefinieerde rollen, escalatieroutes en klantcommunicatie. Significante incidenten worden geëscaleerd en afgehandeld tot en met de oplossing en de evaluatie achteraf (post-incident review).
Bij beëindiging van het contract kun je je gegevens exporteren, en verwijderverzoeken worden binnen 30 dagen uitgevoerd, uitsluitend onder voorbehoud van zwaarwegende wettelijke bewaarplichten.
AI-functies zijn optioneel en opt-in: jouw organisatie bepaalt of en hoe ze worden gebruikt. AI-output is ondersteunend en doet suggesties in plaats van beslissingen, en voor elke functie geldt menselijk toezicht.
Nee. AI-aanbieders mogen contractueel geen klantgegevens van SpeakUp gebruiken voor modeltraining, en productiegegevens worden nooit gebruikt voor test- of trainingsdoeleinden.
Ja. Jouw gebruikers kunnen zich authenticeren via de identity provider van jouw organisatie met SAML-gebaseerde SSO.
Ja. MFA wordt in SpeakUp ondersteund via OTP (eenmalige wachtwoorden), werkt met alle bekende OTP-authenticator-apps en kan worden afgedwongen voor alle platformgebruikers.
Ja. Het platform ondersteunt SCIM 2.0 voor geautomatiseerde provisioning, updates en deactivering vanuit identity providers, inclusief groepssynchronisatie en attribuutgebaseerde roltoewijzing. Alle SCIM-activiteit wordt gelogd.
Wanneer wij een inbreuk in verband met persoonsgegevens vaststellen of redelijkerwijs vermoeden, informeren wij je binnen 24 uur.
Elke wijziging doorloopt peer code review, statische analyse en dependency scanning in de buildpipeline en wordt vóór release getest in gescheiden niet-productieomgevingen. Productiegegevens worden nooit in testomgevingen gebruikt.
Ja. Een onafhankelijke externe partij voert minstens jaarlijks een penetratietest uit.
Productiesystemen worden wekelijks gescand, dependency- en runtimescans draaien continu, en bevindingen worden op ernst geprioriteerd en binnen vastgestelde termijnen opgelost via een bijgehouden backlog.
SpeakUp garandeert onder de standaard dienstverleningsovereenkomst een platformbeschikbaarheid van minimaal 99% per maand. De hersteldoelstellingen zijn een RTO van 48 uur en een RPO van 24 uur, ondersteund door dagelijkse versleutelde back-ups en een disaster-recoveryplan dat minstens jaarlijks wordt getest.
SpeakUp hanteert een gedocumenteerd incidentresponsproces met een speciaal responseteam voor ernstige incidenten. Getroffen klanten worden binnen 24 uur geïnformeerd na een bevestigde of redelijkerwijs vermoede inbreuk in verband met persoonsgegevens.
Een toegewijde Security Officer, functioneel onafhankelijk van IT-operations, leidt het informatiebeveiligingsmanagementsysteem. Een Security Committee waarvan ook de CTO deel uitmaakt komt minstens elk kwartaal bijeen om toezicht te houden op beveiliging en privacy, en interne audits vinden elk kwartaal plaats.