Beveiliging & Privacy
bij ISMS Copilot
Wij bouwen compliance-tools voor beveiligingsprofessionals. Dat betekent dat uw gegevensbeveiliging niet zomaar een functie is — het is ons fundament.
AVG-conform
Volledige AVG-naleving met beschikbare verwerkersovereenkomst
EU-only modus beschikbaar
Database en bestandsopslag in de EU, plus AI-verwerking in de EU met Geavanceerde gegevensbescherming
SOC 2 Type II Infrastructuur
Infrastructuurproviders (AWS, Supabase) beschikken over SOC 2 Type II attestaties
Externe penetratietest 2026
Onafhankelijke penetratietest van de ISMS Copilot webapplicatie door NevaSec. Geen bevindingen met kritisch of hoog ernstniveau. Dekt Aevral niet.
Beveiligingspraktijken
Hoe wij uw compliancegegevens beschermen
Versleuteling tijdens transport
Alle verbindingen gebruiken TLS 1.2 of hoger, en TLS 1.3 wanneer uw browser het ondersteunt. HTTP-verzoeken worden doorgestuurd naar HTTPS.
Versleuteling in rust
De database en bestandsopslag worden in rust versleuteld door onze hostingproviders. Externe databaseback-ups worden versleuteld voordat ze worden geüpload.
Row-Level Security
Toegangsisolatie op databaseniveau. Gebruikers hebben alleen toegang tot hun eigen gegevens.
EU-datacenter
Primaire infrastructuur gehost in Frankfurt, Duitsland (AWS EU-Central-1). Database en bestandsopslag blijven in de EU.
SOC 2 Type II Infrastructuur
Gebouwd op Supabase en AWS, beide met SOC 2 Type II attestatie. Enterprise-beveiliging standaard.
Geen AI-training
Uw gegevens worden nooit gebruikt voor het trainen van AI-modellen. Dit wordt voorkomen door de commerciële voorwaarden van de providers en trainingsverbod-instellingen op accountniveau.
PII-redactie
De ingebouwde redactie helpt persoonsgegevens te verwijderen voordat ze AI-providers bereiken, waar ingeschakeld.
Onafhankelijke penetratietest: NevaSec, april 2026
NevaSec heeft in april 2026 een externe penetratietest uitgevoerd op onze webapplicatie, REST API en AI-backend. Er zijn geen niet-geauthenticeerde exploitatiepaden en geen directe scenario's voor accountcompromittering geïdentificeerd. De bevinding met gemiddeld ernstniveau is geremedieerd, en de remediatiewerkzaamheden voor de resterende bevindingen met laag ernstniveau zijn lopend. Scope: deze test heeft alleen betrekking op ISMS Copilot (webapplicatie, REST API en AI-backend). Deze test is uitgevoerd vóór Aevral en dekt Aevral niet. Aevral heeft nog geen onafhankelijke penetratietest ondergaan.
Dataresidentie
Kies waar uw gegevens worden verwerkt
Standaardmodus
- DatabaseEUEU (Frankfurt)
- BestandsopslagEUEU (Frankfurt)
- ContentmoderatieEUMistral AI
- AI-failoverUSBetaalde Fast en Think: Anthropic (VS), daarna Mistral AI (EU)
- GegevenswaarborgenStandaard Contractuele Clausules
Opensourcemodellen via OpenRouter (VS) bij toegestane providers zonder bewaring: GLM-5.3 voor gratis, proefperiode en abonnementen vanaf Plus, GLM-4.7 voor Essential. Als bij betaalde Fast en Think het opensourcemodel faalt of niet op tijd begint te antwoorden, levert Anthropic Claude (VS) dat antwoord. Webzoekopdrachten vinden pagina's via Mistral.
Geen bewaring bij de standaard AI-verwerking (OpenRouter, ZDR op accountniveau). Antwoorden via de Anthropic-failover: ~30 dagen reguliere verwijdering; om veiligheidsredenen gemarkeerde inhoud tot 2 jaar, veiligheidsscores tot 7 jaar. Webzoekopdrachten lopen via Mistral (standaardbewaring, zie DPA). Op geen enkel pad training.
Geavanceerde gegevensbescherming
- DatabaseEUEU (Frankfurt)
- BestandsopslagEUEU (Frankfurt)
- ContentmoderatieEUMistral AI
- AI-failoverEUMistral AI (EU)
Alleen Mistral AI, via het regionale EU-endpoint van Mistral. Met Geavanceerde gegevensbescherming ingeschakeld lopen alle chatmodi uitsluitend via Mistral onder de commerciële API-voorwaarden van Mistral. Algemeen zoeken op het web is in deze modus niet beschikbaar; pagina's die u linkt, worden gelezen door onze ophaaldienst in de EU. Geen Amerikaanse AI-provider in deze modus.
Geen bewaring onder de commerciële API-voorwaarden van Mistral. Geen Anthropic-misbruikmonitoringscache zolang ADP aan staat. Contentmoderatie gebruikt nog steeds Mistral in de EU; moderatiemetadata worden 12 maanden bewaard (geen berichtinhoud) per DPA §2.8. Geen bewaring verwijst naar de AI-provider: Mistral bewaart geen kopie van uw verzoeken. ISMS Copilot slaat uw gesprekken wel op volgens uw bewaarinstelling (minimaal 1 dag), en verwijderde gesprekken kunnen tot 91 dagen in onze versleutelde databaseback-ups blijven.
AI-verwerking in de VS geëlimineerd (e-mailbezorging gebruikt nog steeds Amerikaanse providers onder SCC's)
Subverwerkers
Externe diensten die gegevens namens ons verwerken
| Dienst | Doel | Locatie | Bewaring |
|---|---|---|---|
| Supabase | Database & Authentication | EUEU (Frankfurt, Germany) | User-controlled |
| AWS | Infrastructure | EUEU (Frankfurt, Germany) | User-controlled |
| Backblaze (B2 Cloud Storage) | Encrypted offsite database backups. Each daily copy is encrypted on Fly.io (EU) before upload; Backblaze never holds the key | EUEU (Amsterdam, Netherlands). Backblaze, Inc. is a US company (SCCs) | 90 days (each copy is then hidden and deleted one day later) |
| Anthropic (Claude) | AI failover only (Advanced Data Protection off): serves a paid Fast or Think answer when the open-source model fails or does not start answering in time. Not used for web search. Never used with Advanced Data Protection on. | USUnited States (SCCs) | Failover-served answers: ~30 days ordinary deletion; safety-flagged content up to 2 years, safety scores up to 7 years; never training |
| OpenRouter | Default AI processing (Advanced Data Protection off): open-source GLM models (GLM-5.3 for free, trial and Plus-and-above plans; GLM-4.7 for Essential), served only by the allowlisted underlying providers below. Mandatory Zero Data Retention enforced at account level. | USUnited States (SCCs) | Zero retention (mandatory at OpenRouter account level) |
| ↳ Inceptron | AI Processing (via OpenRouter, ZDR enforced). Serves the GLM-5.3 default. | EUSweden (EU) | Zero retention |
| ↳ DeepInfra | AI Processing (via OpenRouter, ZDR enforced) | USUnited States | Zero retention |
| ↳ Cerebras | AI Processing (via OpenRouter, ZDR enforced) | USUnited States | Zero retention |
| ↳ Google Vertex | AI Processing (via OpenRouter, ZDR enforced) | USUnited States | Zero retention |
| ↳ Together AI | AI Processing (via OpenRouter, ZDR enforced; added 2026-05-25). Serves the GLM-5.3 default. | USUnited States (default North America data centers per Together docs; OR aggregator does not pin region per request) | Zero retention |
| ↳ Fireworks AI | AI Processing (via OpenRouter, ZDR enforced; added 2026-05-25). Serves the GLM-5.3 default. | USUnited States — multi-region fleet (US, EU Frankfurt + Iceland, APAC Tokyo only — no PRC infrastructure; OR aggregator does not pin region per request) | Zero retention |
| ↳ Nebius | AI Processing (via OpenRouter, ZDR enforced; added 2026-05-25) | GlobalNetherlands HQ; primary inference in Finland (EU) with US secondary per Nebius docs (OR aggregator does not pin region per request) | Zero retention |
| ↳ xAI (Grok) | AI Processing (via OpenRouter, ZDR enforced). Not the default for any plan. Serves the logged-out risk-analysis demo on the marketing site and remains available as an operator rollback route. | USUnited States (OpenRouter-published footprint; inference region not pinned via OpenRouter) | Zero retention (xAI (ZDR) endpoint, verified 2026-07-19) |
| Mistral AI | AI Processing with Advanced Data Protection on (all chat modes), content moderation, second-level failover (when Anthropic is unavailable), conversation summaries: EU zero retention. Web search with Advanced Data Protection off: Mistral's web-search feature finds the pages (it relies on Brave (US) as Mistral's sub-processor and uses standard retention, see DPA); our EU fetcher reads them and the answer is written by the default model. Web search is unavailable with Advanced Data Protection on. heyGRC EU inference (organization opt-in, EU regional endpoint, account-level zero retention). | EUEU (Frankfurt): all inference, moderation and embeddings on Mistral's EU regional endpoint. Web-search discovery runs on Mistral's global endpoint and is not EU-only. | Zero retention (inference, moderation); standard retention for web search via Brave (US) |
| Fly.io | Chat API Service; daily database backup (encrypted before upload to Backblaze) | EUEU deployment | Access logs 30-90 days |
| ConvertAPI | Document Format Conversion (ISO 27001:2022) | EUEU (Frankfurt) | Zero retention (in-memory only) |
| Stripe | Payment Processing (PCI DSS Level 1) | GlobalGlobal (EU DPA) | Billing records 7 years (anonymized) |
| Sentry | Error Tracking & Monitoring | EUGermany | Up to 90 days (PII-scrubbed, no IP stored) |
| Axiom | Log Storage (security monitoring) | EUEU (Frankfurt) | 30 days (pseudonymous ids, no chat content) |
| Vercel | Web Hosting & Analytics | GlobalGlobal CDN | Per Vercel policy (cookieless analytics) |
| SendGrid (Twilio) | Legal Update Emails | USUnited States | Until account deletion or unsubscribe |
| Kit (ConvertKit) | Onboarding & Product Emails | USUnited States | Until account deletion or unsubscribe |
| Chatbase | Optional website support chat on heyGRC (marketing, docs, console) and ISMS Copilot (marketing, docs, platform console, trust center): visitor messages and optional lead email for human follow-up. Not used for product chat accounts or PR source code. Widget only loads when product env flags enable it. | USUnited States (Chatbase-hosted; model providers per Chatbase configuration) | Per Chatbase conversation/lead retention; do not paste secrets into the widget |
Door de klant geactiveerde integraties
Actief voor uw gegevens alleen wanneer uw organisatie ze installeert.
| Dienst | Doel | Locatie | Bewaring |
|---|---|---|---|
| Slack Technologies, Inc. | heygrc bot — receives messages addressed to the bot, posts AI responses back. Activated only when a paid-organization owner installs from the Connectors page; uninstall hard-deletes integration records. | USUnited States | Active while integration installed |
| Google LLC | heyGRC Google Drive: OAuth, Picker, and Drive API read of files an organization owner or admin picked or opened with heyGRC, for linked-document compile and a change check normally once a day. Activated only when that admin connects Drive in the heyGRC console. Scopes drive.file and, with Open with, drive.install (menu entry only, no file access). Disconnect asks Google to revoke the grant (unless the same Google account still backs another heyGRC organization's Drive connection) and deletes the stored token. | USUnited States (file location follows the customer's Workspace) | Token until disconnect, admin departure, or uninstall; document snapshots with the review pack |
| GitHub, Inc. | heyGRC GitHub App (a distinct product from the heygrc Slack bot). Customer-directed platform, not an ISMS Copilot sub-processor: heyGRC retrieves pull-request diffs and metadata from the customer's GitHub environment and posts the check run, review and comments back into it, under the customer's own GitHub agreement. Activated only when a repository administrator installs the App. Read access to contents, metadata and issues; write access to checks and pull requests only; heyGRC never writes to code. Default inference: redacted diff reviewed through the same OpenRouter allowlist and account-level controls as above, pinned in-request to a named host subset (currently Together AI, Fireworks AI, Inceptron; ZDR, no training, PRC-jurisdiction hosts blocked). Organizations can opt in to EU inference (Mistral AI, EU regional endpoint, no fallback). On both paths the model is an open-weights model developed by Z.AI; Z.AI hosts neither path and receives no data. Diffs are not persisted; the written review is stored. Uninstall stops processing and deletes the GitHub account name; stored reviews are deleted 30 days after uninstall. | USUnited States | Reviews kept while installed and 30 days after uninstall; diffs not persisted |
Laatst bijgewerkt: oktober 2026 · Nieuwe subverwerker: kennisgeving per e-mail minstens 14 dagen voordat deze uw gegevens verwerkt (30 dagen bij een wezenlijk nadelige wijziging), ook gepubliceerd in dit Trust Center en het wijzigingslogboek (DPA 2.4). Verwerking verdelen over vermelde subverwerkers, ook die in reserve, vereist geen kennisgeving. Bezwaar binnen de termijn via privacy@ismscopilot.com. Door de klant geactiveerde integraties zijn pas actief wanneer uw organisatie ze installeert.
Inhoud van derden
Open-source- en Creative Commons-inhoud die in het platform is opgenomen, met vermelding van de oorspronkelijke beheerders.
Skill SOC 2-rapportbeoordeling
Bewerkt het SOC 2 Reliability Rubric, beheerd door het SOC 2 Quality Guild. De taxonomie van 11 signalen en de pijlers Structure / Substance / Source zijn afkomstig uit het rubric van het Guild; de chatworkflow, oordelen en scorecard zijn de bewerking van dit project. Overeenkomstig CC BY-SA 4.0 §3(b)(1) wordt deze bewerking ook onder CC BY-SA 4.0 gepubliceerd.
Juridische Documenten
Transparantiedocumentatie beschikbaar ter inzage
ISO/IEC 27001:2022-programma
Better ISMS verkrijgt de certificering. Het is onderweg. We zijn vandaag nog niet gecertificeerd. Lees de beoogde scope.
Verwerkersovereenkomst
DPA conform AVG artikel 28
Privacybeleid
Hoe wij uw gegevens verzamelen, gebruiken en beschermen
Cookiebeleid
Hoe dit Trust Center cookies gebruikt en hoe u uw keuzes beheert
Gebruiksvoorwaarden
Voorwaarden voor het gebruik van ISMS Copilot
Register van Verwerkingsactiviteiten
Volledig RvV met alle gegevensverwerkingen
Naleving van intellectueel eigendom
Hoe wij normen aanschaffen, IE-rechten in onze AI-begeleiding beschermen en inhoud van derden vermelden
EU AI-verordening transparantie
Artikel 50-openbaarmakingen, onze huidige risicobeoordeling en hoe we AI-gebruik kenbaar maken
Aevral subverwerkers
Subverwerkers ingezet voor Aevral code scanning en pull request review
Wijzigingslogboek juridische documenten
Cumulatief overzicht van revisies van onze juridische documenten
Security Advisories
Public security advisories and event disclosures
Vendor details for invoices
Legal entity, VAT, and how to pay a Stripe Business annual invoice. No company IBAN.