Beveiliging & gegevensbescherming

Praxis is gebouwd met gedocumenteerde beveiligingsmaatregelen. Praxis is niet gecertificeerd volgens een externe beveiligingsnorm en heeft geen volledige conformiteitsbeoordeling doorlopen.

Authenticatie

• Tweefactorauthenticatie (MFA) – MFA op basis van TOTP, met ondersteuning voor authenticator-apps
• Eenmalige aanmelding (SSO) – SSO op basis van SAML voor enterpriseklanten
• Sessiebeheer – Instelbare sessietime-outs met automatische afmelding
• Wachtwoordbeleid – Afgedwongen minimale complexiteitsvereisten

Toegangscontrole

Praxis gebruikt een fijnmazig systeem van rolgebaseerde toegangscontrole (RBAC) met 24 afzonderlijke rechten. Rollen kunnen per gebruiker worden toegekend, en voor enterprise-implementaties kunnen aangepaste sets van rechten worden ingesteld.

Auditregistratie

Elke handeling in Praxis wordt vastgelegd in het Auditlogboek, dat toegankelijk is via het onderdeel Beheer. Het auditlogboek registreert:

• Inlogpogingen (geslaagde en mislukte)
• Toegang tot en wijzigingen van gegevens
• Wijzigingen in het gebruikersbeheer
• Wijzigingen in de beveiligingsconfiguratie
• Patronen van API-toegang

Gegevensbescherming

• Encryptie in rust – Documenten worden per kantoor versleuteld op servers die in de EU gehost worden; dossiermetadata worden in de EU opgeslagen, met toegangscontrole
• Encryptie in transit – TLS 1.3 voor alle verbindingen
• Locatie gegevens – Het primaire platform en de documenthosting bevinden zich in de EU (Hetzner, Duitsland); ingeschakelde externe verwerkers en integraties volgen de gekozen provider, regio en configuratie
• Beleid voor gegevensbewaring – Bewaring en verwijdering worden door het platform afgedwongen; de termijnen per kantoor worden door Praxis vastgelegd, niet in de app
• Automatische back-ups – Dagelijkse versleutelde back-ups: 7 snapshots op de storage box, plus onveranderlijke offsite-kopieën die 90 dagen tegen verwijdering vergrendeld zijn en daarna bewaard blijven

Ondersteuning voor de AVG

Praxis biedt maatregelen die bedoeld zijn om de verplichtingen onder de AVG te ondersteunen. Of een kantoor aan de AVG voldoet, hangt af van zijn configuratie en gebruik, de ingeschakelde verwerkers en integraties, en actueel bewijs van de providers. Relevante maatregelen zijn onder meer:

• Mogelijkheden om gegevens te exporteren voor inzageverzoeken van betrokkenen
• Werkstromen voor het wissen van gegevens bij verzoeken tot gegevenswissing
• Register van de verwerkingsactiviteiten en gegevensmapping
• Registratie en beheer van toestemmingen

← Terug naar de documentatie