Welke maatregelen er daadwerkelijk in zitten.

Toegang

• Wachtwoord plus verplichte tweestapsverificatie (TOTP) voor iedere gebruiker, zonder uitzondering.
• Een nieuw apparaat wordt bevestigd met een code per e-mail en blijft daarna dertig dagen vertrouwd; gebruiker en beheerder kunnen apparaten intrekken en overal uitloggen.
• Pogingen tot inloggen, verifiëren en apparaatbevestiging zijn per route begrensd.
• Zonder geldige AI-geletterdheidstraining opent de werkruimte niet en weigert ook de koppeling met een AI-assistent.

Scheiding en rechten

• Iedere organisatie heeft een eigen database en een eigen adres. Accounts, sessies, vertrouwde apparaten, koppelingen met AI-assistenten, documenten en het activiteitenlog staan in die database; een sessie of een koppeling van de ene organisatie bestaat niet op het adres van de andere.
• De databases van de organisaties staan op dezelfde databaseserver en worden met hetzelfde databaseaccount benaderd. Het is een scheiding per database, geen eigen server per klant.
• Binnen een organisatie bepaalt projectlidmaatschap wie wat ziet, met de rollen lezer, editor en manager. Beheerders krijgen geen automatische inzage in documenten.
• Fail-closed: ontbreekt een lidmaatschap, een identiteit of een recht, of is de bewaartermijn verlopen, dan is er geen toegang en geen verwerking. Geweigerde toegang komt in het activiteitenlog.
• Bij documenten uit SharePoint wordt bij elke uitlevering live onder de Microsoft-identiteit van de gebruiker gecontroleerd of hij het document daar nog mag zien.
• Wij beheren het platform vanuit een aparte beheeromgeving met eigen accounts, los van de accounts van de organisaties. Een account van een organisatie kan daar niet aanmelden, en een account van de beheeromgeving kan niet aanmelden in een werkruimte. Aanmelden in de beheeromgeving vraagt een wachtwoord en een authenticator, of een passkey; op een nieuw apparaat komt daar een code per e-mail bij.
• Vanuit de beheeromgeving kunnen wij een organisatie aanmaken, tijdelijk blokkeren en verwijderen. Tijdens een blokkade kan niemand in haar werkruimte aanmelden en werkt geen koppeling; haar gegevens blijven staan en zijn na het opheffen van de blokkade weer bereikbaar.
• Van wat een organisatie in PrivaSearch heeft staan toont de beheeromgeving alleen aantallen, statussen en tijdstippen: hoeveel projecten, documenten, accounts en koppelingen er zijn, hoeveel opslag ze gebruikt en wanneer er voor het laatst is aangemeld, geüpload en gesynchroniseerd. Ze toont geen namen van projecten, mappen of documenten, geen tekst uit een document, geen pseudoniemen en geen regels uit het activiteitenlog van de organisatie.
• De ene uitzondering zijn de accounts: wij kunnen van een organisatie de naam, het e-mailadres, de rol en de status van elk account zien, een account blokkeren of deblokkeren en een openstaande uitnodiging opnieuw versturen. Elke keer dat die lijst wordt geopend en elk van die handelingen komt in een log van het platformbeheer. Een blokkade, een deblokkade en een uitnodiging staan ook in het activiteitenlog van de organisatie, op naam van Platformbeheer.
• Wij kunnen vanuit de beheeromgeving meekijken in de werkruimte van een organisatie, als het supportaccount Platformbeheer. Dat vraagt telkens het wachtwoord van de platformbeheerder en een reden uit een vaste lijst; het begin, de reden en het einde komen in een log van het platformbeheer.
• Meekijken is alleen-lezen en duurt hoogstens een uur: elke wijziging wordt geweigerd, en na zestig minuten eindigt de sessie vanzelf. Zolang ze loopt staat bovenaan elk scherm van de werkruimte een balk die zegt dat Platformbeheer meekijkt.
• Het supportaccount ziet wat een beheerder van de organisatie ziet die van geen enkel project lid is, zoals de accounts, het activiteitenlog en de instellingen. Het kan geen document, origineel of uitgelezen tekst openen, niet zoeken en geen pseudoniem terugvertalen.
• Een poging van het supportaccount die wordt geweigerd staat in het activiteitenlog van de organisatie, op naam van Platformbeheer. Het begin en het einde van het meekijken staan daar niet; die staan in het log van het platformbeheer.
• Het supportaccount is geen account van de organisatie: het staat niet in haar lijst van gebruikers, telt nergens mee en kan niet aanmelden met een wachtwoord, een authenticator of een passkey. Als een gebruiker van een organisatie aanmelden kunnen wij niet.

Gegevens en pseudonimisering

• Originele documenten staan in private objectopslag zonder publieke toegang. Alle organisaties delen die opslag; elke organisatie heeft er een eigen padvoorvoegsel, en de applicatie weigert een pad daarbuiten.
• Versleuteling van opgeslagen bestanden is een eigenschap van de opslag waarop de applicatie draait: de applicatie versleutelt originelen niet zelf. Een configuratiecontrole in de applicatie controleert de instelling van die opslag; opslag op de schijf van de server zelf keurt ze voor productie af.
• Persoonsgegevens worden vóór indexering vervangen door pseudoniemen. Niets is doorzoekbaar voordat een medewerker de gepseudonimiseerde tekst heeft gecontroleerd en expliciet heeft vrijgegeven.
• De koppeling tussen pseudoniem en persoon staat versleuteld in een aparte kluis. Eén pseudoniem terugvertalen kan alleen binnen PrivaSearch, vraagt schrijfrecht op het project en wordt gelogd.
• Ieder lid van een project kan het origineel van een document openen, ook met de rol lezer. De rol lezer beperkt wat iemand mag wijzigen, niet wat hij kan inzien. Elke download van een origineel wordt gelogd.
• Ieder lid van een project kan de uitgelezen tekst lezen van een document dat op de privacyreview wacht, ook met de rol lezer. Dat is de tekst van het origineel, vóór pseudonimisering. Elke inzage van die tekst wordt gelogd.
• De sleutels voor de kluis en voor de versleutelde velden in de database worden per organisatie afgeleid van een hoofdsleutel. De hoofdsleutels zelf zijn voor alle organisaties dezelfde.
• Het activiteitenlog bevat wie wat wanneer deed, inclusief weigeringen — maar geen documentinhoud en geen zoekvragen. Iedere organisatie heeft een eigen activiteitenlog, in haar eigen database.
• Elke regel in het activiteitenlog is met een hash aan de vorige regel geketend; een periodieke controle rekent de keten na.

Koppelingen

• De koppeling met SharePoint is alleen-lezen: er bestaan geen schrijfopdrachten richting SharePoint.
• Een AI-assistent koppelt via OAuth 2.1 met PKCE op het eigen adres van de organisatie: de assistent meldt zichzelf aan en de gebruiker keurt de koppeling goed. Er zijn geen losse toegangscodes. De assistent krijgt uitsluitend vrijgegeven, gepseudonimiseerde passages en nooit bestanden, bestandsnamen of pseudoniemkoppelingen. Toegangstokens verlopen na acht uur en zijn per gebruiker in te trekken; ze worden voor alle organisaties met hetzelfde sleutelpaar uitgegeven, en een token van een andere organisatie wordt geweigerd omdat het daar niet bestaat.
• De website en de applicatie draaien onder een strikt beveiligingsbeleid voor scripts en stijlen (Content Security Policy).

Bewaren en verwijderen

Per project geldt een bewaartermijn. Loopt die af, dan blokkeert PrivaSearch de toegang en verwijdert het originelen, zoekfragmenten en pseudoniemen — tenzij er een juridische bewaarplicht is vastgelegd. De termijnen per gegevenssoort staan op de pagina bewaartermijnen.

Een kwetsbaarheid of incident melden

Zie je een kwetsbaarheid, mail dan security@privasearch.ai met een beschrijving en de stappen om het te reproduceren. Wij bevestigen de ontvangst en houden je op de hoogte van de oplossing. Twee dingen vragen wij: test alleen met je eigen account en niet met gegevens van anderen, en maak de kwetsbaarheid niet openbaar voordat die is verholpen. Ben je klant en vermoed je een datalek in jouw omgeving, meld het dan via hetzelfde adres; wij leveren de informatie die je nodig hebt voor je eigen beoordeling en een eventuele melding binnen 72 uur (art. 33 AVG).

Lees ook

• Wat is een datalek? Voorbeelden, de meldplicht en wat je binnen 72 uur doet
• Is ChatGPT veilig? Wat er met je gegevens gebeurt en wat je zelf instelt