Technische en organisatorische maatregelen

Bijlage bij de Verwerkersovereenkomst · Verantwoording · unrote.nl/maatregelen

Beschrijving van de technische en organisatorische maatregelen die UNROTE treft ter beveiliging van persoonsgegevens, als bedoeld in artikel 32 AVG.

Versie	1.0
Datum	31 augustus 2026
Opgesteld door	UNROTE Systems
Opgesteld voor	Klanten, prospects en auditors

---

01 Inleiding en toepassingsgebied

UNROTE treedt op als verwerker namens haar klanten. Dit document beschrijft de technische en organisatorische maatregelen als bedoeld in artikel 32 AVG en is de beschrijving waarnaar de Verwerkersovereenkomst verwijst (artikel 5.2).

De maatregelen gelden voor de dienstverlening van UNROTE, die draait op infrastructuur binnen de EU van de subverwerkers vermeld op unrote.nl/subverwerkers. De maatregelen worden aangepast aan de stand van de techniek; wezenlijke wijzigingen worden gemeld conform de Verwerkersovereenkomst.

02 Versleuteling

• Alle externe verbindingen verlopen via TLS 1.2 of hoger. Onversleutelde verbindingen worden niet aangeboden.

03 Toegang en autorisatie

• Toegang tot systemen met klantdata is persoonlijk en herleidbaar. Gedeelde accounts worden niet gebruikt.
• Door UNROTE ingeschakelde specialisten krijgen uitsluitend toegang tot wat voor hun opdracht nodig is, voor de duur van die opdracht. Toegang wordt bij afronding ingetrokken.
• Iedereen met toegang tot klantdata is gebonden aan een contractuele geheimhoudingsplicht.

04 Netwerk, infrastructuur en ontwikkeling

• Toegang tot productiesystemen verloopt uitsluitend via beveiligde, geautoriseerde verbindingen.
• Alleen onderdelen die via internet bereikbaar moeten zijn, zijn dat; uitsluitend via versleutelde verbindingen. De overige infrastructuur is niet aan internet blootgesteld.
• Geheimen en sleutels staan niet in broncode of versiebeheer.
• Ontwikkel-, test- en productieomgevingen zijn van elkaar gescheiden.
• Systemen worden actueel gehouden met beveiligingsupdates.

05 Beschikbaarheid, back-up en herstel

• De onderliggende infrastructuur voorziet in redundantie op datacenterniveau.
• Back-upschema en hersteltermijnen voor klantdata worden per opdracht vastgelegd in de Opdrachtbevestiging.

06 Organisatorische maatregelen

• UNROTE werkt met een vaste kern en een flexibele schil van specialisten. Geheimhouding en toegangsbeperking zijn contractueel geborgd vóór een specialist aan een opdracht begint.
• Beveiligingskeuzes worden per opdracht vastgelegd, zodat controleerbaar is wat er geldt.

07 Incidenten en datalekken

Beveiligingsincidenten en datalekken worden behandeld conform de Verwerkersovereenkomst (artikel 8): melding zonder onredelijke vertraging, met de informatie die u voor uw meldplichten nodig heeft.

08 Subverwerkers en keten

UNROTE schakelt subverwerkers in conform de Verwerkersovereenkomst (artikel 9). Het actuele overzicht, met versiebeheer, staat op unrote.nl/subverwerkers. Alle subverwerkers zijn Europese ondernemingen; verwerking vindt uitsluitend binnen de EU/EER plaats.

09 AI-specifieke maatregelen

• Klantdata wordt niet gebruikt voor het trainen van modellen, ook niet door de modelaanbieder, op grond van de met deze aanbieder gesloten zakelijke voorwaarden.
• Elke klant krijgt een eigen, gescheiden omgeving. Data van de ene klant komt niet in de omgeving of uitvoer van een andere klant. Dit is een ontwerpprincipe vanaf de eerste opdracht.
• Een model ontvangt per taak uitsluitend de velden die voor die taak nodig zijn. Gevoelige velden blijven achter waar ze niet nodig zijn.
• De modelketen is voor de klant inzichtelijk: aanbieder en verwerkingsregio staan in het subverwerkersoverzicht en worden per opdracht vastgelegd in de Verwerkersovereenkomst.

10 Wijzigingen, versiebeheer en contact

Dit document kent versiebeheer en wordt actueel gehouden; eerdere versies zijn op verzoek beschikbaar. Vragen over dit document, de Verwerkersovereenkomst of de maatregelen: privacy@unrote.nl.

---