Centrum voor Privacy en Informatiebeveiliging
Uw gegevens worden veilig en betrouwbaar opgeslagen en verwerkt in overeenstemming met ISO 27001.
Inleiding
Veel organisaties en personen vertrouwen Paragin Group de veilige opslag van hun gegevens toe. Die verantwoordelijkheid nemen we serieus. Veiligheid, betrouwbaarheid en beveiliging staan centraal in onze organisatie en hebben elke dag onze volle aandacht. Zo zijn we een betrouwbare partner voor onze klanten, partners en gebruikers.
Naleving en certificering
We richten onze beveiliging in volgens beproefde best practices, zonder compromissen of uitzonderingen. Alle relevante beheersmaatregelen uit de ISO 27001-norm zijn van toepassing verklaard en in onze organisatie ingebed, met uitzondering van maatregelen voor activiteiten die buiten onze organisatie plaatsvinden. Externe auditors controleren en certificeren dit periodiek. Meer informatie over ISO 27001 vindt u hieronder.
Veilige en robuuste software
We werken hard aan robuuste en veilige software. Dankzij firewalls, load balancing en een hoogbeschikbare inrichting van onze infrastructuur bieden we een uptime van minimaal 99,5% per maand. Ons technische team bewaakt de infrastructuur 24/7, en we leggen de uptime vast in Service Level Agreements (SLA's) en verwerkersovereenkomsten. Zo kunnen u en uw gebruikers op ons rekenen.
Datacenters en netwerken
De datacenters waarin de serverinfrastructuur van Paragin is ondergebracht, zijn, net als onze eigen organisatie, ISO 27001-gecertificeerd. Samen met onze partners werken we aan een volledig beveiligde keten waarin software, hardware en menselijke processen en procedures elkaar versterken. Externe organisaties en ons eigen beveiligingsteam testen dit regelmatig met beveiligingsaudits en penetratietests.
Authenticatie en versleuteling
Single Sign-On, OAuth2-authenticatie, SAML-ondersteuning, SURFconext, identiteitsbeheer, Microsoft Entra, tweefactorauthenticatie (TOTP) en wachtwoordhashing met adaptieve algoritmen: onze software zorgt voor veilige authenticatie volgens gangbare industriestandaarden. Alle communicatie is versleuteld met TLS, met minimaal een A-rating, zodat alle gegevens die u met onze software uitwisselt versleuteld en veilig zijn.
Ons privacybeleid en ISO 27001-certificeringen
Paragin Group is sinds 2015 gecertificeerd volgens ISO 27001, de internationale norm voor managementsystemen voor informatiebeveiliging. De certificering geldt voor alle beheerde technische middelen en alle softwareproducten die we aanbieden. Dit biedt u en uw gebruikers:
- Beveiliging van informatie en gegevens in de software van Paragin, waarbij alle gegevens zijn opgeslagen binnen de Europese Economische Ruimte (EER);
- Zekerheid over de naleving van wet- en regelgeving op het gebied van informatiebeveiliging en privacy, nu en in de toekomst;
- Een sterke technische basis volgens best practices, die onafhankelijke organisaties regelmatig testen met beveiligings- en penetratietests;
- Alleen geautoriseerde toegang tot gegevens, zowel fysiek als online;
- Continue monitoring en verbetering van processen en procedures.
Subverwerkers
Paragin Group schakelt algemene of productspecifieke externe subverwerkers en partners in die ons helpen diensten en software te leveren aan onze klanten, partners en gebruikers. Voordat we een nieuwe subverwerker in gebruik nemen, beoordelen we het beveiligingsniveau, de locatie van dataopslag en -verwerking en de wet- en regelgeving die van toepassing is op de activiteiten van de subverwerker. Dit leggen we altijd vooraf vast in een schriftelijke overeenkomst met de subverwerker. Die bevat verplichtingen op het gebied van gegevensbescherming die minstens even beschermend zijn als de technische en organisatorische maatregelen die Paragin Group zelf heeft genomen om persoonsgegevens van klanten te beschermen tegen onbedoelde of onrechtmatige vernietiging, verlies, wijziging of ongeoorloofde verstrekking of toegang.
Onze productspecifieke subverwerkers
| Subverwerker | Omschrijving/doel | Verwerkingslocatie(s) |
|---|---|---|
| Amazon Web Services | Datacenters en infrastructuur | Nederland, Duitsland, Luxemburg |
| Cloutive Technology Solutions B.V. | Partner voor infrastructuurondersteuning, met toegang tot de hostinginfrastructuur | Nederland |
| Subverwerker | Omschrijving/doel | Verwerkingslocatie(s) |
|---|---|---|
| Amazon Web Services | Datacenters en infrastructuur | Nederland, Duitsland, Luxemburg |
| Cloutive Technology Solutions B.V. | Partner voor infrastructuurondersteuning, met toegang tot de hostinginfrastructuur | Nederland |
| Sentry / Functional Software, Inc. | Foutregistratie, monitoring en rapportage | Duitsland |
| Subverwerker | Omschrijving/doel | Verwerkingslocatie(s) |
|---|---|---|
| Amazon Web Services | Datacenters en infrastructuur | Nederland, Duitsland, Luxemburg |
| Cloutive Technology Solutions B.V. | Partner voor infrastructuurondersteuning, met toegang tot de hostinginfrastructuur | Nederland |
| Sentry / Functional Software, Inc. | Foutregistratie, monitoring en rapportage | Duitsland |
Optionele subverwerkers (alleen na opt-in of op verzoek van de klant)
| Subverwerker | Omschrijving/doel | Verwerkingslocatie(s) |
|---|---|---|
| OpenAI | Gebruikt door de AI Solution Bot bij antwoorden op oefenvragen en de bijbehorende forumvragen. | Verenigde Staten |
Opt-in-informatie voor docentaccounts en leerlingaccounts.
| Subverwerker | Omschrijving/doel | Verwerkingslocatie(s) |
|---|---|---|
| Amazon Web Services | Datacenters en infrastructuur | Nederland, Duitsland, Luxemburg |
| Cloutive Technology Solutions B.V. | Partner voor infrastructuurondersteuning, met toegang tot de hostinginfrastructuur | Nederland |
| Sentry / Functional Software, Inc. | Foutregistratie, monitoring en rapportage | Duitsland |
| ProctorU, Inc. d/b/a/ Meazure Learning | Partner voor online proctoring, SOC 2 Type II-conform | Versleutelde servers in de VS (AES 256) |
| Subverwerker | Omschrijving/doel | Verwerkingslocatie(s) |
|---|---|---|
| Microsoft Corporation - Azure | Opslag van documenten, hosting van specifieke diensten | Nederland |
| MongoDB, Inc. | Hosting en beheer van databases | Nederland |
| Subverwerker | Omschrijving/doel | Verwerkingslocatie(s) |
|---|---|---|
| Microsoft Corporation - Azure | Opslag van documenten, hosting van specifieke diensten | Nederland |
| MongoDB, Inc. | Hosting en beheer van databases | Nederland |
| Subverwerker | Omschrijving/doel | Verwerkingslocatie(s) |
|---|---|---|
| Microsoft Corporation - Azure | Opslag van documenten, hosting van specifieke diensten | Nederland |
| MongoDB, Inc. | Hosting en beheer van databases | Nederland |
| Subverwerker | Omschrijving/doel | Verwerkingslocatie(s) |
|---|---|---|
| Interconnect | Datacenter, hosting, hardwarebeheer, systeembeheer | Nederland |
| Sentry / Functional Software, Inc. | Foutregistratie, monitoring en rapportage | Duitsland |
| Subverwerker | Omschrijving/doel | Verwerkingslocatie(s) |
|---|---|---|
| Amazon Web Services | Datacenters en infrastructuur | Nederland, Duitsland, Luxemburg |
| Cloutive Technology Solutions B.V. | Partner voor infrastructuurondersteuning, met toegang tot de hostinginfrastructuur | Nederland |
| Sentry / Functional Software, Inc. | Foutregistratie, monitoring en rapportage | Duitsland |
Subverwerkers voor de dienstverlening van Paragin Group
Voor onze dienstverlening als bedrijf gebruiken we de volgende subverwerkers voor het contact met onze organisatie. We gebruiken deze platforms nooit voor gegevens van studenten of kandidaten.
| Subverwerker | Omschrijving/doel | Categorieën van persoonsgegevens | Verwerkingslocatie(s) |
|---|---|---|---|
| Asana, Inc. | Software voor projectbeheer | Naam, geslacht en e-mailadres van contactpersonen van klanten, functionele beheerders en key users. | Binnen de EER |
| Productboard, Inc. | Beheer en publicatie van de roadmap | Naam, geslacht en e-mailadres van functionele beheerders en key users. | Binnen de EER |
| Zendesk, Inc. | Online documentatie, kennisbanken en ticketsysteem | Naam, geslacht en e-mailadres van functionele beheerders en key users. Mogelijk ook persoonsgegevens in supporttickets. | Binnen de EER |
Klantspecifieke subverwerkers
Voor aanvullende diensten binnen onze softwareproducten kan onze software koppelen met andere leveranciers van de klant, zodat de klant een complete oplossing krijgt. Gegevens worden met deze partijen uitsluitend uitgewisseld op basis van de verwerkersovereenkomst die de klant met deze leveranciers heeft gesloten. Hieronder staat een overzicht van mogelijke integratiepartners.
| Categorie subverwerkers | Categorieën persoonsgegevens |
|---|---|
| Archiveringssystemen | Export van persoonsgegevens met betrekking tot voltooide opdrachten naar een archiveringssysteem in overeenstemming met de accreditatievereisten. |
| Business Intelligence-platforms | Uitwisseling van (niet-persoonlijke) gebruikers-/gebruiksgegevens voor het opzetten van externe dashboards. |
| Loopbaantests | Uitwisseling van persoonsgegevens van kandidaten voor het gebruik van de sollicitatie- of loopbaantest. |
| CRM | Uitwisseling van persoonsgegevens van gebruikers van en/of naar het leerbeheersysteem. |
| Digitaal ondertekenen | Uitwisseling van persoonsgegevens in overeenkomsten die digitaal ondertekend moeten worden. |
| Geïntegreerde diensten voor examens | Uitwisseling van identificeerbare gegevens (zoals IP-adressen) met examenvraagintegraties van derden, bijvoorbeeld voor bètavakken en wiskunde |
| Examenlocaties (fysiek) | Uitwisseling van persoonsgegevens voor de toets- en examenplanning, inclusief controle van identiteitsbewijzen. |
| Examensystemen | Uitwisseling van persoonsgegevens voor de toets- en examenplanning en uitwisseling van cijfers en feedback. |
| Federatieve aanmelding | Uitwisseling van persoonsgegevens voor het identificeren en authenticeren van gebruikers. |
| HR-systemen | Uitwisseling van persoonsgegevens van werknemers voor het gebruik van de applicatie. |
| Leeromgevingen (LMS) | Uitwisseling van persoonsgegevens van gebruikers van en/of naar het leerbeheersysteem. |
| Betaaldienstverleners | Uitwisseling van (geminimaliseerde) persoonsgegevens van kandidaten voor de verwerking van betalingen. |
| Aanbieders van plagiaatscans | Uitwisseling van (geminimaliseerde) persoonsgegevens van kandidaten en het uitvoeren van plagiaatscans op ingezonden werk. |
| Online proctoring | Uitwisseling van persoonsgegevens, waaronder beeld en video, voor de toets- en examenplanning en online proctoring, inclusief controle van identiteitsbewijzen. |
| Studentinformatiesystemen | Uitwisseling van persoonsgegevens van gebruikers van en/of naar het studentinformatiesysteem. |
| Voorleessoftware en -diensten (tekst-naar-spraak) | Uitwisseling van identificeerbare gegevens (bijv. IP-adressen) met tekst-naar-spraak-integraties van derden |
| Branchespecifieke plannings- en volgsystemen | Uitwisseling van persoonsgegevens van kandidaten naar branchespecifieke (stage)planning-, rooster- en volgsystemen. |
| Boekhoud- en facturatiesystemen | Uitwisseling van persoonsgegevens benodigd voor de facturatie. |
Versies en wijzigingen
Vanwege de aard van onze wereldwijde activiteiten en onze voortdurende inspanningen om onze klanten, partners en gebruikers te ondersteunen, te faciliteren en tevreden te stellen, kunnen onze subverwerkers van tijd tot tijd veranderen. We kunnen bijvoorbeeld een subverwerker uitfaseren om ons gebruik van subverwerkers te bundelen en zo veel mogelijk te beperken, of een subverwerker toevoegen als we denken dat we onze software en diensten daarmee beter of betrouwbaarder kunnen leveren.
U kunt een e-mailmelding ontvangen als we deze pagina bijwerken om subverwerkers toe te voegen of te vervangen, als een van onze subverwerkers zijn dienstverlening wezenlijk wijzigt, of als subverwerkers hun voorwaarden of verwerkingslanden wijzigen. Alle wijzigingen in de overzichten van subverwerkers op deze pagina houden we bij in de tabel hieronder.
| Versie | Categorieën | Aangebrachte wijzigingen | Ingangsdatum |
|---|---|---|---|
| 1.0 | Alle categorieën | Publicatie van de eerste versie met het overzicht van de subverwerkers. | 1 september 2025 |
| 1.1 | Subverwerkers (productspecifiek) | Toevoeging van Sentry / Functional Software, Inc. aan de subverwerkers van Coachview. | 1 december 2025 |
| 1.2 | Subverwerkers (productspecifiek) | OpenAI toegevoegd aan de (optionele) subverwerkers van Sowiso. Daarnaast is verduidelijkt hoe we een subverwerker in gebruik nemen en inzetten. | 1 december 2025 |
| 1.3 | Subverwerkers (klantspecifiek) | Branchespecifieke plannings- en volgsystemen en boekhoud- en facturatiesystemen toegevoegd als klantspecifieke subverwerkers. | 1 februari 2026 |
| 1.4 | Subverwerkers (productspecifiek) | Amazon Web Services en Cloutive Technology Solutions zijn verwijderd als subverwerkers van Coachview. Dit besluit is genomen voordat er persoonsgegevens vanuit de klant- of productieomgevingen van Coachview zijn uitgewisseld. | 9 september 2026 |
| Subverwerkers (Groep) | JIRA wordt niet meer gebruikt als ticketsysteem. Daarom is de leverancier, Atlassian Corporation, verwijderd als subverwerker. |
Escrow en continuïteit
Paragin Group is een betrouwbare organisatie met oprichters en management die al sinds 2000 bij de organisatie werken, een visie en bedrijfsmodel voor de lange termijn, en een groot en divers klantenbestand. Toch is dat niet altijd een garantie voor het voortbestaan van een organisatie. Om de belangen en continuïteit van onze klanten en partners te waarborgen, hebben we een escrowregeling getroffen die de continuïteit en beschikbaarheid van de software van Paragin Group veiligstelt.
Paragin Group biedt hiervoor een escrowovereenkomst aan in de vorm van een driepartijenovereenkomst met Escrow4all B.V. Escrow4all is ISO/IEC 27001-gecertificeerd en is onder andere door Microsoft en ICANN erkend als escrowaanbieder.
Voor het aangaan en in stand houden van de escrowovereenkomst en de continuïteitsgarantie op naam van de klant kunnen jaarlijkse kosten in rekening worden gebracht. Klanten die voor deze optie kiezen, worden in het Escrow4all-portaal geregistreerd als belanghebbende en actief op de hoogte gehouden van de status van de escrowovereenkomst. Zo zijn de rechten van onze klanten beschermd en kent Escrow4all die rechten direct als de escrowregeling in werking moet treden. Voor meer informatie over de mogelijkheden kunt u contact met ons opnemen.
Responsible disclosure
Paragin Group hecht het grootste belang aan de veiligheid en beveiliging van haar software. Hoe zorgvuldig we onze systemen ook beveiligen, zoals hierboven beschreven, er kunnen toch kwetsbaarheden ontstaan.
Hebt u een kwetsbaarheid ontdekt in een van onze softwareproducten? Laat het ons dan weten, zodat we zo snel mogelijk actie kunnen ondernemen. We werken graag met u samen om onze klanten, gebruikers, partners en systemen zo goed mogelijk te beschermen.
Bij het melden van een kwetsbaarheid vragen we u:
- Mail uw bevindingen naar support@paragin.com;
- Maak geen misbruik van de geïdentificeerde kwetsbaarheid door bijvoorbeeld meer gegevens te downloaden dan nodig is om de kwetsbaarheid aan te tonen of door gegevens van derden te openen, te verwijderen of te wijzigen;
- Deel de kwetsbaarheid niet met anderen totdat deze is opgelost en verwijder alle vertrouwelijke gegevens die via de kwetsbaarheid zijn verkregen onmiddellijk nadat deze is opgelost;
- Gebruik geen fysieke beveiligingsaanvallen, DDoS-aanvallen, spam of toepassingen van derden. Geef voldoende informatie om het probleem te reproduceren, zodat we het zo snel mogelijk kunnen oplossen. Meestal zijn de URL van het getroffen systeem en een beschrijving van de kwetsbaarheid voldoende, maar bij complexere kwetsbaarheden kan meer nodig zijn.
Wat we beloven in het kader van verantwoorde openbaarmaking:
- We behandelen uw melding vertrouwelijk en delen uw persoonsgegevens niet met derden zonder uw toestemming, tenzij dit noodzakelijk is om te voldoen aan een wettelijke verplichting. Melden onder een pseudoniem is mogelijk;
- We houden u op de hoogte van de voortgang van het oplossen van het probleem;
- Als u dat wilt, vermelden we in de communicatie over het gemelde probleem uw naam als ontdekker;
- Als u het probleem hebt gemeld in overeenstemming met deze verklaring inzake verantwoorde openbaarmaking, zullen we geen juridische stappen ondernemen. We stellen uw inbreng zeer op prijs;
- Als dank voor uw hulp bieden we een beloning voor elke melding van een beveiligingsprobleem dat ons nog niet bekend is. De hoogte van de beloning wordt bepaald op basis van de ernst van de kwetsbaarheid en de kwaliteit van de melding. We streven ernaar om problemen zo snel mogelijk op te lossen en werken graag actief samen met iedereen die ons kan helpen.
De bovenstaande verklaring maakt deel uit van het initiatief voor verantwoorde openbaarmaking om de softwarebeveiliging te verbeteren. Met dank aan Floor Terra en coordinatedvulnerabilitydisclosure.org.
Meer informatie
We hopen dat deze pagina u een goed beeld geeft van onze aanpak van informatiebeveiliging en privacybescherming. Hebt u nog vragen? Stuur dan een e-mail naar support@paragin.com.
Liever eerst een overzicht? Op onze pagina Vertrouwen leest u in het kort hoe Paragin Group omgaat met beveiliging, betrouwbaarheid en continuïteit.