Beveiliging en vertrouwen

Hoe we werken

Elke opdracht van NexOps volgt dezelfde schriftelijke leveringsstandaarden. Is een standaard van de klant strenger, dan gebruiken we die van de klant.

• Secure by design: de veilige configuratie is de standaard en toegang wordt geweigerd tenzij iemand die nodig heeft.
• Privacy by design: we verzamelen en bewaren alleen de gegevens die de toepassing nodig heeft, houden persoonsgegevens in de afgesproken regio en bepalen voor elke dataset een bewaartermijn.
• Minimale rechten: toegang gaat naar groepen met de kleinste set rechten die het werk doet, en ongebruikte toegang verdwijnt.

Identiteit en toegang

Alle toegang loopt via beveiligingsgroepen in Microsoft Entra ID, gesynchroniseerd met Databricks op accountniveau. We voegen geen gebruikers rechtstreeks toe aan workspaces, catalogi, schema's of Azure-resources.

Bevoorrechte rollen zijn geschikt, niet actief. Ze worden geactiveerd via Privileged Identity Management voor beperkte tijd, met een reden en meerfactorauthenticatie, en met goedkeuring in acceptatie en productie. Pipelines gebruiken service principals of managed identities en CI/CD gebruikt workload identity federation in plaats van opgeslagen geheimen.

Gegevensbescherming in het platform

In Unity Catalog heeft elk schema een lezersgroep en een bijdragersgroep, en een groep is eigenaar van elke catalogus, elk schema, elke tabel en elk volume. Alle groepen en rechten staan als code vastgelegd. We classificeren gegevens voordat we ze laden en beschermen gevoelige kolommen met maskers, rijfilters of pseudonimisering.

We gebruiken geen persoonsgegevens uit productie in ontwikkeling of test en sturen geen klantgegevens naar externe AI-diensten tenzij de klant schriftelijk akkoord geeft.

Netwerk en geheimen

Platformdiensten gebruiken private endpoints, publieke netwerktoegang staat uit waar de dienst dat ondersteunt en Databricks draait met VNet-injectie en secure cluster connectivity. Geheimen, sleutels en certificaten staan in Azure Key Vault met rolgebaseerde toegang, soft delete en purge protection. Op elke pull request draait een scan op geheimen.

Wijzigingsbeheer en infrastructure as code

We werken in vier omgevingen: ontwikkeling, test, acceptatie en productie, elk met eigen resources en identiteiten. Wijzigingen bereiken productie via pull requests met buildvalidatie en codescans. Infrastructuur staat in Terraform, met onze eigen modules waar die bestaan, en Databricks Asset Bundles worden alleen door pipelines uitgerold. We wijzigen geen resources met de hand in het portaal.

Waar we je workloads draaien

Jij bepaalt waar je gegevens staan. We draaien platformen op Azure in de regio die je kiest en soevereine AI op Nebius in Europese regio's, op je eigen servers of op Azure in een EU-regio. Voor klanten in de EU gebruiken we alleen EU-regio's.

Soevereine en zelf gehoste AI

Serviceniveaus

Elke beheerde dienst draait onder een schriftelijke service level agreement (SLA) die we met de klant afspreken. De SLA legt reactie- en oplostijden per prioriteit vast van P1 tot en met P4, de servicetijden, de escalatieroute en de rapportage. We spreken de tijden met je af voor jouw platform en leggen ze vast in het contract.

Praat met ons over een SLA

Subverwerkers van deze website

Deze partijen verwerken persoonsgegevens voor nexops.nl. Subverwerkers voor een klantopdracht staan in de verwerkersovereenkomst van die opdracht. De actuele lijst van subverwerkers is op aanvraag beschikbaar.

Verwerkersovereenkomst

Verwerkersovereenkomst: voor elke opdracht op aanvraag beschikbaar.

Vraag een verwerkersovereenkomst aan

Verantwoorde openbaarmaking

Vind je een beveiligingsprobleem op nexops.nl, schrijf dan naar info@nexops.nl met als onderwerp "Security". Beschrijf wat je vond en hoe we het kunnen reproduceren. We bevestigen de ontvangst binnen twee werkdagen en houden je op de hoogte tot het is opgelost.

Ga alsjeblieft niet in op gegevens die niet van jou zijn, verstoor de site niet en geef ons redelijke tijd om het probleem op te lossen voordat je het deelt. Het bestand security.txt noemt hetzelfde contact.

security.txt