Stilops

Conformité

Où nous en sommes, contrôle par contrôle.

Voici le registre de conformité de Stilops, en lecture seule et en direct : le même état que nous tenons en interne, par référentiel et par contrôle. Les points ouverts sont affichés aussi visiblement que ceux qui sont satisfaits.

Ce que signifie le pourcentage : la part des contrôles applicables au statut « satisfait ». Un contrôle non applicable n'est pas compté ; un contrôle pas encore évalué compte comme ouvert. L'objectif n'est pas que tout soit vert, mais que plus rien ne reste non évalué.

Un « satisfait » ou « N/A » n'apparaît ici qu'après confirmation personnelle de cette évaluation par le propriétaire de Stilops — une évaluation par un agent ne suffit pas. D'ici là, il est indiqué « pas encore confirmé » et le point ne compte pas comme satisfait.

Il s'agit d'une auto-évaluation, pas d'une certification ni d'un rapport d'assurance. Ce qui exige un tiers indépendant (audit de certification, rapport ISAE 3402, accords de sous-traitance) est indiqué par référentiel dans la note de périmètre.

Les contrôles et les exigences sont en néerlandais.

ISO 27001ISO/IEC 27001:2022 — Informatiebeveiligingsbeheersysteem100% satisfait / dans le périmètre

20 / 20 dans le périmètre0 ouvert0 partiel20 satisfait1 n/a0 pas encore confirmé

Dernière évaluation le 2026-10-17

Dit is een zelfbeoordeling, geen certificering. De ISMS-clausules 4–10 en een representatieve selectie van Annex A staan hier; organisatorische controls (personeelsscreening, fysieke beveiliging van Hetzner-datacenters, leveranciersaudits) worden eerlijk als 'organisatorisch' gemarkeerd en niet technisch nagebootst.

Afficher les contrôles

ISMS · Context (clausule 4)

  • 4Context, scope en belanghebbenden van de organisatieBepaal de interne en externe issues, de eisen van belanghebbenden en de scope van het ISMS.Satisfait

ISMS · Leiderschap (clausule 5)

  • 5Leiderschap, beleid en rollenHet management stelt een informatiebeveiligingsbeleid vast en wijst rollen en verantwoordelijkheden toe.Satisfait

ISMS · Planning (clausule 6)

  • 6Risicobeoordeling en risicobehandelingVoer een informatiebeveiligingsrisicobeoordeling uit en stel een risicobehandelplan en een Verklaring van Toepasselijkheid (SoA) op.Satisfait

ISMS · Ondersteuning (clausule 7)

  • 7Middelen, bewustzijn en gedocumenteerde informatieZorg voor competente mensen, bewustwording en beheer van gedocumenteerde informatie.Satisfait

ISMS · Uitvoering (clausule 8)

  • 8Operationele planning en beheersingVoer de processen uit die nodig zijn om aan de beveiligingseisen te voldoen.Satisfait

ISMS · Evaluatie (clausule 9)

  • 9Monitoring, interne audit en directiebeoordelingMeet de prestaties van het ISMS, voer interne audits uit en houd directiebeoordelingen.Satisfait

ISMS · Verbetering (clausule 10)

  • 10Afwijkingen en continue verbeteringBehandel afwijkingen met corrigerende maatregelen en verbeter het ISMS doorlopend.Satisfait

A.5 Organisatorisch

  • A.5.1Beleid voor informatiebeveiligingDefinieer, keur goed en communiceer een set informatiebeveiligingsbeleid.Satisfait
  • A.5.7Dreigingsinformatie (threat intelligence)Verzamel en analyseer informatie over dreigingen om erop te kunnen reageren.Satisfait
  • A.5.15ToegangsbeheersingStel regels voor fysieke en logische toegang op op basis van business- en beveiligingseisen.Satisfait
  • A.5.23Informatiebeveiliging bij clouddienstenBeheer verwerving, gebruik en beëindiging van clouddiensten conform beveiligingseisen.Satisfait
  • A.5.30ICT-gereedheid voor bedrijfscontinuïteitZorg dat ICT klaar is voor continuïteit op basis van continuïteitsdoelstellingen.Satisfait

A.6 Mensen

  • A.6.3Bewustwording, opleiding en trainingZorg voor passende bewustwording en training over informatiebeveiliging.Satisfait
  • A.6.7Werken op afstandNeem beveiligingsmaatregelen voor personeel dat op afstand werkt.Satisfait

A.7 Fysiek

  • A.7.4Fysieke beveiligingsmonitoringBewaak locaties continu op onbevoegde fysieke toegang.N/A

A.8 Technologisch

  • A.8.5Veilige authenticatieImplementeer veilige authenticatietechnologieën en -procedures.Satisfait
  • A.8.12Voorkomen van datalekken (DLP)Pas maatregelen toe om ongewenste openbaarmaking van gevoelige data te voorkomen.Satisfait
  • A.8.15LoggingLeg gebeurtenissen vast en bescherm de logs tegen manipulatie.Satisfait
  • A.8.16MonitoringactiviteitenBewaak netwerken, systemen en applicaties op afwijkend gedrag.Satisfait
  • A.8.24Gebruik van cryptografieStel regels voor effectief gebruik van cryptografie op, inclusief sleutelbeheer.Satisfait
  • A.8.28Veilig programmerenPas principes voor veilig programmeren toe bij softwareontwikkeling.Satisfait

HIPAAHIPAA — Health Insurance Portability and Accountability Act100% satisfait / dans le périmètre

0 / 0 dans le périmètre0 ouvert0 partiel0 satisfait14 n/a0 pas encore confirmé

Dernière évaluation le 2026-08-17

Alleen van toepassing als Stilops PHI van US-covered-entities verwerkt onder een Business Associate Agreement (BAA). Dit is een zelfbeoordeling van de Security-Rule-waarborgen; het afsluiten van een BAA en Privacy-Rule-processen (patiëntrechten) zijn juridisch/organisatorisch.

Afficher les contrôles

Administratieve waarborgen (§164.308)

  • §164.308(a)(1)Beveiligingsbeheerproces & risicoanalyseVoer een risicoanalyse uit en implementeer maatregelen om risico's voor PHI tot een redelijk niveau terug te brengen; pas een sanctiebeleid en activiteitenreview toe.N/A
  • §164.308(a)(3)Autorisatie en toezicht op personeelZorg dat alleen bevoegden toegang tot PHI hebben en dat toegang bij vertrek wordt ingetrokken.N/A
  • §164.308(a)(5)Bewustwording en trainingVerzorg een security-awareness-programma, inclusief loginmonitoring en wachtwoordbeheer.N/A
  • §164.308(a)(6)IncidentafhandelingIdentificeer en reageer op beveiligingsincidenten en documenteer de uitkomst.N/A
  • §164.308(a)(7)Noodplan (contingency plan)Stel een back-up-, noodherstel- en bedrijfscontinuïteitsplan op en test het periodiek.N/A
  • §164.308(b)(1)Business Associate AgreementsVerkrijg contractuele garanties van subverwerkers die PHI verwerken.N/A

Fysieke waarborgen (§164.310)

  • §164.310(a)(1)Toegangscontrole tot faciliteitenBeperk fysieke toegang tot systemen die PHI bevatten.N/A
  • §164.310(d)(1)Beheer van apparatuur en mediaBeheer verwijdering en hergebruik van media met PHI, inclusief veilige wissing.N/A

Technische waarborgen (§164.312)

  • §164.312(a)(1)Toegangsbeheer (unieke gebruikers-ID, noodtoegang, auto-logoff)Beperk technische toegang tot PHI tot bevoegde personen en processen.N/A
  • §164.312(b)AuditcontrolesLeg activiteiten in systemen met PHI vast en beoordeel ze.N/A
  • §164.312(c)(1)Integriteit van PHIBescherm PHI tegen onterechte wijziging of vernietiging.N/A
  • §164.312(e)(1)Transmissiebeveiliging (versleuteling in transit)Bescherm PHI tegen onbevoegde toegang tijdens transport over netwerken.N/A

Breach Notification Rule (§164.400–414)

  • §164.404Melding van datalekkenMeld inbreuken op onbeveiligde PHI aan betrokkenen, HHS en zo nodig de media binnen de termijnen.N/A

Privacy Rule (§164.500–534)

  • §164.502Minimaal noodzakelijk gebruik van PHIBeperk gebruik en verstrekking van PHI tot het minimaal noodzakelijke.N/A

NIS2NIS2 — EU-richtlijn 2022/2555 netwerk- en informatiebeveiliging100% satisfait / dans le périmètre

0 / 0 dans le périmètre0 ouvert0 partiel0 satisfait12 n/a0 pas encore confirmé

Dernière évaluation le 2026-10-11

Van toepassing als Stilops als essentiële of belangrijke entiteit onder NIS2 valt (afhankelijk van sector en omvang). De art. 21-maatregelen overlappen sterk met ISO 27001; registratie bij de toezichthouder en de bestuurlijke aansprakelijkheid (art. 20) zijn juridisch/organisatorisch.

Afficher les contrôles

Governance (art. 20)

  • art.20Goedkeuring en toezicht door de leidingHet bestuur keurt de risicobeheersmaatregelen goed, ziet toe op de uitvoering en volgt training.N/A

Risicomaatregelen (art. 21)

  • art.21(2)(a)Risicoanalyse en beleid voor informatiesystemenVoer risicoanalyses uit en stel beleid voor de beveiliging van informatiesystemen op.N/A
  • art.21(2)(b)IncidentafhandelingBeschik over processen voor het detecteren, afhandelen en oplossen van incidenten.N/A
  • art.21(2)(c)Bedrijfscontinuïteit, back-up en crisisbeheerWaarborg continuïteit met back-ups, noodherstel en crisisbeheer.N/A
  • art.21(2)(d)Beveiliging van de toeleveringsketenBeheer beveiligingsrisico's van leveranciers en dienstverleners.N/A
  • art.21(2)(e)Veilige verwerving, ontwikkeling en onderhoudBeveilig het verwerven, ontwikkelen en onderhouden van systemen, inclusief kwetsbaarhedenbeheer.N/A
  • art.21(2)(f)Beoordeling van de effectiviteit van maatregelenBeoordeel periodiek of de risicobeheersmaatregelen effectief zijn.N/A
  • art.21(2)(g)Basale cyberhygiëne en trainingZorg voor basale cyberhygiëne-praktijken en beveiligingstraining.N/A
  • art.21(2)(h)Cryptografie en versleutelingHanteer beleid en maatregelen voor het gebruik van cryptografie en, waar passend, versleuteling.N/A
  • art.21(2)(i)Personeelsbeveiliging, toegangsbeleid en assetbeheerBeheer personeelsbeveiliging, toegangsrechten en de inventarisatie van bedrijfsmiddelen.N/A
  • art.21(2)(j)Multifactorauthenticatie en beveiligde communicatiePas waar passend MFA, continue authenticatie en beveiligde spraak-/video-/tekstcommunicatie toe.N/A

Meldplicht (art. 23)

  • art.23Melden van significante incidentenMeld significante incidenten aan het CSIRT/de toezichthouder: vroegtijdige waarschuwing binnen 24 uur, melding binnen 72 uur en een eindrapport binnen een maand.N/A

AI ActEU AI Act — Verordening (EU) 2024/1689 inzake artificiële intelligentie100% satisfait / dans le périmètre

13 / 13 dans le périmètre0 ouvert0 partiel13 satisfait2 n/a0 pas encore confirmé

Dernière évaluation le 2026-10-10

Stilops levert en gebruikt AI-systemen; welke verplichtingen gelden hangt af van de risicoklasse van elk gebruiksscenario. De formele classificatie (conclusie: beperkt risico, geen Annex III-categorie) en de bijbehorende documentenset staan in het AI Act-dossier; het overzicht ervan is publiek via het nalevingsregister, de onderliggende documenten zijn op verzoek beschikbaar. De art. 9/11/15/72-onderdelen zijn daar als proportionele, vrijwillige baseline uitgewerkt — er wordt bewust géén hoog-risico-conformiteit geclaimd.

Afficher les contrôles

Toepassingsdatum en gefaseerde inwerkingtreding

  • art.113Wanneer welke verplichting geldtKen de gefaseerde toepassingsdata uit art. 113, zoals gewijzigd door Verordening (EU) 2026/1744: verboden praktijken (hfst. I-II) vanaf 2-2-2025, governance/GPAI-regels (hfst. III afd. 4, V, VII, XII + art. 78) vanaf 2-8-2025, algemene toepassing incl. transparantie (art. 50) vanaf 2-8-2026, hoog-risicosystemen bijlage III vanaf 2-12-2027, art. 6 lid 1 + bijbehorende verplichtingen (bijlage I-producten) vanaf 2-8-2028.Satisfait

Algemene verplichtingen

  • art.4AI-geletterdheid van eigen personeel en van gebruikersAanbieders en gebruiksverantwoordelijken nemen maatregelen om de ontwikkeling van AI-geletterdheid te ondersteunen bij hun personeel en bij anderen die namens hen AI-systemen bedienen of gebruiken, rekening houdend met hun kennis, ervaring en de context van gebruik (tekst na Verordening (EU) 2026/1744: een inspanningsverplichting, geen garantie van een bepaald niveau per persoon).Satisfait

Risicoclassificatie

  • art.3/6Bepalen van de risicocategorie per AI-toepassingClassificeer elk AI-systeem als verboden, hoog-risico, beperkt-risico of minimaal-risico en bepaal de bijbehorende verplichtingen.Satisfait

Verboden praktijken

  • art.5Geen verboden AI-praktijkenPas geen verboden praktijken toe (manipulatie, social scoring, ongerichte scraping van gezichtsbeelden, emotieherkenning op de werkplek e.d.).Satisfait

Eisen hoog-risico (art. 9–15)

  • art.9RisicomanagementsysteemZet een doorlopend risicomanagementsysteem op over de hele levenscyclus van het systeem.Satisfait
  • art.10Data governanceGebruik trainings-, validatie- en testdata van passende kwaliteit met aandacht voor bias en representativiteit.N/A
  • art.11/18Technische documentatieStel technische documentatie op die aantoont dat aan de eisen wordt voldaan, en houd die bij.Satisfait
  • art.12Registratie en logging van gebeurtenissenRegistreer automatisch gebeurtenissen (logs) gedurende de levensduur om traceerbaarheid te waarborgen.Satisfait
  • art.13Transparantie richting gebruikersVoorzie gebruikers van duidelijke informatie over de werking en beperkingen van het systeem.Satisfait
  • art.14Menselijk toezichtZorg dat een mens het systeem effectief kan overzien, corrigeren en zo nodig stoppen.Satisfait
  • art.15Nauwkeurigheid, robuustheid en cyberbeveiligingZorg voor passende nauwkeurigheid, robuustheid en cyberbeveiliging, bestand tegen fouten en misbruik.Satisfait

Aanbiederverplichtingen

  • art.17KwaliteitsmanagementsysteemHanteer als aanbieder een kwaliteitsmanagementsysteem dat naleving borgt.N/A
  • art.19Bewaren van automatisch gegenereerde logsBewaar de door het systeem gegenereerde logs gedurende een passende periode (minimaal 6 maanden).Satisfait
  • art.72Monitoring na het in de handel brengenVerzamel en analyseer na uitrol systematisch gegevens over de werking van het systeem.Satisfait

Transparantieverplichtingen

  • art.50Kenbaarheid van AI-interactie en AI-gegenereerde contentInformeer mensen dat ze met een AI-systeem communiceren en markeer AI-gegenereerde of gemanipuleerde content waar vereist.Satisfait

AVGAVG/GDPR — Verordening (EU) 2016/679 Algemene Verordening Gegevensbescherming100% satisfait / dans le périmètre

12 / 12 dans le périmètre0 ouvert0 partiel12 satisfait1 n/a0 pas encore confirmé

Dernière évaluation le 2026-10-30

Dit is een zelfbeoordeling, geen juridisch advies en geen vervanging van een verwerkingsregister dat door een Functionaris Gegevensbescherming is opgesteld. Vóór deze toevoeging kwam de AVG alleen terloops voor in NEN 7510-control 5.34 (bijzondere persoonsgegevens) — die control blijft bestaan voor de zorgspecifieke lezing; dit framework dekt de AVG in de volle breedte. De doorgifte- en verwerkersovereenkomst-controls (art. 28, art. 44–49) verwijzen naar het structurele leveranciersregister in plaats van naar vrije tekst — dat register is zelf het antwoord op de bevinding die dit framework heeft aangevraagd.

Afficher les contrôles

Beginselen (art. 5)

  • art.5Beginselen inzake verwerking van persoonsgegevensPersoonsgegevens worden rechtmatig, behoorlijk en transparant verwerkt, voor welbepaalde doeleinden, niet bovenmatig, juist, niet langer dan nodig bewaard, en passend beveiligd (rechtmatigheid, doelbinding, minimale gegevensverwerking, juistheid, opslagbeperking, integriteit en vertrouwelijkheid, verantwoordingsplicht).Satisfait

Grondslag (art. 6)

  • art.6Rechtmatigheid van de verwerkingElke verwerking van persoonsgegevens rust op minstens één grondslag (toestemming, overeenkomst, wettelijke verplichting, gerechtvaardigd belang, etc.).Satisfait

Bijzondere persoonsgegevens (art. 9)

  • art.9Verwerking van bijzondere categorieën persoonsgegevensVerwerking van gezondheidsgegevens en andere bijzondere persoonsgegevens is verboden tenzij een uitzondering geldt.Satisfait

Transparantie (art. 12–14)

  • art.12-14Informatieverstrekking aan betrokkenenBetrokkenen krijgen beknopte, begrijpelijke informatie over de verwerking, in eenvoudige taal, kosteloos.Satisfait

Rechten van betrokkenen (art. 15–22)

  • art.15-22Recht op inzage, rectificatie, verwijdering, beperking, overdraagbaarheid en bezwaarBetrokkenen kunnen hun gegevens inzien, laten corrigeren of verwijderen, de verwerking laten beperken, hun gegevens laten overdragen, en bezwaar maken.Satisfait

Verantwoordelijkheid & privacy by design (art. 24–25)

  • art.24/25Passende technische en organisatorische maatregelen, privacy by design en by defaultDe verwerkingsverantwoordelijke implementeert maatregelen die aantoonbaar aan de AVG voldoen, en bouwt gegevensbescherming al bij ontwerp en als standaardinstelling in.Satisfait

Verwerkers (art. 28)

  • art.28Verwerkersovereenkomsten met subverwerkersEen verwerkersovereenkomst (DPA) met elke subverwerker regelt onderwerp, duur, aard en doel van de verwerking, categorieën betrokkenen, en de verplichtingen van de verwerker.Satisfait

Verwerkingsregister (art. 30)

  • art.30Register van verwerkingsactiviteitenHoud een register bij van alle verwerkingen: doeleinden, categorieën betrokkenen en gegevens, ontvangers, bewaartermijnen en beveiligingsmaatregelen.Satisfait

Beveiliging van de verwerking (art. 32)

  • art.32Passende technische en organisatorische beveiligingsmaatregelenImplementeer maatregelen die een beveiligingsniveau waarborgen dat is afgestemd op het risico, waaronder pseudonimisering, versleuteling, en het vermogen om beschikbaarheid en veerkracht te waarborgen.Satisfait

Datalekken (art. 33–34)

  • art.33/34Melding van een inbreuk aan de toezichthouder en betrokkenenMeld een datalek binnen 72 uur aan de toezichthouder, en zonder onredelijke vertraging aan de betrokkene als er een hoog risico is.Satisfait

Gegevensbeschermingseffectbeoordeling (art. 35)

  • art.35DPIA bij een verwerking met hoog risicoVoer een DPIA uit vóór een verwerking die waarschijnlijk een hoog risico oplevert voor de rechten en vrijheden van betrokkenen.Satisfait

Functionaris Gegevensbescherming (art. 37)

  • art.37Aanwijzen van een FG (indien verplicht)Wijs een Functionaris Gegevensbescherming aan als de kernactiviteiten bestaan uit grootschalige systematische monitoring, of grootschalige verwerking van bijzondere gegevens.N/A

Internationale doorgifte (art. 44–49)

  • art.44-49Doorgifte van persoonsgegevens buiten de EEREen doorgifte naar een land buiten de EER vereist een adequaatheidsbesluit, passende waarborgen (zoals EU-modelcontractbepalingen) of een uitzondering.Satisfait

ISAE 3402ISAE 3402 — Assurance-rapport over beheersmaatregelen bij een serviceorganisatie44% satisfait / dans le périmètre

4 / 9 dans le périmètre0 ouvert5 partiel4 satisfait0 n/a0 pas encore confirmé

Dernière évaluation le 2026-10-03

Dit is een zelfbeoordeling van de beheersdoelstellingen die in een ISAE 3402-rapport zouden staan; het rapport zelf wordt door een onafhankelijke accountant afgegeven. Voor een Type II-rapport moet de werking over een periode (meestal 6–12 maanden) worden aangetoond — dat is een organisatorisch traject.

Afficher les contrôles

Systeembeschrijving & directieverklaring

  • CO-0Beschrijving van het systeem en directieverklaringDe directie beschrijft het dienstverleningssysteem en verklaart dat de beschrijving getrouw is en de beheersmaatregelen adequaat zijn opgezet.Partiel

Beheersomgeving

  • CO-1Beheersomgeving en governanceEr is een beheersomgeving met vastgelegde verantwoordelijkheden, beleid en toezicht.Satisfait

Beheersdoelstellingen

  • CO-2Logische toegangsbeveiligingToegang tot systemen en gegevens is beperkt tot geautoriseerde gebruikers en wordt periodiek beoordeeld.Partiel
  • CO-3Wijzigingsbeheer (change management)Wijzigingen aan de productieomgeving worden getest, beoordeeld en goedgekeurd voordat ze live gaan.Partiel
  • CO-4Computeroperations en back-upVerwerkingen worden bewaakt, back-ups worden gemaakt en herstelbaarheid wordt geborgd.Satisfait
  • CO-5Data-integriteit en volledigheid van verwerkingGegevens worden volledig, juist en tijdig verwerkt; afwijkingen worden gedetecteerd en afgehandeld.Satisfait
  • CO-6Incident- en probleembeheerIncidenten worden geregistreerd, geanalyseerd en tot afronding opgevolgd.Satisfait
  • CO-7Fysieke en omgevingsbeveiligingDe fysieke infrastructuur is beschermd tegen onbevoegde toegang en omgevingsrisico's.Partiel

Monitoring & werking (Type II)

  • CO-8Aantonen van de werking over een periodeVoor een Type II-rapport wordt de effectieve werking van de beheersmaatregelen over de rapportageperiode aangetoond met bewijs.Partiel

NEN 7510NEN 7510 — Informatiebeveiliging in de zorg0% satisfait / dans le périmètre

0 / 1 dans le périmètre0 ouvert1 partiel0 satisfait9 n/a0 pas encore confirmé

Dernière évaluation le 2026-10-11

Van toepassing als Stilops persoonlijke gezondheidsinformatie van Nederlandse zorgaanbieders verwerkt. Bouwt voort op de ISO 27001-zelfbeoordeling; zorgspecifieke eisen (BSN-gebruik, toestemming, logging van dossiertoegang volgens NEN 7513) zijn deels organisatorisch.

Afficher les contrôles

Managementsysteem (NEN 7510-1)

  • 5Directieverantwoordelijkheid voor informatiebeveiliging in de zorgDe directie stelt beleid vast, wijst een verantwoordelijke aan en borgt informatiebeveiliging in de zorgorganisatie.N/A
  • 6Risicobeoordeling toegespitst op gezondheidsgegevensBeoordeel risico's specifiek voor de vertrouwelijkheid, integriteit en beschikbaarheid van gezondheidsgegevens.N/A

Toegangsbeveiliging

  • 5.10Need-to-know-toegang tot patiëntgegevensToegang tot gezondheidsgegevens is beperkt tot zorgverleners met een behandelrelatie (need-to-know).N/A
  • 5.11Unieke identificatie en sterke authenticatieGebruikers worden uniek geïdentificeerd en sterk geauthenticeerd voordat toegang tot zorggegevens wordt verleend.N/A

Logging & controle (NEN 7513)

  • 5.13Logging van toegang tot het patiëntdossierElke toegang tot een elektronisch patiëntdossier wordt gelogd conform NEN 7513, inclusief wie, wanneer en welke actie.N/A

Cryptografie

  • 5.14Versleuteling van gezondheidsgegevensBescherm gezondheidsgegevens in rust en tijdens transport met passende cryptografie.N/A

Continuïteit

  • 5.29Beschikbaarheid en continuïteit van zorgsystemenWaarborg de beschikbaarheid van informatiesystemen die de zorg ondersteunen, inclusief herstel.N/A

Privacy & gegevensbescherming

  • 5.34Bescherming van bijzondere persoonsgegevens (AVG art. 9)Gezondheidsgegevens zijn bijzondere persoonsgegevens en vereisen een geldige grondslag en extra waarborgen.N/A

Leveranciersrelaties

  • 5.22Afspraken met verwerkers van zorggegevensLeg beveiligings- en verwerkingsafspraken vast met subverwerkers (hosting, e-mail, AI-providers).Partiel

Incidentbeheer

  • 6.8Melden van beveiligingsincidenten en datalekkenBeveiligingsincidenten met zorggegevens worden geregistreerd, beoordeeld en zo nodig gemeld aan de AP.N/A

Sous-traitants ultérieurs (6)

La même liste que dans la politique de confidentialité, avec pour chaque partie l'état de l'accord de sous-traitance — y compris là où il reste ouvert.

PartieFinalitéPaysAccord de sous-traitance
AnthropicUitvoeren van agent-taken (het taalmodel achter elke agent), via de diensten van Anthropic.Verenigde StatenVerwerkersovereenkomst met EU-modelcontractbepalingen geaccepteerd; als bewijs vastgelegd in het register op 20-10-2026.
Hetzner Online GmbHHosting van de servers waarop Stilops en klantgegevens draaien.Duitsland (EU)Verwerking binnen de EU. Verwerkersovereenkomst (AVV, art. 28 AVG) versie 1.2 gesloten via het Hetzner-account, door Hetzner gedateerd 22-9-2026; als bewijs gearchiveerd in het register.
Hetzner Online GmbH (e-mail)E-mailhosting van Stilops zelf (Hetzner Webhosting): het afzenderaccount waarmee Stilops transactionele mail naar klanten stuurt (wachtwoord-reset, bevestiging van een aanmelding, uitnodigingen, antwoorden op tickets, meldingen dat een beslissing nodig is) en de mailboxen van Stilops' eigen interne agents. Klant-agents hebben geen mailbox en versturen geen mail.Duitsland (EU)Verwerking binnen de EU. Verwerkersovereenkomst (AVV, art. 28 AVG) gesloten via het Hetzner-account voor de mailhosting op 16-10-2026, inclusief communicatiegegevens (e-mail). Bewijs vastgelegd in het register op 20-10-2026.
Cloudflare, Inc.DNS en verkeersbeveiliging voor de domeinen van Stilops.Verenigde StatenVerwerkersovereenkomst met EU-modelcontractbepalingen geaccepteerd; als bewijs vastgelegd in het register op 20-10-2026.
StripeBetalingen en facturatiegegevens bij een betaald abonnement.Verenigde Staten / Ierland (Stripe Payments Europe)Verwerkersovereenkomst met EU-modelcontractbepalingen geaccepteerd; als bewijs vastgelegd in het register op 20-10-2026. Let op, hybride rol: dit betreft alleen Stripe als subverwerker (art. 28 AVG) bij het uitvoeren van de betaalopdracht namens Stilops. Voor fraudepreventie, AML/KYC en Stripe's eigen wettelijke verplichtingen als betaalinstelling bepaalt Stripe zelf doel en middelen en is Stripe daarvoor zelfstandig verwerkingsverantwoordelijke — dat deel valt buiten het bereik van een art. 28-DPA.
Kadaster (PDOK Locatieserver)Omzetten van Nederlandse adressen in coördinaten als een klantagent met de routetool een route berekent. Alleen de adresregel (straat, huisnummer, postcode, plaats); tekst tussen haakjes en regels zonder huisnummer of postcode gaan er niet heen.Nederland (EU)Openbare dienst van de Nederlandse overheid (Kadaster), verwerking in Nederland. Biedt geen verwerkersovereenkomst aan; ontvangt alleen adresregels zonder naam. Uitzetten kan met één schakelaar. Bewijs vastgelegd in het register op 19-10-2026.

Documents pour clients et auditeurs

Les documents standard qu'un client, un auditeur ou une autorité de contrôle demande — les mêmes fichiers que dans notre propre administration, pas un résumé. Tous les documents sont en néerlandais ; chacun peut aussi être ouvert en texte brut.

  • 01AVG art. 28 lid 3

    Verwerkersovereenkomst (sjabloon)

    Le modèle que Stilops propose en tant que sous-traitant : instructions, sécurité, sous-traitants ultérieurs, violations de données et audit — honnête sur ce qui reste ouvert.

    PDF

  • 02AVG art. 28 lid 2 en 4

    Subverwerkerslijst

    Par partie : ce qu'elle fait, où elle traite, et l'état de l'accord de sous-traitance, y compris là où il manque.

    PDF

  • 03AVG art. 5 lid 1 onder e

    Bewaartermijnen

    Combien de temps quelles données sont conservées, avec l'endroit du logiciel qui l'impose — et ce qui n'a pas encore de durée.

    PDF

  • 04AVG art. 30

    Verwerkingsregister

    Le registre des activités de traitement : Stilops comme responsable (partie A) et comme sous-traitant pour ses clients (partie B).

    Pour les clients · connexion

  • 05ISO 27001 A.5.1

    Informatiebeveiligingsbeleid

    Ce que Stilops veut atteindre en sécurité de l'information, qui décide de quoi et quelles règles s'appliquent — y compris ce que la politique doit admettre.

    PDF

  • 06AVG art. 33 en 34

    Incident- en datalekprocedure

    Ce qui se passe quand quelque chose tourne mal : comment un incident arrive, les premières heures, et qui est notifié dans quel délai.

    Pour les clients · connexion

  • 08Verordening (EU) 2024/1689

    AI Act-dossier (overzicht)

    La classification (risque limité), ce que le Digital Omnibus change, et quels documents sous-jacents sont disponibles sur demande.

    PDF

  • 09ISO 27001 clausule 4

    ISMS: context, reikwijdte en belanghebbenden

    Ce que couvre le système de management de la sécurité, pour qui, et ce qui en est délibérément exclu — avec la raison de chaque exclusion.

    Pour les clients · connexion

  • 10ISO 27001 A.5.30

    Continuïteitsplan

    Objectifs de reprise (RTO et RPO), sur quoi repose la reprise, les scénarios et qui fait quoi — y compris le test de restauration encore ouvert.

    Pour les clients · connexion

  • 11ISAE 3402

    Systeembeschrijving

    Le service, ses composants et objectifs de contrôle, l'hébergeur en carve-out, et un projet de déclaration de la direction.

    Pour les clients · connexion

  • 12NIS2 art. 20, 21 en 23

    NIS2: vrijwillige naleving

    Comment Stilops suit NIS2 volontairement : par article ce qui est en place et ce qui manque, et quand un incident est significatif.

    Pour les clients · connexion

  • 13AVG art. 13 en 14

    Politique de confidentialité

    Ce que Stilops fait des données personnelles, par finalité et avec sa base juridique — la politique que chaque client accepte à l'inscription.

Des questions sur ce registre ? Écrivez à [email protected].