# Bijlage 2: passende technische en organisatorische maatregelen (artikel 4.1)

Aantonen passend niveau van beveiliging

De Verwerker neemt alle passende technische en organisatorische maatregelen om de Persoonsgegevens welke worden Verwerkt ten dienste van de Verantwoordelijke te beveiligen en beveiligd te houden tegen -onopzettelijk of onrechtmatige- vernietiging/wijziging, verlies of tegen enige vorm van onzorgvuldig, ondeskundig of ongeoorloofd gebruik, opslag, toegang of openbaarmaking. Deze maatregelen zullen een op de risico’s van Verwerking van Persoonsgegevens en de aard ervan passend beschermingsniveau verzekeren, rekening houdend met de stand van de techniek en de kosten die ermee gemoeid zijn.

De Verwerker heeft maatregelen genomen gericht op:

- Het waarborgen dat enkel bevoegde personen toegang hebben tot de te Verwerken Persoonsgegevens:

- Fysieke en organisatorische maatregelen voor toegangsbeveiliging, waaronder tot de server met databaseomgeving;

- Toegangsrechten en mappenstructuur met inlog-/toegangscontrole voor aangewezen personen gebruik makend van sterke wachtwoorden.

- Het beschermen van de Persoonsgegevens die worden Verwerkt tegen -onopzettelijk of onrechtmatige- vernietiging/wijziging, verlies of tegen enige vorm van onzorgvuldig, ondeskundig of ongeoorloofd gebruik, opslag, toegang of openbaarmaking:

- Een beveiligd intern netwerk;

- De Persoonsgegevens worden door daartoe bevoegde personen in de databaseomgeving geplaatst en opgeslagen;

- Adequate encryptie/versleuteling van digitale bestanden met de Persoonsgegevens;

- Werkbare -gecontroleerde- beveiliging van toegang tot/(netwerk)verbindingen op afstand met mobiele ICT-apparatuur (middels “2-weg”-controle, bitlocker) en back-ups, zodat kan worden ingestaan voor de integriteit en beschikbaarheid van de Persoonsgegevens evenals voor het herstel van de Persoonsgegevens bij fysieke of technische beveiligingsinbreuken;

- Géén gebruik van externe opslagmedia zoals USB-sticks en/of harddisks voor de Persoonsgegevens.

- Het identificeren van zwakke plekken ten aanzien van de Verwerking van de Persoonsgegevens in de ICT-systemen die door de Verwerker worden ingezet bij de dienstverlening:

- Adequate configuratie van routers en Firewall gecombineerd met actieve monitoring op de server tegen ‘ongeoorloofde indringers’/ IP-adressen van buitenaf;

- Adequate verslaglegging over de controle van toegekende bevoegdheden en de verwerking van de Persoonsgegevens in lijn met onderhavige overeenkomst, met daarbij de mogelijkheid terug te grijpen op de wijzigingshistorie.

Uit de certificering/periodieke externe controles/audits of uit de eigen controles/beschrijvingen blijkt of kan afgeleid worden dat de beveiliging passend is bij de verwerking(en) genoemd in bijlage 1.

NB: Eventuele wijzigingen in bovenstaande geven partijen uiterlijk binnen 24 uur aan elkaar door.