🏢 1. Verwerkingsverantwoordelijke, Verwerker & Toepasselijke Wetgeving
Dit Privacybeleid regelt de verwerking van persoonsgegevens door en via het SafeClick Security Awareness Platform (inclusief minigames, gamified leertrajecten, phishing simulaties en multi-tenant beheerconsoles). SafeClick is een handelsnaam en softwaresysteem geëxploiteerd door [TO BE FILLED IN], een naar Belgisch recht opgerichte vennootschap met zetel te [TO BE FILLED IN], ingeschreven in de Kruispuntbank van Ondernemingen (KBO / BCE) onder nummer [TO BE FILLED IN] ([TO BE FILLED IN]).
Onze gegevensverwerking voldoet strikt aan de Europese Algemene Verordening Gegevensbescherming (Verordening (EU) 2016/679 - AVG/GDPR) en de Belgische Wet van 30 juli 2018 betreffende de bescherming van natuurlijke personen met betrekking tot de verwerking van persoonsgegevens (Belgische Gegevensbeschermingswet).
Rolafbakening conform AVG Artikelen 4 en 28
- Voor Bedrijfspersoneel & Deelnemers (Spelers): Wanneer uw werkgever of organisatie een SafeClick licentie activeert, treedt uw werkgever op als de Verwerkingsverantwoordelijke (Data Controller). SafeClick treedt in die relatie uitsluitend op als Verwerker (Data Processor) conform Artikel 28 van de AVG. Een schriftelijke Verwerkersovereenkomst (Data Processing Agreement - DPA) maakt integraal onderdeel uit van elk klantcontract.
- Voor Directe Klantcontacten & Websitebezoekers: Voor contractadministratie, facturatie en directe interactie met bedrijfsbeheerders op safeclick.be treedt [TO BE FILLED IN] op als Verwerkingsverantwoordelijke.
📊 2. Welke Persoonsgegevens Verwerken Wij?
In overeenstemming met het principe van minimale gegevensverwerking (Art. 5 lid 1 sub c AVG) verzamelen wij uitsluitend gegevens die functioneel onmisbaar zijn voor het aanbieden van cyberbeveiligingstrainingen en compliance-audits:
- Account- en Identificatiegegevens: Voornaam, achternaam, zakelijk e-mailadres, afdelingsnaam (Department), functiegroep en uniek gebruikers-ID.
- Opleidings- en Telemetriegegevens: Voltooide hoofdstukken (Chapters 1 t/m 18), interactietijd, behaalde Experience Points (XP), nauwkeurigheidsgraad (Accuracy Score), actieve streaks en compliance-certificeringen.
- Simulatieresultaten & Risico-indicatoren: Kwetsbaarheids- en reactiemetingen bij gesimuleerde dreigingen (zoals reactie op phishing, spoofing, verdachte QR-codes of USB-vaults) gecategoriseerd in Risk Flags ter identificatie van gerichte opleidingsbehoeften.
- Authenticatie- & Sessielogs: Tijdstip van aanmelding, gehashte wachtwoorden (Bcrypt), cryptografisch willekeurige sessietokens en geanonimiseerde IP-adressen ten behoeve van fraudepreventie en brute-force bescherming.
⚖️ 3. Doeleinden & Rechtsgrondslagen (AVG & NIS 2)
Persoonsgegevens worden rechtmatig verwerkt op basis van de volgende gronden van Artikel 6 van de AVG:
- Gerechtvaardigd Belang (Art. 6 lid 1 sub f AVG): Het beschermen van de IT-infrastructuur, bedrijfsgeheimen en persoonsgegevens van de organisatie tegen ransomware, credential harvesting en cyberaanvallen door het trainen van de menselijke verdedigingslinie.
- Wettelijke Verplichting & Belgische NIS 2-wet (Art. 6 lid 1 sub c AVG): Het ondersteunen van organisaties bij het voldoen aan bindende Europese en Belgische cyberwetgeving, met name de Belgische Wet van 26 april 2024 tot vaststelling van een kader voor de cyberbeveiliging van netwerk- en informatiesystemen van algemeen belang voor de openbare veiligheid (NIS 2-wet), welke artikel 21 lid 2 van EU-Richtlijn 2022/2555 omzet en verplichte cyberhygiëne- en beveiligingsopleidingen oplegt onder toezicht van het Centrum voor Cybersecurity België (CCB). Voorts de DORA-verordening (Verordening (EU) 2022/2554) voor financiële entiteiten en normeringen zoals ISO/IEC 27001.
- Uitvoering van de Overeenkomst (Art. 6 lid 1 sub b AVG): Voor het activeren, onderhouden en factureren van de SaaS-diensten aan onze zakelijke opdrachtgevers.
🎣 4. Phishing Simulaties & Ethisch Zandbakkader
SafeClick simuleert cyberaanvallen met een louter educatief doel binnen een gesloten, gecontroleerde omgeving:
- Geen Plain-Text Wachtwoorden: Wanneer een medewerker inloggegevens invoert op een gesimuleerde phishing-pagina, wordt het ingevoerde wachtwoord nooit opgeslagen, verzonden of geanalyseerd. Het systeem converteert het incident onmiddellijk naar een telemetriegebeurtenis ("Inloggegevens verstrekt") en verwijdert de invoer direct uit het geheugen.
- Geen Repressief Karakter: Trainingsresultaten dienen ter educatie en versterking van de weerbaarheid en zijn niet bedoeld voor buitenproportionele arbeidsrechtelijke sancties zonder voorafgaande medezeggenschap.
🔒 5. Beveiligingsmaatregelen & Gegevensopslag in de EER
SafeClick waarborgt een passend beveiligingsniveau overeenkomstig Artikel 32 van de AVG en ISO/IEC 27001:
- Gegevensopslag Binnen de Europese Economische Ruimte (EER): Alle productieclusters, databases en back-ups worden uitsluitend gehost in gecertificeerde Tier-III/IV datacenters binnen de Europese Unie (België, Duitsland en Nederland). Er vindt geen doorgifte plaats naar derde landen zonder passendheidsbesluit van de Europese Commissie of goedgekeurde Modelcontractbepalingen (SCC's).
- End-to-End Cryptografie: Alle communicatie tussen client en server verloopt via TLS 1.3 versleutelde verbindingen. Wachtwoorden worden beveiligd met zware salted cryptografische hashes.
- Multi-Tenant Logische Isolatie: Elke clientorganisatie beschikt over strikt gescheiden logische tenant-omgevingen, waardoor cross-tenant datalekken mathematisch en architectonisch worden uitgesloten.
⏳ 6. Bewaartermijnen & Gegevensverwijdering
SafeClick bewaart persoonsgegevens niet langer dan noodzakelijk is voor de doeleinden waarvoor zij worden verwerkt:
- Gegevens van actieve spelers worden bewaard voor de duur van de zakelijke licentieovereenkomst van de werkgever.
- Wanneer een beheerder een individuele gebruiker deactiveert, worden de persoonsgegevens geanonimiseerd of definitief gewist.
- Bij beëindiging van het organisatiecontract geldt een exporttermijn van dertig (30) dagen waarin de beheerder alle compliance-audits kan downloaden, waarna alle data binnen zestig (60) dagen cryptografisch wordt gewist uit back-upsystemen.
👤 7. Uw Rechten als Betrokkene & De Belgische GBA
Krachtens de AVG en de Belgische Gegevensbeschermingswet van 30 juli 2018 beschikt u over de volgende rechten:
- Recht op Inzage (Art. 15 AVG): Het recht om uitsluitsel te verkrijgen over de verwerking van uw persoonsgegevens en inzage in uw trainingsscore en risicoprofiel.
- Recht op Rectificatie (Art. 16 AVG): Het recht om onjuiste of onvolledige identificatiegegevens te laten verbeteren.
- Recht op Gegevenswissing (Art. 17 AVG): Het recht om verwijdering van uw account te verzoeken, onder voorbehoud van wettelijke bewaarplichten van uw werkgever.
- Recht op Beperking (Art. 18 AVG) & Bezwaar (Art. 21 AVG): Het recht om de verwerking tijdelijk te bevriezen of bezwaar te maken tegen verwerking op grond van gerechtvaardigd belang.
- Recht op Overdraagbaarheid (Art. 20 AVG): Het recht om uw trainingsvoortgang en certificaten in een gestructureerd formaat (PDF/CSV) te ontvangen.
Aangezien SafeClick ten aanzien van trainingsgegevens optreedt als Verwerker, dient u dergelijke verzoeken in eerste instantie in te dienen bij de Privacy Officer of DPO van uw werkgever. SafeClick verleent onverwijld medewerking aan uw organisatie.
✉️ 9. Functionaris voor Gegevensbescherming & Contact
Voor juridische vragen, privacyverzoeken of het opvragen van onze standaard Verwerkersovereenkomst (DPA) kunt u contact opnemen met ons Data Protection Office:
[TO BE FILLED IN] • België (Europese Unie)