Beveiliging en gegevensbescherming

Zo beschermen we de gegevens van uw club

• Versleuteling tijdens het transport

  Alles wat tussen uw browser of de app en onze servers wordt verstuurd, is versleuteld met TLS (HTTPS). Daarnaast sturen we de HSTS-header mee, die de browser verplicht om gedurende een jaar altijd HTTPS met ons te gebruiken.

• Versleuteling van gevoelige gegevens

  Gegevens van bijzondere categorieën in de wettelijke gezondheidsdossiers (zoals etnische afkomst, genderidentiteit, handicap of zorgverzekeraar) worden versleuteld opgeslagen. Ook de inloggegevens van de betaalaanbieders en van de integraties van elke vestiging worden versleuteld opgeslagen, en de privésleutels van de certificaten zijn beveiligd met een wachtwoord dat is versterkt met een servergeheim dat niet in de database staat.

• Elke sportschool is gescheiden van de andere

  Elke persoon werkt met een profiel dat aan een bedrijf en een vestiging is gekoppeld, en rechten en zoekopdrachten zijn tot dat bereik beperkt. Een club ziet de gegevens van een andere club niet, en binnen een club ziet elke rol alleen wat de vestiging toestaat.

• Versleutelde en geteste back-ups

  We maken dagelijks een back-up van de databases. Elke back-up wordt versleuteld (AES-256) voordat hij de server verlaat en opgeslagen in versleutelde opslag; back-ups worden 15 dagen bewaard. Om zeker te weten dat ze echt werken, voeren we een hersteltest uit die een back-up in een aparte omgeving terugzet en controleert of de gegevens erin zitten.

• QR-codes voor toegang voor eenmalig gebruik

  De QR-code die het lid bij het tourniquet laat zien, wordt willekeurig gegenereerd, is eenmalig te gebruiken en wordt vernieuwd zodra hij een deur heeft geopend. Als hij niet wordt gebruikt, verloopt hij na 24 uur en wordt hij vervangen door een nieuwe. Er is geen vaste sleutel die gekopieerd of doorgestuurd kan worden.

• Auditlogboek

  Relevante handelingen worden vastgelegd, met wie ze heeft uitgevoerd en via welk kanaal (paneel, app of assistent), zodat kan worden nagegaan wat er is gebeurd en wanneer.

Bescherming van accounts

• Wachtwoorden

  Nieuwe wachtwoorden moeten minstens 8 tekens lang zijn (en maximaal 72). Ze worden nooit in leesbare vorm opgeslagen.

• Rem op inlogpogingen

  Als iemand herhaaldelijk een verkeerd wachtwoord invoert, wordt de toegang een tijdlang geblokkeerd. De blokkade wordt vanzelf opgeheven en maakt het account niet onbruikbaar.

• Verificatie in twee stappen (2FA)

  Beschikbaar met elke codes-app (Google Authenticator, Authy en vergelijkbare), met herstelcodes voor het geval u uw telefoon kwijtraakt. Ze is verplicht voor de beheerders van het platform en voor het team van de vestigingen die besluiten haar verplicht te stellen; wie ze zelf activeert, kan ze bij het inloggen niet meer overslaan. Als u een apparaat als vertrouwd markeert, wordt er 7 dagen lang niet opnieuw om gevraagd.

• Verlopen van de sessie

  Sessies in het paneel verlopen na 7 dagen en u moet opnieuw inloggen. U kunt uw actieve sessies bekijken en beëindigen.

Waar de gegevens staan

De servers en databases van het platform staan bij Amazon Web Services, in een datacenter in Spanje (Europese Unie). De assistent LAIA werkt met AI-modellen die op servers in de Europese Unie draaien. Meer details over de verwerking van gegevens vindt u in het privacybeleid.

Aanbieders die gegevens verwerken (subverwerkers)

Dit zijn de aanbieders die gegevens van uw club verwerken om de dienst te laten werken. Ze gebruiken de gegevens alleen volgens onze instructies.

Als de club integraties met andere diensten activeert (bio-impedantieweegschalen, beheersoftware), worden de gegevens met die diensten gedeeld omdat de club daarvoor kiest. Wanneer een aanbieder buiten de Europese Economische Ruimte is gevestigd, berust de doorgifte op het EU-VS-privacyraamwerk voor gegevens of op de modelcontractbepalingen van de Europese Commissie.

Verwerkersovereenkomst (DPA)

Als uw club een verwerkersovereenkomst met ons moet ondertekenen, sturen we die op uw verzoek toe. Schrijf daarvoor naar info@fitmewise.com.

Beleid voor het melden van kwetsbaarheden

Als u denkt een beveiligingslek in Fitmewise te hebben gevonden, willen we dat weten. Bedankt dat u ons op verantwoorde wijze informeert.

Hoe u een melding doet

Schrijf ons op info@fitmewise.com. De contactgegevens staan ook in /.well-known/security.txt.

Wat u in de melding vermeldt

• Wat u hebt gevonden en waar (webadres, scherm of endpoint).
• De stappen om het te reproduceren, met een proof of concept als u die hebt.
• Welke impact u denkt dat het heeft en welke gegevens erdoor getroffen kunnen worden.
• Uw contactgegevens, voor het geval we meer informatie nodig hebben (u kunt anoniem schrijven, maar dan kunnen we u niet antwoorden).

Wat binnen het bereik valt

• fitmewise.com
• het Dashboard (het beheerpaneel van de club)
• de API van Fitmewise
• de mobiele apps van Fitmewise en die van elke club

Wat buiten het bereik valt

• Denial-of-service-aanvallen (DoS/DDoS) of belastingstests.
• Social engineering gericht op medewerkers, clubs of leden (phishing, telefoontjes, enz.).
• Fysieke aanvallen op kantoren, apparatuur of faciliteiten.
• Het verzenden van spam of massaberichten via onze formulieren of kanalen.

Goede trouw

Als u te goeder trouw handelt, niet meer gegevens benadert dan nodig is om het lek aan te tonen, ze niet wijzigt of vernietigt, de dienst niet verstoort en ons een redelijke termijn geeft om het te herstellen voordat u het openbaar maakt, nemen we geen juridische stappen tegen u wegens dat onderzoek.

Reactietermijnen

We bevestigen de ontvangst binnen maximaal 5 werkdagen en houden u op de hoogte van de voortgang van het herstel.

Beloningen

We hebben geen programma met financiële beloningen (bug bounty): we betalen niet voor meldingen, al zijn we u erg dankbaar voor de moeite.