Für Ihren Einkauf und Ihr Vertragsmanagement
Diese Seite beschreibt, was wir vertraglich übernehmen, wie die Einrichtung verläuft und welche Unterlagen Sie von uns erhalten.
Lesen Sie, wie Zugriff, Speicherung und Protokollierung geregelt sind
Was wir übernehmen
Jeder Punkt ist nachprüfbar: im Auftragsverarbeitungsvertrag, im Zertifikat oder in der Umgebung selbst.
Die Umgebung
Ihre Umgebung steht für sich, auf einem eigenen Server mit eigener Datenbank, abgeschirmt durch IP-Whitelisting. Daten anderer Organisationen liegen nicht darin.
Die Verarbeitung
Die Verarbeitung in Ihrer Umgebung bleibt in den Niederlanden und verlässt den Europäischen Wirtschaftsraum nicht, auch nicht über einen Unterauftragsverarbeiter.
Das Protokoll
Das Protokoll lässt sich nicht abschalten. Jede Abfrage, jeder Befund und jedes Öffnen einer Fallakte wird festgehalten, und das ist keine Einstellung, die Sie oder wir ändern können. Löschen Sie eine Fallakte, geht alles mit, was dazugehört, auch deren Protokoll.
Rekonstruierbarkeit
Schließen Sie eine Untersuchung ab, archivieren wir den Bericht und fixieren das zugrunde liegende Material, sodass es Jahre später so gezeigt werden kann, wie es damals war.
Wiederholbarkeit
Das System ist deterministisch und lernt nicht aus früheren Fallakten. Jeder Hinweis lässt sich auf die Regel zurückführen, die ihn ausgelöst hat, sodass sich auch in zwei Jahren erklären lässt, warum er damals ansprang. Ändern Sie diese Regeln, ändert sich das Ergebnis, und auch das ist sichtbar.
Zertifizierung
Unser Managementsystem für Informationssicherheit ist für die Entwicklung und das Hosting von Noctua nach ISO 27001 zertifiziert. Wir halten diese Zertifizierung aufrecht, solange Ihr Vertrag läuft, mit regelmäßiger Prüfung durch eine akkreditierte Stelle.
Wenn Sie aufhören
Sie bestimmen, was mit den Daten geschieht: Übergabe in einer mit Ihnen vereinbarten Form oder Vernichtung. Danach wird der Server entfernt, und innerhalb von sieben Tagen sind auch die Sicherungen abgelaufen.
Kontakt
Sie haben eine feste Ansprechperson. Support und Änderungen an Hinweisen oder Rechten laufen über diese Person, nicht über einen wechselnden Schalter.
Was bei Ihnen bleibt. Die Rechtsgrundlage, die Aufbewahrungsfrist und wer Zugang hat. Die Abwägung jedes Hinweises. Die Entscheidung und die Begründung darunter. Das übernehmen wir nicht, und wir können es auch nicht: Die Tatsachenermittlung liegt bei Ihrer Organisation.
Von der Unterschrift bis zum Betrieb
Die Einrichtung besteht aus Entscheidungen, die Ihre Organisation trifft und wir festhalten. Innerhalb von vier Wochen steht eine produktionsreife Umgebung, in der sich Ihre Benutzer anmelden können. In dieser Reihenfolge:
- Was Sie abfragen dürfen. Welche Quellen Ihnen zur Verfügung stehen, folgt aus Ihrer Rechtsgrundlage und aus den Vereinbarungen, die darunter liegen. Das bestimmen wir gemeinsam, bevor etwas eingerichtet wird.
- Der Auftragsverarbeitungsvertrag. Das Standardmodell der VNG, des niederländischen Gemeindeverbands, oder das Ihrer eigenen Organisation.
- Ihre Umgebung. Ein eigener Server mit einer eigenen Datenbank, abgeschirmt durch IP-Whitelisting, sodass die Umgebung für Dritte nicht erreichbar ist. Entscheiden Sie sich für Hosting auf Ihrer eigenen Infrastruktur, dann richten wir das gemeinsam mit Ihrer IT ein und die Planung läuft über Ihre Organisation.
- Die Gründe aus Ihrer Richtlinie. Welche Branchen, Anlässe und Schwellenwerte zu einer Vertiefung führen, richten wir gemeinsam mit Ihrem Team ein, sodass das, was im System steht, mit dem übereinstimmt, was Ihre Organisation festgelegt hat.
- Die Berichtsvorlage. Auf Ihre Organisation eingerichtet, und dort, wo Sie eine Fallakte übergeben können müssen, mit der dazugehörigen Begründung aufgesetzt.
- Die Quellen anschließen. Sie stellen das PKIoverheid-Zertifikat Ihrer Organisation bereit, und wir installieren es auf dem Server, sodass die Abfragen unter Ihrer eigenen Rechtsgrundlage laufen. Haben Sie noch keines, helfen wir bei der Beantragung. Den Zugang zu den kommerziellen Registern regeln wir.
- Optional: Single Sign-on. Hier kommt Ihre IT-Organisation ins Spiel, für die Nutzung selbst nicht. Was Ihre IT-Abteilung braucht, liegt bei uns bereit; sobald diese Angaben vorliegen, ist es auf unserer Seite schnell erledigt.
Was wir von Ihnen brauchen, bestimmt Ihre Organisation selbst:
- Welche Hinweise Sie wollen und worauf: die Schwellenwerte, die SBI-Codes (die niederländische Branchenklassifikation) und die weiteren Gründe, die aus Ihrer Richtlinie folgen.
- Wer mit der Plattform arbeiten wird, nach Benutzern und Abteilungen.
- Wer was einsehen, bearbeiten und abschließen darf, je Abteilung oder je Benutzer.
Die Unterlagen
Verfügbar sind:
- Der Auftragsverarbeitungsvertrag
- Das ISO 27001-Zertifikat mit der Erklärung zur Anwendbarkeit
- Unterlagen für Ihre DSFA
- Unsere Anlage für das Verzeichnis von Verarbeitungstätigkeiten
- Die Muster-SLA, auf die die GIBIT 2020 Anwendung findet
Wir senden Ihnen den Satz nach einem kurzen Gespräch zu, damit wir wissen, welche Teile für Ihre Organisation gelten. Danach gehört der Satz Ihnen und Sie verteilen ihn intern, wie Sie es für richtig halten.
Kosten
Es gibt ein Paket für kleine, mittlere und große Organisationen. Eine Gemeinde mit zwanzigtausend Einwohnern nimmt nicht dasselbe ab wie eine der vier größten Städte und zahlt auch nicht dasselbe. Ein begrenztes Budget ist also kein Grund, das Gespräch nicht zu führen.
Was Sie genau abnehmen, unterscheidet sich darüber hinaus je Organisation: die Zahl der Nutzer, die Quellen, für die Sie befugt sind, und ob Sie auf unserer Infrastruktur laufen oder auf Ihrer eigenen. Deshalb steht auf dieser Seite keine Preisliste. Was es in Ihrer Situation wird und was das für das Verfahren bedeutet, dem Sie folgen müssen, gehen wir im Gespräch durch.
Senden Sie uns Ihre Ausschreibungsunterlagen
Haben Sie ein Lastenheft, einen Fragebogen oder einen Entwurf der Ausschreibung? Sie erhalten ihn schriftlich zurück, je Anforderung beantwortet, mit Verweis auf das Dokument, das dies belegt. Wo wir nicht erfüllen, steht das ebenfalls dabei.