Voor uw inkoop en contractbeheer
Deze pagina beschrijft wat wij contractueel op ons nemen, hoe de inrichting verloopt en welke stukken u van ons krijgt.
Wat wij op ons nemen
Elk punt is na te gaan: in de verwerkersovereenkomst, in het certificaat, of in de omgeving zelf.
De omgeving
Uw omgeving staat op zichzelf, op een eigen server met een eigen database, afgeschermd met IP-whitelisting. Er komen geen gegevens van andere organisaties in te staan.
De verwerking
De verwerking in uw omgeving blijft in Nederland, en gaat niet buiten de Europese Economische Ruimte, ook niet via een subverwerker.
Het logboek
Het logboek is niet uit te zetten. Elke bevraging, elke bevinding en elk inzien van een dossier wordt geregistreerd, en dat is geen instelling die u of wij kunnen aanpassen. Verwijdert u een dossier, dan gaat alles wat erbij hoort mee, ook het logboek daarvan.
Reconstrueerbaarheid
Rondt u een onderzoek af, dan archiveren wij het rapport en zetten wij het onderliggende materiaal vast, zodat het jaren later te tonen is zoals het toen was.
Herhaalbaarheid
Het systeem is deterministisch en leert niet van eerdere dossiers. Elke signalering is te herleiden naar de regel die hem veroorzaakte, dus ook over twee jaar valt uit te leggen waarom hij toen afging. Wijzigt u die regels, dan verandert de uitkomst, en ook dat is zichtbaar.
Certificering
Ons managementsysteem voor informatiebeveiliging is ISO 27001-gecertificeerd voor de ontwikkeling en hosting van Noctua. Wij houden die certificering in stand zolang uw overeenkomst loopt, met periodieke toetsing door een geaccrediteerde instelling.
Als u stopt
U bepaalt wat er met de gegevens gebeurt: overdracht in een met u afgesproken vorm, of vernietiging. Daarna wordt de server verwijderd, en binnen zeven dagen zijn ook de back-ups verlopen.
Contact
U heeft één vaste contactpersoon. Voor support en voor het aanpassen van signaleringen of rechten loopt het contact via die persoon, niet via een wisselend loket.
Wat van u blijft. De grondslag, de bewaartermijn en wie toegang heeft. De weging van elke signalering. Het besluit en de motivering eronder. Dat nemen wij niet over, en dat kunnen wij ook niet: het feitenonderzoek ligt bij uw organisatie.
Van tekenen tot werken
De inrichting bestaat uit keuzes die uw organisatie maakt en wij vastleggen. Binnen vier weken staat er een productieklare omgeving waarin uw gebruikers kunnen inloggen. In deze volgorde:
- Wat u mag bevragen. Welke bronnen voor u beschikbaar zijn volgt uit uw grondslag en uit de overeenkomsten die eronder liggen. Dat bepalen wij samen, voordat er iets wordt ingericht.
- De verwerkersovereenkomst. Het standaardmodel van de VNG, of dat van uw eigen organisatie.
- Uw omgeving. Een eigen server met een eigen database, afgeschermd met IP-whitelisting, zodat de omgeving voor derden niet bereikbaar is. Kiest u voor hosting op uw eigen infrastructuur, dan richten wij die samen met uw ICT in en verloopt de planning via uw organisatie.
- De gronden uit uw beleid. Welke branches, aanleidingen en drempelwaarden tot verdieping leiden, richten wij samen met uw team in, zodat wat in het systeem staat overeenkomt met wat uw organisatie heeft vastgesteld.
- Het rapportsjabloon. Ingericht op uw organisatie, en waar u een dossier moet kunnen overdragen, opgezet met de onderbouwing die daarbij hoort.
- De bronnen aansluiten. U levert het PKIoverheid-certificaat van uw organisatie en wij installeren het op de server, zodat de bevragingen onder uw eigen grondslag lopen. Heeft u er nog geen, dan helpen wij bij de aanvraag. Voor de commerciële registers regelen wij de toegang.
- Optioneel: single sign-on. Hier komt uw ICT-organisatie in beeld, voor het gebruik zelf niet. Wat uw ICT-afdeling nodig heeft ligt bij ons klaar; zodra die gegevens binnen zijn, is het aan onze kant snel geregeld.
Wat wij van u nodig hebben, bepaalt uw organisatie zelf:
- Welke signaleringen u wilt en waarop: de drempelwaarden, de SBI-codes en de verdere gronden die uit uw beleidsregel volgen.
- Wie er met het platform gaat werken, in gebruikers en afdelingen.
- Wie wat mag inzien, bewerken en afronden, per afdeling of per gebruiker.
De stukken
Beschikbaar zijn:
- De verwerkersovereenkomst
- Het ISO 27001-certificaat met de Verklaring van Toepasselijkheid
- Documentatie voor uw DPIA
- Onze bijlage voor het verwerkingenregister
- De model-SLA, waarop de GIBIT 2020 van toepassing is
Wij sturen de set toe na een kort gesprek, zodat we weten welke onderdelen voor uw organisatie van toepassing zijn. Daarna is de set van u en verspreidt u die intern zoals u wilt.
Kosten
Er is een pakket voor kleine, middelgrote en grote organisaties. Een gemeente van twintigduizend inwoners neemt niet hetzelfde af als een G4-gemeente.
Wat u precies afneemt verschilt verder per organisatie: het aantal gebruikers, de bronnen waarvoor u een grondslag hebt, en of u op onze infrastructuur draait of op uw eigen. In het gesprek rekenen we door wat dat in uw situatie wordt, en welke procedure daarbij hoort: onderhandse gunning, meervoudig onderhands of Europees aanbesteden.
Stuur ons uw uitvraag
Heeft u een programma van eisen, een vragenlijst of een concept-uitvraag? U krijgt die schriftelijk terug, per eis beantwoord, met verwijzing naar het stuk dat het onderbouwt. Waar wij niet voldoen, staat dat er ook.