1. Verantwoordelijke
CloudGuard365 is gevestigd in Nederland. Wij zijn verantwoordelijk voor de verwerking van persoonsgegevens zoals beschreven in dit privacybeleid, in overeenstemming met de Algemene Verordening Gegevensbescherming (AVG/GDPR).
2. Welke gegevens verzamelen wij
2.1 Contactformulier
Wanneer je het contactformulier op onze website invult, verzamelen wij:
- Naam (verplicht)
- E-mailadres (verplicht)
- Bedrijfsnaam (optioneel)
- Telefoonnummer (optioneel)
- Onderwerp en bericht (verplicht)
2.2 Authenticatie via Microsoft Entra ID (SSO)
Voor beheerders die inloggen op de website gebruiken wij Microsoft Entra ID (voorheen Azure AD) via het OpenID Connect-protocol. Bij het inloggen ontvangen wij:
- E-mailadres en weergavenaam
- Groepslidmaatschappen (om de juiste rol toe te wijzen)
2.3 Risky User Analyzer
De Risky User Analyzer is een beveiligingstool waarmee beheerders de risico's van gebruikersaccounts in Microsoft 365 kunnen analyseren. Zie sectie 4 voor een uitgebreide beschrijving van de gegevensverwerking.
2.4 Automatisch verzamelde gegevens
Bij het bezoeken van onze website worden automatisch de volgende gegevens verwerkt door de webserver:
- IP-adres
- Browser- en apparaatinformatie (user agent)
- Bezochte pagina's en tijdstip van bezoek
3. Grondslagen voor verwerking
Wij verwerken persoonsgegevens op basis van de volgende wettelijke grondslagen (artikel 6 AVG):
| Verwerking | Grondslag | Toelichting |
|---|---|---|
| Contactformulier | Toestemming (art. 6-1a) | Je geeft actief toestemming via het aanvinken van het privacybeleid |
| SSO-login | Uitvoering overeenkomst (art. 6-1b) | Noodzakelijk voor het verlenen van toegang tot het beheerplatform |
| Risky User Analyzer | Uitvoering overeenkomst (art. 6-1b) | Noodzakelijk voor het leveren van de beveiligingsanalyse |
| Webserverlogs | Gerechtvaardigd belang (art. 6-1f) | Beveiliging en technische werking van de website |
4. Risky User Analyzer
De Risky User Analyzer verwerkt gegevens uit de Microsoft 365-omgeving van de gebruiker. Dit gebeurt op basis van gedelegeerde rechten: de tool heeft alleen toegang tot gegevens waartoe de ingelogde beheerder zelf geautoriseerd is.
4.1 Authenticatie
De authenticatie verloopt via de Microsoft Authentication Library (MSAL). De gebruiker logt in met een Microsoft-account en verleent toestemming voor de volgende Microsoft Graph-machtigingen:
AuditLog.Read.All— Inzien van inlogactiviteitUser.Read.All— Ophalen van gebruikersgegevensDirectory.Read.All— Ophalen van organisatie- en gebruikersgegevensUserAuthenticationMethod.Read.All— Controleren van MFA-methodenPolicy.Read.All— Inzien van beveiligingsbeleid
Toegangstokens worden uitsluitend in de browser van de gebruiker verwerkt en worden niet opgeslagen door CloudGuard365.
4.2 Gegevensverwerking bij analyse
Wanneer een analyse wordt uitgevoerd, worden de volgende gegevens verwerkt door de Azure Function (serverside):
| Gegevens | Bron | Doel |
|---|---|---|
| E-mailadres (UPN) | Invoer door gebruiker | Identificatie van het te analyseren account |
| Inloggeschiedenis (sign-in logs) | Microsoft Graph API | Analyse van IP-adressen, locaties, apparaten en risicosignalen |
| MFA-status en -methoden | Microsoft Graph API | Beoordeling van accountbeveiliging |
| Accountstatus | Microsoft Graph API | Controleren of het account actief, geblokkeerd of verwijderd is |
| IP-adressen uit inloggeschiedenis | Microsoft Graph API | Reputatie- en geolocatiecontrole via externe diensten |
4.3 Externe diensten in de analyse
| Dienst | Gegevens verzonden | Doel |
|---|---|---|
| AbuseIPDB | IP-adressen | Controleren of IP-adressen als kwaadaardig zijn gerapporteerd |
| ipapi.co | IP-adressen | Geolocatie van IP-adressen bepalen |
| XposedOrNot | E-mailadres (gehashed) | Controleren of het e-mailadres voorkomt in bekende datalekken |
| LeakCheck | E-mailadres | Controleren of het e-mailadres voorkomt in bekende datalekken |
4.4 Opslag van analyserapporten
CloudGuard365 hanteert een zero-storage architectuur: analyserapporten worden niet opgeslagen door CloudGuard365. Alle analysegegevens bestaan uitsluitend in het geheugen van de Azure Function tijdens de analyse en in de browser van de gebruiker totdat de pagina wordt gesloten.
5. Delen met derden
Wij delen persoonsgegevens alleen met derden wanneer dit noodzakelijk is voor de dienstverlening:
| Partij | Doel | Locatie |
|---|---|---|
| Microsoft Azure | Hosting van Azure Functions en Static Web Apps | West-Europa |
| Microsoft Graph API | Ophalen van M365-gegevens voor analyse (via gedelegeerde rechten) | EU / VS |
| AbuseIPDB | IP-reputatiecontrole | VS |
| ipapi.co | IP-geolocatie | VS |
| XposedOrNot | Datalekcontrole (gehashed e-mail) | India |
| LeakCheck | Datalekcontrole | VS |
Externe bronnen (CDN)
- Google Fonts (fonts.googleapis.com) — Lettertype Inter
- Microsoft CDN (alcdn.msauth.net) — MSAL.js authenticatiebibliotheek
6. Bewaartermijnen
| Gegevens | Bewaartermijn | Toelichting |
|---|---|---|
| Contactformulier-inzendingen | 12 maanden | Na afhandeling van de aanvraag |
| Analyserapporten | Geen opslag | Zero-storage: gegevens bestaan alleen tijdens de browsersessie |
| Application Insights (telemetrie) | 90 dagen | Standaard retentie van Microsoft Azure |
8. Beveiliging
Wij nemen passende technische en organisatorische maatregelen om persoonsgegevens te beschermen:
- Versleuteling in transit: Alle verbindingen verlopen via HTTPS/TLS
- Geen gegevensopslag: Analyserapporten worden niet opgeslagen (zero-storage architectuur)
- Toegangscontrole: API-sleutels en toegangstokens worden server-side bewaard
- Gedelegeerde rechten: De tools gebruiken gedelegeerde Microsoft Graph-machtigingen
- Minimale gegevensverwerking: Alleen strikt noodzakelijke gegevens worden verwerkt
- Security headers: CSP, HSTS, X-Frame-Options en andere beveiligingsheaders
9. Jouw rechten
Op grond van de AVG heb je de volgende rechten met betrekking tot je persoonsgegevens:
Recht op inzage
Je kunt opvragen welke persoonsgegevens wij van je verwerken.
Recht op rectificatie
Je kunt vragen om onjuiste gegevens te laten corrigeren.
Recht op verwijdering
Je kunt vragen om je gegevens te laten verwijderen.
Recht op beperking
Je kunt vragen om de verwerking tijdelijk te beperken.
Recht op overdraagbaarheid
Je kunt vragen om je gegevens in een gestructureerd format te ontvangen.
Recht van bezwaar
Je kunt bezwaar maken tegen verwerking op basis van gerechtvaardigd belang.
Neem contact op via info@cloudguard365.nl. Wij reageren binnen 30 dagen.
10. Wijzigingen
Wij kunnen dit privacybeleid van tijd tot tijd aanpassen. De datum van de laatste wijziging staat bovenaan deze pagina vermeld.
11. Contact
Heb je vragen over dit privacybeleid of over de verwerking van je persoonsgegevens?