Trust & Security
Hoe Obsurv omgaat met security en privacy
Deze pagina wordt onderhouden door Sweco Nederland B.V. en beantwoordt veelgestelde vragen over de security- en privacy-controles in Obsurv. De inhoud beschrijft ingeschakelde functies en werkwijzen, en is geen onafhankelijke certificering of audit-rapport.
Toegang & authenticatie
- Toegang vereist een persoonlijk account; alle beschermde routes zitten achter authenticatie.
- Sessies worden beheerd via de backend; wachtwoorden worden nooit in platte tekst opgeslagen.
- Rollen (gebruiker, organisatie-admin, superuser) worden server-side geverifieerd vóór elke gevoelige actie.
Data-isolatie tussen organisaties
Obsurv is multi-tenant: elke organisatie heeft een eigen datadomein. Database-policies (Row Level Security) en server-side controles zorgen dat gebruikers alleen objecten, kaartlagen en instellingen van hun eigen organisatie kunnen zien of wijzigen.
Hosting & sub-processors
- Applicatie en database worden gehost binnen de EU.
- Verkeer tussen browser en backend verloopt via HTTPS/TLS.
- Achtergrond-kaartlagen (bv. PDOK, OpenStreetMap, satelliet) worden direct vanuit de browser opgehaald bij de betreffende kaartdienst; daarbij gelden hun eigen voorwaarden.
Gegevens & bewaartermijn
Obsurv slaat de gegevens op die nodig zijn om de applicatie te laten werken: account-informatie (naam, e-mailadres), organisatie-instellingen, geïmporteerde of ingetekende objecten, kaartlagen, en operationele logs voor foutopsporing.
Operationele logs (fouten, performance-metrics) zijn alleen inzichtelijk voor beheerders en worden gebruikt voor stabiliteit en support, niet voor profilering.
Privacy & AVG / GDPR
Sweco Nederland B.V. verwerkt persoonsgegevens conform de Algemene Verordening Gegevensbescherming (AVG/GDPR). Betrokkenen kunnen verzoeken indienen voor inzage, correctie of verwijdering van hun persoonsgegevens via het contactadres hieronder.
Obsurv gebruikt geen tracking- of advertentie-cookies. Zie de cookieverklaring hieronder voor wat we wél opslaan.
Cookieverklaring
Obsurv plaatst geen marketing- of tracking-cookies. Voor de werking van de applicatie gebruiken we de volgende categorieën lokale opslag (cookies en localStorage):
| Categorie | Doel | Bewaartermijn |
|---|---|---|
| Strikt noodzakelijk | Aanmeldsessie en beveiligingstokens (Supabase Auth). Zonder deze opslag werkt inloggen niet. | Sessie / tot uitloggen |
| Functioneel | Voorkeuren zoals taal, kaart-extent, kolominstellingen en opgeslagen lijstweergaven. | Tot 12 maanden |
| Analytics | Niet in gebruik. Operationele fout- en performance-logs worden server-side opgeslagen en bevatten geen cookies. | — |
Security-meldingen & contact
Heb je een security-vraag, een vermoeden van een kwetsbaarheid of een verzoek in het kader van privacy? Neem contact op via helpdesk.gis-ict@sweco.nl. Beschrijf de waarneming en, indien van toepassing, hoe je deze hebt vastgesteld. We reageren zo snel mogelijk en stellen verantwoorde melders op prijs.
Gedeelde verantwoordelijkheid
Sweco Nederland B.V. draagt zorg voor de applicatie, configuratie en beheerprocessen. Klant-organisaties zijn verantwoordelijk voor het zorgvuldig beheren van eigen gebruikers, rollen en geïmporteerde data. Het onderliggende cloud-platform levert hosting- en platform-controles.