Aantoonbare compliance begint bij ons

Voor websitebezoekers, leads en marketingcontacten is ShieldPost doorgaans verwerkingsverantwoordelijke.

Voor awareness-training, assessments, phishing-simulaties en het klantdashboard is uw organisatie doorgaans verwerkingsverantwoordelijke; ShieldPost treedt op als verwerker op basis van de verwerkersovereenkomst die u bij de eerste inlog op het dashboard accepteert.

Bij self-service inschrijving stelt u via de activatiemail een wachtwoord in. De verwerkersovereenkomst accepteert u bij de eerste inlog op het klantendashboard. Bij reseller-klanten geldt dezelfde flow. Die regelt onder meer doeleinden, beveiliging, subverwerkers en uw instructierechten. Zonder getekende DPA kunnen geen deelnemers worden uitgenodigd.

Vragen of een ondertekende kopie voor uw archief? Mail hello@shieldpost.nl.

De applicatie en klantdata worden waar mogelijk in de EU/EER gehost. We minimaliseren doorgifte buiten de EER; waar dat (bij een subprocessor) wel voorkomt, hanteren we passende waarborgen — zie privacyverklaring en de subprocessor-lijst hierboven.

Vragen over de actuele hostingomgeving of een DPIA-bijlage? Mail hello@shieldpost.nl.

• Versleutelde verbindingen (HTTPS/TLS)
• Wachtwoorden gehashed; MFA voor klantendashboard, reseller- en adminportalen
• Toegang tot klantgegevens beperkt tot geautoriseerde medewerkers en systemen die de dienst nodig hebben
• Rol- en rechtenmodel in de admin; auditlogging van gevoelige beheeracties
• Back-ups van configuratie- en klantdata als onderdeel van operationeel onderhoud

Wij verkopen geen gegevens. Subprocessors ontvangen alleen wat nodig is voor de dienst, onder passende afspraken:

• E-mail / SMTP — transactionele en trainingsmails
• Hosting — shieldpost.nl en het platform (waar mogelijk EU/EER)
• Moneybird — facturatie (Nederland)
• xAI / Grok — optioneel, alleen voor interne marketingtemplates in de beheeromgeving; niet met deelnemersdata van klanttrajecten
• CAPTCHA (Cloudflare Turnstile) — misbruikpreventie op publieke formulieren

Klantintegraties (geen standaard-subprocessor van ShieldPost): Microsoft Entra directory-sync (Professional) — de klant koppelt de eigen tenant; wij importeren geselecteerde directorygegevens naar de deelnemersbibliotheek.

Details en rechten: zie onze privacyverklaring.

Phishing-simulaties (vanaf Starter; advanced op Professional; proef deelt Professional) meten weerbaarheid — niet om medewerkers te straffen.

• Campagnes starten alleen in opdracht van de klantorganisatie
• Lookalike-pagina’s zijn trainingsmateriaal; geen echte credentials van derden
• Na een klik: educatie op de landing; op Professional ook auto-coachingmodule
• Metrics zijn bedoeld voor verbetering en aantoonbaarheid
• Interacties lopen via ShieldPost-domeinen / gecontroleerde linkpaden

• Klantendashboard (NL/EN): dekking, voortgang, trends
• NIS2-managementrapport met dekkingsmatrix en scores
• Phishing-metrics en trainingsvoortgang (plan-afhankelijk)
• GAP-analyse en herhaalde metingen (plan-afhankelijk)

Bekijk een voorbeeld van het managementrapport (fictieve demo-organisatie).

Wij richten het platform en de dienstverlening in op AVG-eisen en NIS2-awareness (o.a. art. 21(2)(g)). Formele ISO 27001 / SOC 2-certificering is een groeipad: we delen graag de actuele status en maatregelen in een gesprek.

Het product levert auditklare rapportages voor úw awareness- en cyberhygiëneprogramma — dat is iets anders dan een ISO-certificaat van ShieldPost zelf.