Geborgd via ISO 27001
Gecertificeerd ISMS met aantoonbare processen voor risicobeheersing, incidentafhandeling, wijzigingen en leveranciersmanagement.
Platform
Veiligheid
Purfaction zet veiligheid voorop: beleid, procedures en controles om gevoelige gegevens systematisch te beheren en te beschermen.
Inkoop- en contractdata bevatten gevoelige informatie over leveranciers, bedragen, contractafspraken en soms ook persoonsgegevens. Dan wil je zeker weten dat je platform en je dataverwerker veilig met die gegevens omgaan.
Purfaction werkt met een ISO 27001-gecertificeerd Information Security Management System (ISMS), speciaal ingericht voor publieke en zorgorganisaties.
Hoe we dat borgen
Aansluiting op GIBIT, ARBIT, AIVG en AVG
Ingericht op de eisen en inkoopvoorwaarden van gemeenten en zorginstellingen, inclusief verwerkersafspraken en exitmogelijkheden.
Sterke technische beveiliging
Standaard tweefactorauthenticatie, autorisatie volgens least privilege, encryptie van data in transit én at rest, plus logging en securitymonitoring.
Continu getest en verbeterd
Kwetsbaarheidsscans en onafhankelijke pentests, met beperkte bevindingen die via een vast wijzigingsproces worden opgelost.
Privacy by design en by default
Een Data Protection Impact Assessment (DPIA) waar nodig. Dataminimalisatie, bewaartermijnen en verwerkersovereenkomsten leggen we vast in het ISMS.
Geen concessies aan veiligheid, privacy en compliance
Informatiebeveiliging is bij Purfaction geen bijzaak, maar een vast onderdeel van hoe we onze SaaS-oplossing ontwerpen, bouwen en beheren. Van gemeenten en waterschappen tot zorg- en onderwijsinstellingen: onze klanten vertrouwen ons hun kritieke processen en gevoelige gegevens toe.
Als organisatie willen we dat je veilig kunt sturen op je inkoopdata, zonder concessies aan veiligheid, privacy en compliance. Daarom zien we beveiliging als een gezamenlijke verantwoordelijkheid van ontwikkelaars, beheerders én gebruikers: techniek, processen en gedrag hangen bij ons nauw samen.
Ontworpen voor publieke organisaties
Purfaction sluit aan op de governance- en compliancekaders die in de publieke sector gangbaar zijn. Zo past Purfaction binnen bestaande inkoopvoorwaarden en IT-eisen, zonder dat je losse uitzonderingen hoeft te regelen.
- Voor gemeenten sluiten we aan op de GIBIT, met aandacht voor beschikbaarheid, continuïteit, exitmogelijkheden en informatiebeveiliging.
- Voor rijksoverheidsorganisaties en ZBO's sluiten we aan op ARBIT, inclusief afspraken over informatiebeveiliging, beschikbaarheid, continuïteit, exitmogelijkheden en verwerkersrollen.
- Voor zorginstellingen volgen we de Algemene Inkoopvoorwaarden Gezondheidszorg (AIVG) en de ICT-module, inclusief specifieke eisen rond informatiebeveiliging in de zorg.
ISO 27001 als stevig fundament
Ons ISMS is gecertificeerd volgens ISO 27001, de internationale standaard voor informatiebeveiliging. Dat betekent dat:
- processen voor beveiliging, toegang, logging, back-ups en continuïteit aantoonbaar op orde zijn;
- audits bevestigen dat het managementsysteem goed is ingericht, onderhouden wordt en voldoet aan wet- en regelgeving en contractuele verplichtingen;
- managementbetrokkenheid, duidelijke documentatie en een onafhankelijk ingericht ISMS zorgen voor continue verbetering.
Technische security: 2FA, encryptie en monitoring
Toegang tot Purfaction is standaard extra beschermd met tweefactorauthenticatie. Gebruikersrechten worden ingericht volgens het least-privilegeprincipe, zodat iedereen alleen ziet wat nodig is voor zijn of haar werk.
Gegevens worden versleuteld tijdens transport én in opslag, volgens best practices voor cloud- en SaaS-omgevingen. Beveiligingsgebeurtenissen worden gelogd en bijgehouden, en waar mogelijk gekoppeld aan geautomatiseerde securitymonitoring, zodat afwijkende patronen snel kunnen worden gesignaleerd.
Continu testen: geautomatiseerde scans en pentests
Beveiliging is een continu proces. Purfaction voert periodiek geautomatiseerde kwetsbaarheidsscans uit op de dashboards en de achterliggende omgeving. Recente scans lieten nul bevindingen zien op alle niveaus (urgent, high, medium, low), wat betekent dat er op dat moment geen bekende kwetsbaarheden zijn aangetroffen.
Daarnaast laten we de omgeving regelmatig toetsen via onafhankelijke penetratietesten. Daarbij zijn geen urgente of high-riskbevindingen aangetroffen; de beperkte medium- en low-bevindingen worden via het reguliere changeproces opgelost.
Privacy en AVG
Purfaction verwerkt persoonsgegevens volgens de AVG en sectorspecifieke richtlijnen. Met elke klant sluiten we een verwerkersovereenkomst waarin we vastleggen welke gegevens worden verwerkt, voor welke doelen en met welke beveiligingsmaatregelen.
In het ISMS onderhouden we een verwerkingsregister, voeren we waar nodig DPIA's uit en borgen we afspraken over bewaartermijnen, dataminimalisatie en rechten van betrokkenen. Voor zorgklanten sluiten onze maatregelen aan bij de kaders voor informatiebeveiliging in de zorg.
Zekerheid voor bestuur, IT en audit
Voor bestuurders, controllers en CISO- en IT-afdelingen is de vraag "is dit veilig en compliant?" minstens zo belangrijk als "wat levert het op?". Met een ISO 27001-gecertificeerd platform kun je aantonen dat inkoop- en contractdata professioneel en gecontroleerd worden verwerkt. Dat verkleint risico's, versnelt interne goedkeuring en geeft rust bij audits en accountantscontroles.