Het programma als geheel: reikwijdte, principes, rollen en hoe alle andere beleidsstukken op deze site samenhangen.
01Doel en reikwijdte
Dit beleid legt vast hoe Mentornity de vertrouwelijkheid, integriteit en beschikbaarheid beschermt van de informatie die organisaties die mentoring- en coachingprogramma’s op het platform draaien, en hun deelnemers, aan Mentornity toevertrouwen.
Het omvat de webapplicatie van Mentornity, het beheerpaneel, de publieke API en webhooks, de AI-assistent en de MCP-connector, het versturen van e-mail, videogesprekken, en de infrastructuur, mensen en leveranciers die dit alles draaien.
02Principes
- Minimale rechten. Mensen, diensten en machine-identiteiten krijgen alleen de toegang die hun taak nodig heeft, afgebakend per rol, per resource-tag en per regio.
- Defence in depth. Netwerkscheiding, geauthenticeerde en geautoriseerde API-routes, versleuteling onderweg en in opslag, en monitoring liggen in lagen over elkaar, zodat geen enkele maatregel alles alleen hoeft te dragen.
- Alles als code. Servers, netwerken, rechten, alarmen en deployments staan in Terraform, Ansible en CI-workflows onder versiebeheer, en veranderen alleen via gereviewde pull requests.
- Dataminimalisatie. Het platform bewaart wat een programma nodig heeft om te draaien, logs houden 30 dagen vast wat het beheer nodig heeft, en geheimen komen nooit in logs terecht.
- Controleren, niet aannemen. Elke controle die productie beschermt, wordt getest door bewust de fout in te voeren die ze moet opvangen.
03Rollen en verantwoordelijkheden
| Rol | Verantwoordelijkheid |
|---|---|
| Directie | Is eigenaar van dit beleid, keurt toegang tot productie goed en is het escalatiepunt bij beveiligingsincidenten. |
| Engineering | Bouwt en reviewt wijzigingen volgens het beleid voor veilige ontwikkeling en de OWASP-maatregelen, en beheert de infrastructuur. |
| Klantorganisatie | Verwerkingsverantwoordelijke voor haar programmagegevens: bepaalt wie wordt uitgenodigd, welke rollen mensen hebben, wat er in formulieren wordt gevraagd en hoe lang het programma loopt. |
| Mentornity | Verwerker van programmagegevens in opdracht van de klant, en verwerkingsverantwoordelijke alleen voor bezoekers van de eigen website en klantcontacten. |
04Samenhang van het beleid
Dit beleid wordt ondersteund door de specifiekere beleidsstukken in het Mentornity Security Center: toegangsbeheer, versleuteling, gegevensbescherming, logbeheer, kwetsbaarheids- en patchbeheer, veilige ontwikkeling, OWASP Top 10-maatregelen, leveranciersrisicobeheer, incidentrespons, back-up en herstel, bedrijfscontinuïteit, AI en gegevensgebruik, en verantwoorde melding.
05Herziening
Het beleid wordt minstens één keer per jaar herzien en telkens wanneer de architectuur verandert. De datum bovenaan elke pagina is de datum van de laatste inhoudelijke wijziging.
06Contact
Vragen over dit beleid, beveiligingsvragenlijsten en verzoeken om een verwerkersovereenkomst: privacy@mentornity.com.