Vertrouwen en compliance

Waar je data staat

• In Nederland. Opslag, transcodering, logverwerking en statistieken draaien op onze eigen infrastructuur in Nederlandse datacenters.
• Beheerd vanuit Nederland. Beheertoegang tot productie vindt alleen plaats vanuit Nederland, door onze eigen medewerkers, met meervoudige authenticatie. Geen follow-the-sun-support, geen supportdesk of onderaannemer buiten de EER.
• Geen doorgifte buiten de EER. Kijkers wereldwijd krijgen snel beeld via ons Europese CDN, terwijl je data onder Europees recht blijft.
• Versleuteld. Versleuteld transport en versleutelde opslag, met gescheiden productie- en testomgevingen.

Twee subverwerkers. Dat is alles.

De meeste videoplatforms leunen op een lange keten van cloud-, analytics- en advertentiepartners. StreamZilla werkt met precies twee, allebei Europees:

• Leaseweb (Nederland): datacenter en hosting. Leaseweb heeft geen toegang tot je data.
• BunnyCDN (Europees content delivery network): tijdelijke caching van mediafragmenten en metadata, en tijdelijke toegangslogs, zodat je video’s overal snel spelen.

Geen trackers, geen advertentienetwerken, geen Amerikaanse cloud. We informeren klanten minstens 30 dagen voordat een nieuwe subverwerker persoonsgegevens zou gaan verwerken.

Verwerkersovereenkomst

Voor de persoonsgegevens die we namens jou verwerken, is StreamZilla verwerker onder de AVG. Elke klant krijgt een verwerkersovereenkomst. In het kort:

• We verwerken alleen in jouw opdracht, nooit voor eigen doeleinden.
• Toegangslogs worden na 30 dagen automatisch opgeschoond.
• Jij stelt bewaartermijnen in per account en collectie; verwijderen geldt voor originelen, streams, transcripten, ondertitels en metadata.
• Aan het eind van het contract kies jij: je data terug in open formaten, verwijderd, of allebei.
• Een datalek melden we binnen 48 uur aan jou, zodat jij aan je eigen meldplicht van 72 uur kunt voldoen.

Beveiliging

• ISO 27001 in de praktijk. We werken al volgens ISO/IEC 27001:2022, met een werkend managementsysteem voor informatiebeveiliging. De formele certificering loopt; tot die rond is, presenteren we ons niet als gecertificeerd.
• Penetratietests. We voeren interne penetratietests uit. Een externe penetratietest volgt, passend bij de fase van de private beta.
• Mensen. Screening van medewerkers, inclusief een Verklaring Omtrent het Gedrag, en verplichte security-awarenesstraining.
• Toegang. Least privilege, meervoudige authenticatie en logging van beheerhandelingen.
• Monitoring. Infrastructuur en streams worden dag en nacht bewaakt.
• Kwetsbaarheden melden. Een kwetsbaarheid gevonden? Ons beleid voor Coordinated Vulnerability Disclosure, gebaseerd op de leidraad van het Nationaal Cyber Security Centrum, legt uit hoe je die meldt. We bevestigen binnen twee werkdagen en reageren nooit met juridische stappen op een melder die zich aan ons beleid houdt.

Wetten en normen

• AVG: privacy by design, geen doorgifte buiten de EER, standaard geen tracking van individuele kijkers. Zie AVG-proof videohosting.
• AI-verordening: geen verboden praktijken, geen AI-systemen met een hoog risico, geen AI-modellen voor algemene doeleinden. Je video’s worden nooit gebruikt om AI te trainen. Zie je video’s en AI-training.
• Dataverordening: overstappen zonder lock-in, alles exporteren in open formaten, geen exitkosten. Zie de gids over de Dataverordening.
• NIS2 en de Cyberbeveiligingswet: Jet-Stream zit onder de omvangsdrempels, maar voldoet vrijwillig aan de zorgplichtmaatregelen, omdat veel van onze klanten er zelf wel onder vallen. Zie NIS2 en videoplatforms.
• Toegankelijkheid: player en publicatiepagina’s gebouwd volgens WCAG 2.2 AA en EN 301 549, op basis van interne beoordeling. Zie toegankelijke videoplayer.
• Recordmanagement: een zelfbeoordeling tegen ISO 16175, inclusief export naar een e-depot of archief.
• Kwaliteitsmanagement: maatregelen gelijkwaardig aan ISO 9001 binnen ons ISMS, gedocumenteerd voor aanbestedingen.
• Duurzaamheid: gecertificeerd groene datacenters en energiezuinige software. Zie groene videohosting.

Documenten die je kunt opvragen

Klanten, inkopers en aanbestedende diensten kunnen de volgende documenten opvragen:

• Verklaring informatiebeveiliging en status van de ISO 27001-certificering
• AVG-complianceverklaring en verwerkersovereenkomst
• Subverwerkerslijst
• Complianceverklaring AI-verordening
• Complianceverklaring Dataverordening
• Scopeanalyse en verklaring Cyberbeveiligingswet (NIS2)
• Toegankelijkheidsverklaring (WCAG 2.2 AA, EN 301 549)
• Soevereiniteitszelfbeoordeling (EU Cloud Sovereignty Framework)
• Onderbouwing digitale soevereiniteit, met bronnen
• Technische compliance- en commitmentverklaring over de streaming-output
• Gelijkwaardigheidsverklaring ISO 9001 en verklaring recordmanagement ISO 16175
• Verklaring over open source en closed source ontwikkeling
• Duurzaamheidsverklaring
• Beleid voor Coordinated Vulnerability Disclosure

Op verzoek en onder een geheimhoudingsovereenkomst kun je ook de Verklaring van Toepasselijkheid en onze kernbeleidsdocumenten inzien, of een leveranciersaudit afspreken.