De Voorwaarden voor gegevensbeveiliging van WhatsApp Business ('Voorwaarden voor gegevensbeveiliging')

29 oktober 2020

Deze Voorwaarden voor gegevensbeveiliging van WhatsApp Business ('Voorwaarden voor gegevensbeveiliging') zijn van toepassing met betrekking tot de levering van Zakelijke Diensten door WhatsApp aan u in overeenstemming met de Servicevoorwaarden van Business. Termen met een hoofdletter die in deze Voorwaarden voor gegevensbeveiliging worden gebruikt maar niet zijn gedefinieerd, hebben de betekenis die hieraan wordt gegeven in de Servicevoorwaarden van Business. In deze Voorwaarden voor gegevensbeveiliging worden de minimale beveiligingsnormen beschreven die WhatsApp hanteert en die van toepassing zijn op de Zakelijke Diensten die beschikbaar worden gesteld op grond van de Servicevoorwaarden van Business, inclusief de gegevens die u naar WhatsApp verzendt met de Zakelijke Diensten ('Betrokken gegevens').

1. Organisatie van informatiebeveiliging. WhatsApp heeft personeel dat verantwoordelijk is voor het toezicht op de beveiliging van de Zakelijke Diensten.
2. Fysieke beveiliging en beveiliging van de omgeving. De beveiligingsmaatregelen van WhatsApp omvatten maatregelen die zijn bedoeld om de redelijke zekerheid te bieden dat fysieke toegang tot fysieke verwerkingsfaciliteiten onder toezicht van WhatsApp die worden gebruikt om de Zakelijke Diensten te verlenen ('Faciliteit voor gegevensverwerking') beperkt is tot bevoegde personen en dat omgevingsmaatregelen worden uitgevoerd om vernietiging vanwege omgevingsrisico’s op te sporen, te voorkomen en te beheersen. De maatregelen omvatten:
   1. Registratie en controle van fysieke toegang tot de Faciliteit voor gegevensverwerking door werknemers en aannemers;
   2. Cameratoezichtsystemen in de Faciliteit voor gegevensverwerking;
   3. Systemen die de temperatuur en de vochtigheid van de computerapparatuur in de Faciliteit voor gegevensverwerking bewaken en regelen;
   4. Stroomvoorziening en reservegeneratoren in de Faciliteit voor gegevensverwerking;
   5. Procedures voor het veilig verwijderen en weggooien van gegevens, in overeenstemming met de Servicevoorwaarden van Business; en
   6. Protocollen die ID-kaarten vereisen voor toegang tot alle faciliteiten van WhatsApp voor al het personeel dat werkt aan de Zakelijke Diensten.
3. Personeel
   1. Training. WhatsApp zorgt ervoor dat al het personeel dat toegang heeft tot Betrokken gegevens een beveiligingstraining ondergaat.
   2. Vertrouwelijkheid. WhatsApp bindt personeel dat toegang heeft tot Betrokken gegevens contractueel aan gepaste vertrouwelijkheidsverplichtingen.
   3. Screening en achtergrondcontroles. WhatsApp beschikt over een procedure voor:
      1. het verifiëren van de identiteit van personeel dat toegang heeft tot de Betrokken gegevens; en
      2. het uitvoeren van achtergrondcontroles, indien wettelijk toegestaan, met betrekking tot personeel dat werkt met of ondersteuning biedt aan aspecten betreffende de Zakelijke Diensten in overeenstemming met WhatsApp-normen.
   4. Beveiligingsinbreuk door personeel. WhatsApp neemt disciplinaire maatregelen in geval van onbevoegde toegang tot Betrokken gegevens door personeel van WhatsApp, met inbegrip van en indien wettelijk toegestaan, sancties oplopend tot beëindiging van het dienstverband.
4. Beveiligingstests. WhatsApp verricht regelmatig beveiligings- en kwetsbaarhedentests om te bepalen of kernmaatregelen correct zijn geïmplementeerd en effectief zijn.
5. Toegangscontrole.
   1. Wachtwoordbeheer. WhatsApp heeft procedures ingesteld en handhaaft deze voor het wachtwoordbeheer voor haar personeel. Deze procedures zijn ontworpen om ervoor te zorgen dat wachtwoorden persoonlijk zijn voor elk individu en niet toegankelijk zijn voor onbevoegde personen en bestaan in elk geval uit:
      1. wachtwoordvoorziening, waaronder procedures bedoeld voor het verifiëren van de identiteit van de gebruiker voorafgaand aan een nieuw, vervangend of tijdelijk wachtwoord;
      2. cryptografische beveiliging van wachtwoorden wanneer deze zijn opgeslagen in computersystemen of tijdens de overdracht over het netwerk;
      3. aanpassing van standaardwachtwoorden van leveranciers;
      4. sterke wachtwoorden met betrekking tot het beoogde gebruik ervan; en
      5. training over goede wachtwoordpraktijken.
   2. Toegangsbeheer. WhatsApp controleert en bewaakt de toegang van haar personeel tot haar systemen met behulp van het volgende:
      1. vastgelegde procedures voor het wijzigen en intrekken van toegangsrechten en gebruiker-ID's zonder onnodige vertraging;
      2. vastgelegde procedures voor het rapporteren en intrekken van ontdekte toegangsgegevens (wachtwoorden, tokens enz.);
      3. het bijhouden van geschikte beveiligingslogboeken, waaronder indien van toepassing met gebruiker-ID en tijdstempel;
      4. synchronisatie van klokken met NTP; en
      5. registratie van tenminste de volgende onderdelen van gebruikerstoegangsbeheer:
         • Autorisatiewijzigingen;
         • Mislukte en geslaagde authenticatie en toegangspogingen; en
         • Lees- en schrijfactiviteiten.
6. Communicatiebeveiliging
   1. Netwerkbeveiliging
      1. WhatsApp gebruikt technologie die overeenstemt met industrienormen voor netwerksegregatie.
      2. Externe netwerktoegang tot WhatsApp-systemen vereist versleutelde communicatie via beveiligde protocollen en het gebruik van multifactorauthenticatie.
   2. Bescherming van gegevens tijdens de overdracht
      1. WhatsApp handhaaft het gebruik van geschikte protocollen die zijn bedoeld om de vertrouwelijkheid van gegevens tijdens de overdracht via openbare netwerken te beschermen.
7. Kwetsbaarheidsbeheer. WhatsApp heeft een programma voor kwetsbaarheidsbeheer opgesteld en handhaaft dit voor de Zakelijke Diensten. Dit programma omvat definities van rollen en verantwoordelijkheden voor kwetsbaarheidsbewaking, het beoordelen van de kwetsbaarheidsrisico's en het gebruik van patches.
8. Beheer van beveiligingsincidenten
   1. Respons op beveiligingsincidenten. WhatsApp onderhoudt een responseplan voor beveiligingsincidenten voor het bewaken, opsporen en afhandelen van mogelijke beveiligingsincidenten die betrekking hebben op Betrokken gegevens. Het responseplan voor beveiligingsincidenten omvat in elk geval de definities van rollen en verantwoordelijkheden, communicatie en post-mortemevaluaties, waaronder een analyse van de onderliggende oorzaak en herstelplannen.
   2. Toezicht.. WhatsApp houdt toezicht op eventuele beveiligingsinbreuken en schadelijke activiteit met betrekking tot de Betrokken gegevens.

In het geval van een uitdrukkelijke tegenstrijdigheid tussen de Servicevoorwaarden van Business en deze Voorwaarden voor gegevensbeveiliging gelden de Servicevoorwaarden van Business uitsluitend met betrekking tot uw gebruik van de Zakelijke Diensten en uitsluitend voor zover de tegenstrijdigheid reikt. WhatsApp kan deze Voorwaarden voor gegevensbeveiliging van tijd tot tijd bijwerken om aan te sluiten bij de veranderende beveiligingsnormen.