Vertrouwen
Beveiliging, in gewone taal
Registraties over veiligheid en gezondheid gaan over echte mensen op hun slechtste dagen. Zo gaat Forma360 daarmee om, in dezelfde duidelijke taal als de rest van de site. Inclusief het deel dat de meeste beveiligingspagina’s weglaten: wat we nog niet hebben.
Eén organisatie, één grens
Elk record hoort bij je organisatie en is daar op gegevensniveau aan gebonden. Een werkruimte kan nooit een andere werkruimte lezen. Scheiding zit in de bouw van het platform, het is geen filter dat erbovenop ligt.
Rechten afgedwongen op de server
Rechtensets met een naam bepalen wie wat mag zien en doen, en elke controle draait op de server. Een knop verbergen is nooit het beveiligingsmodel. Wijs iemand toe aan locaties en hij ziet de records van die locaties, van elke locatie eronder en zijn eigen werk. Dat geldt evengoed in registers, zoeken, exports, dashboards en de assistent. Iemand deactiveren werkt direct, ook voor sessies die al ingelogd zijn, en het platform weigert elke wijziging waardoor een werkruimte zonder beheerder zou komen te zitten.
Inloggen dat bestand is tegen gelekte wachtwoorden
Log in met een wachtwoord of met een eenmalige code die naar je e-mail wordt gestuurd. Elk account kan altijd de code gebruiken. Wachtwoorden moeten minstens 12 tekens hebben, worden bij het instellen gecontroleerd op bekende datalekken en worden gehasht opgeslagen. Bij elke wachtwoordwijziging of -reset krijgt de accounthouder een e-mail en worden andere sessies uitgelogd.
Deellinks die jij beheert
Openbare deellinks (inspectierapporten, briefings) gebruiken lange, onraadbare tokens, worden uitgesloten van indexering door zoekmachines en kunnen op elk moment worden ingetrokken. Intrekken werkt direct.
De assistent ziet wat jij ziet
De AI-assistent antwoordt alleen vanuit de records van je eigen werkruimte, gefilterd op je eigen rechten. Bij WhatsApp wordt de handtekening van elk binnenkomend bericht gecontroleerd en wordt de afzender aan zijn account gekoppeld voordat er iets wordt opgezocht.
Telemetrie zonder jouw gegevens
Foutrapportage wordt opgeschoond voordat die de applicatie verlaat: request bodies, cookies, querystrings en toegangstokens worden verwijderd, dus een storing onderzoeken betekent nooit dat je records worden geëxporteerd.
Versleuteling, back-ups en audit
Al het verkeer is versleuteld tijdens transport, en de applicatie draait op beheerde cloudinfrastructuur. Beheeractiviteit wordt vastgelegd in een auditlogboek dat je beheerders via de instellingen kunnen inzien, en elk register is op verzoek te exporteren. Je records worden nooit gegijzeld.
Wat we nog niet hebben
We vertellen het je liever zelf dan dat je het ontdekt: single sign-on (SSO/SAML) en formele certificeringen zoals ISO 27001 zijn er nog niet. Moet je organisatie een beveiligingsvragenlijst beantwoord hebben voordat je overstapt, stuur hem dan op. We beantwoorden ze eerlijk.
Vragen, vragenlijsten, meldingen van kwetsbaarheden
Alles gaat naar support@forma360.io. Denk je een kwetsbaarheid te hebben gevonden, meld die dan daar voordat je hem ergens anders bekendmaakt. We nemen meldingen serieus en antwoorden als mensen.