Incidentprocedure — EA Transport

Wat te doen bij een (vermoedelijk) datalek of beveiligingsincident. Doel: binnen de wettelijke termijn (72 uur na kennisname bij de klant, 48 uur bij ons als verwerker richting de klant — zie artikel 7 van de verwerkersovereenkomst) correct handelen.

Stap 1 — Signalering

Iedereen (medewerker van Elhoucine Automation, of een gebruiker die iets afwijkends opmerkt) meldt een vermoeden direct, ook als het nog onzeker is. Meld via: info@elhoucineautomation.nl.

Voorbeelden van incidenten: onbevoegde toegang tot de database, een verkeerd geconfigureerde n8n-workflow die notificaties of facturen naar de verkeerde ontvanger stuurt, een gelekte API-sleutel of service-role-key, een datalek bij Mollie of een andere subverwerker, verlies van een device met toegang.

Stap 2 — Eerste triage (binnen enkele uren)

1. Bevestig of het daadwerkelijk om persoonsgegevens gaat en welke klant(en)/betrokkenen mogelijk geraakt zijn.
2. Beperk de schade direct: bij een gelekte sleutel — roteer de sleutel (Supabase service-role key, n8n API-key, credential in n8n, order-webhook-secret); bij een foutieve workflow — zet deze op inactive.
3. Leg vast: wat is er gebeurd, wanneer ontdekt, welke systemen/gegevens, eerste inschatting van omvang.

Stap 3 — Melding aan de klant (binnen 48 uur na kennisname)

Stuur de klant (Verwerkingsverantwoordelijke) een melding met:

• aard van het incident;
• (vermoedelijke) categorieën en aantal betrokkenen/gegevens;
• genomen en voorgestelde vervolgmaatregelen;
• contactpersoon voor nadere vragen.

De klant is zelf verantwoordelijk voor een eventuele melding bij de Autoriteit Persoonsgegevens (binnen 72 uur na hún kennisname) en, bij hoog risico, aan de betrokkenen zelf — wij leveren de informatie die daarvoor nodig is.

Stap 4 — Onderzoek en herstel

• Achterhaal de grondoorzaak (root cause).
• Herstel de kwetsbaarheid structureel, niet alleen het symptoom.
• Documenteer de tijdlijn en genomen maatregelen voor het incidentdossier.

Stap 5 — Nazorg

• Evalueer of aanvullende maatregelen nodig zijn (zie Beveiligingsbijlage).
• Werk deze procedure bij als de evaluatie een hiaat aan het licht brengt.
• Bewaar het incidentdossier conform het Dataretentiebeleid.

Contactpunten