Bij Salesupply zetten we ons in om je gegevens te beschermen met robuuste beveiligings- en privacymaatregelen. Dit beleid beschrijft onze uitgebreide aanpak voor de bescherming van de informatie die aan ons is toevertrouwd. Laatst bijgewerkt: 9 november 2026.
Deze tekst is beschikbaar in meerdere talen. Als de versies van elkaar verschillen, gaat de Engelse versie voor.
Dit onderdeel beschrijft het beleid, de governance en de certificeringen die de basis vormen van ons managementsysteem voor informatiebeveiliging (ISMS).
We hebben een duidelijk gedocumenteerd informatiebeveiligingsbeleid, dat op 8 januari 2021 voor het eerst door onze directie is goedgekeurd. Dit beleid wordt verspreid via een online systeem, is verplicht voor alle medewerkers van Salesupply en wordt jaarlijks herzien. Onze verwerkersovereenkomsten met klanten en subverwerkers leggen onze verplichtingen op het gebied van gegevensbescherming en privacy verder vast.
Ons informatiebeveiligingsbeleid bepaalt dat vastgestelde risico's worden onderworpen aan een risicobeoordeling, en dat de risicobeoordeling en het risicobehandelplan worden opgesteld op basis van de richtlijnen van ISO 27005.
De directie is verantwoordelijk voor het informatiebeveiligingsbeleid. De Information Security Manager (CTO) is verantwoordelijk voor het onderhouden en coördineren van het managementsysteem voor informatiebeveiliging (ISMS).
Onze servers worden gehost in ISO 27001-gecertificeerde datacenters, met gecertificeerde fysieke beveiliging en omgevingsbeveiliging.
Onze mensen en processen vormen de basis van onze beveiliging. Hier lees je welke organisatorische maatregelen we hebben getroffen om je gegevens gedurende hun hele levenscyclus te beschermen.
Bij nieuwe medewerkers voeren we achtergrondcontroles uit, waaronder het opvragen van professionele referenties. Alle medewerkers tekenen een arbeidsovereenkomst met geheimhoudingsbepalingen en een verklaring dat zij kennis hebben genomen van het informatiebeveiligingsbeleid. Alle medewerkers zijn verantwoordelijk voor het beschermen van informatie en het melden van beveiligingsincidenten. Met onze partners werken we met geheimhoudingsovereenkomsten (NDA's).
Onze verwerkersovereenkomsten geven de verwerkingsverantwoordelijke (onze klant) auditrechten om de naleving te controleren, met een redelijke aankondigingstermijn en zonder extra kosten, zoals in de overeenkomst is bepaald.
Alle informatiemiddelen zijn geregistreerd en hebben een toegewezen eigenaar. Gegevensdragers worden veilig afgevoerd volgens gedocumenteerde procedures, om te voorkomen dat gegevens uitlekken via afgedankte middelen.
Ons informatiebeveiligingsbeleid beschrijft het incidentbeheer, inclusief meldkanalen, onderzoek en communicatie met getroffen partijen. Onze verwerkersovereenkomsten verplichten Salesupply om de verwerkingsverantwoordelijke zonder onredelijke vertraging te informeren nadat zij kennis heeft gekregen van een inbreuk in verband met persoonsgegevens.
Onze verwerkersovereenkomsten benadrukken dat Salesupply ervoor moet zorgen dat subverwerkers de regelgeving voor gegevensbescherming naleven, en dat Salesupply de verwerkingsverantwoordelijke moet informeren over voorgenomen wijzigingen met betrekking tot subverwerkers. Het informatiebeveiligingsbeleid bepaalt: “Leveranciers die informatiemiddelen van Salesupply of haar klanten verwerken, moeten voldoen aan de eisen van dit beleid”.
Er is een bedrijfscontinuïteitsplan (BCP) om verstoring van de dienstverlening bij onverwachte gebeurtenissen tot een minimum te beperken en de veerkracht en beschikbaarheid van onze diensten te waarborgen.
We hanteren een technische aanpak met meerdere lagen om onze systemen en je gegevens tegen dreigingen te beschermen. Hieronder staan de belangrijkste technische maatregelen die we hebben geïmplementeerd.
Op alle laptops is volledige schijfversleuteling (BitLocker) toegepast met minimaal AES-256. Alle verwisselbare media zijn uitgeschakeld. Het gebruik van privé mobiele apparaten voor zakelijke doeleinden is niet toegestaan. Reguliere gebruikers hebben geen lokale beheerdersrechten.
De kantoren van Salesupply hebben beveiligingssystemen, alarmsystemen, camerabewaking en toegangscontrole via toegangspassen. Onze ISO 27001-gecertificeerde datacenters beschikken over fysieke toegangscontrole, bewaking en alarmsystemen.
Firewalls regelen het netwerkverkeer en blokkeren ongeautoriseerde toegang. Ontwikkel-, test- en productieomgevingen zijn van elkaar gescheiden. Draadloze netwerken zijn beveiligd met WPA2-Enterprise en Network Access Control (NAC).
Geavanceerde malwarebescherming (antivirus, antispyware) is geïnstalleerd op alle servers en endpoints en wordt continu up-to-date gehouden.
Beveiligde externe toegang (VPN) met multifactorauthenticatie (MFA). Beperkte en gemonitorde toegang tot beheerinterfaces. Versleutelde methoden voor gegevensoverdracht (VPN, SSL/TLS, SFTP) voor alle gegevensuitwisseling.
Er zijn systemen voor inbraakdetectie en -preventie (IDS/IPS) geïmplementeerd die het netwerkverkeer monitoren op kwaadaardige activiteiten en beleidsschendingen.
Systemen worden geconfigureerd volgens best practices uit de sector en beveiligingsbaselines (bijv. CIS Benchmarks, NIST) om hun aanvalsoppervlak te verkleinen.
Voor kritieke systemen worden systeemlogs en audittrails bijgehouden. Het loggen van persoonsgegevens wordt tot een minimum beperkt. Logs worden regelmatig beoordeeld om beveiligingsincidenten en ongebruikelijke activiteiten op te sporen.
Van kritieke gegevens worden regelmatig back-ups gemaakt, en de integriteit daarvan wordt getest. Voor kritieke systemen is redundantie ingericht om een hoge beschikbaarheid te waarborgen.
Heb je een kwetsbaarheid gevonden in een van onze systemen, of heb je een vraag over de beveiliging van je gegevens? Mail naar security@salesupply.com. Klanten kunnen ook contact opnemen met hun accountmanager bij Salesupply, bijvoorbeeld voor een ingevulde beveiligingsvragenlijst.
Gepubliceerd op 26 oktober 2026 · Status: opgelost
Op 21 oktober 2026 werden twee kritieke kwetsbaarheden in PHP (CVE-2026-109618 en CVE-2026-109619) openbaar gemaakt. Europese en internationale beveiligingsinstanties riepen organisaties op om direct te patchen. Zo heeft Salesupply dit aangepakt.
In het kort: we kwamen dezelfde ochtend in actie, nog voordat de officiële fix beschikbaar was. Al onze PHP-systemen waren binnen enkele dagen gepatcht, de meeste binnen enkele uren nadat de fix was uitgebracht. Order-, voorraad- en verzendprocessen bleven de hele tijd draaien. We hebben geen aanwijzingen gevonden voor ongeautoriseerde toegang, en er zijn geen klantgegevens verloren gegaan of gelekt.
PHP is de programmeertaal achter een groot deel van alle websites en webapplicaties wereldwijd, waaronder verschillende systemen van Salesupply. Met de twee lekken, allebei als kritiek beoordeeld (CVSS 9.2), kon een aanvaller op afstand een server overnemen zonder in te loggen. Omdat de zwakke plek in PHP zelf zat en niet in de eigen software van een bedrijf, raakte dit organisaties wereldwijd.
Op de ochtend van 21 oktober, voordat de officiële fix was gepubliceerd, bracht ons Business Technology-team alle systemen met PHP in kaart en bepaalde per systeem in hoeverre het blootstond aan de kwetsbaarheid. Op al die systemen hebben we de PHP-functie uitgeschakeld waarop de aanvallen naar verwachting zouden mikken, volgens de aanbevolen mitigatie van de leverancier. Als extra voorzorg hebben we het uploaden van bestanden naar onze PHP-systemen tijdelijk stopgezet, en hebben we systemen offline gehaald waar dat de veiligere keuze was.
De officiële PHP-fix werd die middag om 16:00 uur CEST uitgebracht. Dezelfde avond draaiden onze klantgerichte systemen op gepatchte PHP-versies. Het laatste resterende systeem bleef beschermd door de mitigatie en is op 23 oktober tijdens een kort onderhoudsvenster volledig gepatcht.
Orderimport, voorraadsynchronisatie, verzend- en trackingupdates, inloggen, dashboards en rapportages bleven allemaal normaal werken. Voor de patches was alleen een korte herstart nodig. De enige tijdelijke beperking gold voor het uploaden van bestanden, zoals bulkimports via het dashboard. Dat hebben we stopgezet tot de fixes bevestigd waren. Uploads werken inmiddels weer volledig.
Ja. Na het patchen hebben we alle PHP-systemen gecontroleerd op tekenen van misbruik, zoals onverwachte bestanden, processen of verbindingen, en we zijn ze in de dagen daarna blijven monitoren. We hebben geen aanwijzingen gevonden dat een aanvaller toegang heeft gehad tot een systeem, en er zijn geen klantgegevens verloren gegaan, gewijzigd of gelekt. Je hoeft zelf niets te doen.
We versnellen werk dat al gepland was, zodat elk systeem dat we draaien op een ondersteunde versie staat die beveiligingsupdates rechtstreeks van de leverancier krijgt. We blijven beveiligingsadviezen nauwlettend volgen, zodat we dezelfde dag kunnen reageren, zoals we nu ook hebben gedaan.