Incidentprocedure — SchoolFlow

Wat te doen bij een (vermoedelijk) datalek of beveiligingsincident. Doel: binnen de wettelijke termijn (72 uur na kennisname bij de school, 48 uur bij ons als verwerker richting de school — zie artikel 7 van de verwerkersovereenkomst) correct handelen.

Stap 1 — Signalering

Iedereen (medewerker van Elhoucine Automation, of een gebruiker die iets afwijkends opmerkt) meldt een vermoeden direct, ook als het nog onzeker is. Meld via: info@elhoucineautomation.nl.

Voorbeelden van incidenten: onbevoegde toegang tot de database, een verkeerd geconfigureerde n8n-workflow die notificaties naar de verkeerde ontvanger stuurt, een gelekte API-sleutel of service-role-key, verlies van een device met toegang.

Stap 2 — Eerste triage (binnen enkele uren)

1. Bevestig of het daadwerkelijk om persoonsgegevens gaat en welke school(en)/betrokkenen mogelijk geraakt zijn.
2. Beperk de schade direct: bij een gelekte sleutel — roteer de sleutel (Supabase service-role key, n8n API-key, credential in n8n); bij een foutieve workflow — zet deze op inactive (zie docs/productie-runbook.md, sectie Rollback).
3. Leg vast: wat is er gebeurd, wanneer ontdekt, welke systemen/gegevens, eerste inschatting van omvang.

Stap 3 — Melding aan de school (binnen 48 uur na kennisname)

Stuur de school (Verwerkingsverantwoordelijke) een melding met:

• aard van het incident;
• (vermoedelijke) categorieën en aantal betrokkenen/gegevens;
• genomen en voorgestelde vervolgmaatregelen;
• contactpersoon voor nadere vragen.

De school is zelf verantwoordelijk voor een eventuele melding bij de Autoriteit Persoonsgegevens (binnen 72 uur na hún kennisname) en, bij hoog risico, aan de betrokkenen zelf — wij leveren de informatie die daarvoor nodig is.

Stap 4 — Onderzoek en herstel

• Achterhaal de grondoorzaak (root cause).
• Herstel de kwetsbaarheid structureel, niet alleen het symptoom.
• Documenteer de tijdlijn en genomen maatregelen voor het incidentdossier.

Stap 5 — Nazorg

• Evalueer of aanvullende maatregelen nodig zijn (zie Beveiligingsbijlage).
• Werk deze procedure bij als de evaluatie een hiaat aan het licht brengt.
• Bewaar het incidentdossier conform het Dataretentiebeleid.

Contactpunten