Privacyverklaring
1. Wie wij zijn
SEK Systems (Secure Environment Keeper) is een handelsnaam van Dienstverlening Leonardus. SEK Systems is een platform voor kwetsbaarheids- en patchbeheer: organisaties installeren zelf een agent op hun eigen systemen, zien in het dashboard welke software kwetsbaar is en laten na goedkeuring updates of configuratiewijzigingen uitvoeren.
2. Onze rol
- Gegevens over de systemen van een klant (inventaris, kwetsbaarheden, herstelacties): de klantorganisatie is verwerkingsverantwoordelijke; SEK Systems is verwerker en verwerkt deze gegevens alleen in opdracht van die organisatie, onder een verwerkersovereenkomst.
- Accounts, beveiliging en audit van het platform zelf (inloggen, sessies, logboeken): hier is SEK Systems verwerkingsverantwoordelijke.
Gebruik je SEK Systems via je werkgever of een IT-dienstverlener, richt vragen over de gegevens van jouw organisatie dan eerst aan die organisatie.
3. Welke gegevens
Gebruikers van het dashboard en de app
- Naam, e-mailadres of gebruikersnaam, rol en de organisatie(s) waartoe je toegang hebt.
- Inloggegevens: een wachtwoord-hash (nooit het wachtwoord zelf) en, als je die registreert, de publieke sleutel van je security key of passkey. Het geheime deel van een key verlaat je apparaat nooit.
- Sessies en beveiliging: tijdstip van inloggen, IP-adres en browser- of app-versie, voor beveiliging en misbruikdetectie.
- Audit-log: wie wat goedkeurde of wijzigde. Dit logboek is onveranderlijk, omdat het moet aantonen wat er op systemen is gebeurd.
Systemen waarop een organisatie de agent installeert
- Technische gegevens: hostnaam, besturingssysteem en versie, geïnstalleerde software en versies, actieve services en poorten, relevante configuratie-instellingen en het publieke IP-adres waarmee de agent verbinding maakt.
- Netwerkomgeving van de host: de direct aangesloten netwerken met hun gateway, de buurtabel (ARP/NDP: IP- en MAC-adressen van apparaten in hetzelfde netwerk), DHCP-uitgiften als de host zelf DHCP-server is, en wat de host passief hoort van mDNS, SSDP en LLMNR (apparaatnamen en services). Firewallregels inclusief de adressen op toegestane-adressenlijsten (bijvoorbeeld beheer-IP's); van blokkeerlijsten alleen het aantal.
- Alleen als de organisatie dat aanzet: een actieve scan van de eigen, direct aangesloten privénetwerken (een vaste lijst poorten, alleen verbindingen opzetten, met wat een dienst zelf meldt zoals een versie of certificaat-fingerprint), en metingen van de bereikbaarheid tussen de eigen systemen van de organisatie.
- Wat we bewust niet verzamelen: inhoud van bestanden of e-mail, procesargumenten, omgevingsvariabelen, wachtwoorden, browsegeschiedenis en adressen van verbindingen naar buiten. Hostnamen, gebruikersnamen waaronder diensten draaien en bestandspaden van software kunnen persoonsgegevens bevatten (bijvoorbeeld een naam in een hostnaam); die worden opgeslagen zoals de host ze meldt. Serienummers en MAC-adressen van de host zelf bewaren we alleen als pseudoniem.
De app SEK Systems
- De app maakt alleen verbinding met het SEK Systems-platform (standaard console.sek.systems), en alleen via HTTPS.
- Op je toestel bewaart de app alleen je inlogsessie (in de beveiligde opslag van Android) en je voorkeuren, zoals het serveradres, de taal en het thema.
- De app vraagt geen toegang tot foto's, video's, bestanden, camera, contacten of locatie.
- Geen advertenties, geen analytics, geen tracking en geen gegevens naar derden. De app maakt geen back-up naar de cloud.
- Uitloggen of de app verwijderen wist de sessie en voorkeuren van je toestel.
De website sek.systems
Geen cookies, geen analytics en geen externe scripts of lettertypen. De webserver logt technische toegangsgegevens (IP-adres, tijdstip, opgevraagde pagina) voor beveiliging.
4. Waarvoor en op welke grondslag
- De dienst leveren aan de klantorganisatie: uitvoering van de overeenkomst, en voor gegevens van de klant in opdracht van de klant.
- Beveiliging van het platform, misbruikdetectie en het audit-log: gerechtvaardigd belang, en voor klanten met NIS2-verplichtingen ook hun wettelijke verplichtingen.
- We gebruiken gegevens niet voor marketing, profilering of het volgen van personen, en we verkopen niets.
5. Delen en locatie
- Gegevens worden opgeslagen en verwerkt binnen de Europese Economische Ruimte.
- Gegevens van verschillende klantorganisaties zijn strikt van elkaar gescheiden.
- We delen geen gegevens met derden, behalve als de wet ons daartoe verplicht. Kwetsbaarheidsinformatie halen we op uit publieke bronnen (zoals NVD, OSV en de beveiligingsberichten van leveranciers); daarbij gaat er geen klantinformatie naar buiten.
- Inloggen met Microsoft, Google of Apple (als je daarvoor kiest) laat die partij weten dat je inlogt bij SEK Systems, volgens hun eigen privacyverklaring.
6. Bewaartermijnen
- Inventaris- en kwetsbaarheidsgegevens: zolang de klantorganisatie de dienst afneemt, binnen de termijnen die zij instelt; na beëindiging worden ze verwijderd.
- IP-adressen in sessie- en beveiligingslogboeken: 90 dagen.
- Audit-log: zolang nodig om de handelingen op systemen te kunnen verantwoorden, en uiterlijk tot de verwijdering van de omgeving van de klant.
7. Beveiliging
Al het verkeer is versleuteld. De agent maakt zelf de verbinding (geen open poort op je systeem), met een eigen identiteit per agent en een tweede, eigen laag van versleuteling en ondertekening binnen TLS. Wijzigingen op systemen gebeuren alleen na ondertekende goedkeuring en worden volledig gelogd.
8. Jouw rechten
Je hebt het recht op inzage, correctie, verwijdering, beperking, bezwaar en overdraagbaarheid van je persoonsgegevens. Gaat het om gegevens die wij voor een klantorganisatie verwerken, dan handelt die organisatie je verzoek af en helpen wij haar daarbij. Je kunt ook een klacht indienen bij de Autoriteit Persoonsgegevens.
9. Contact
Dienstverlening Leonardus, handelend onder de naam SEK Systems. Voor vragen over deze verklaring of over je gegevens: neem contact op via de beheerder van je organisatie in SEK Systems, of via de contactgegevens in je overeenkomst.
10. Wijzigingen
Bij een inhoudelijke wijziging passen we de versie en datum bovenaan aan.
Privacy policy
1. Who we are
SEK Systems (Secure Environment Keeper) is a trade name of Dienstverlening Leonardus. SEK Systems is a vulnerability and patch management platform: organisations install an agent on their own systems, see in the dashboard which software is vulnerable, and have updates or configuration changes applied after approval.
2. Our role
- Data about a customer's systems (inventory, vulnerabilities, remediation): the customer organisation is the controller; SEK Systems is the processor and processes this data only on the organisation's instructions, under a data processing agreement.
- Accounts, security and audit of the platform itself (sign-in, sessions, logs): SEK Systems is the controller.
If you use SEK Systems through your employer or an IT service provider, please direct questions about your organisation's data to that organisation first.
3. What data
Dashboard and app users
- Name, e-mail address or username, role and the organisation(s) you have access to.
- Credentials: a password hash (never the password itself) and, if you register one, the public key of your security key or passkey. The private part of a key never leaves your device.
- Sessions and security: sign-in time, IP address and browser or app version, for security and abuse detection.
- Audit log: who approved or changed what. This log cannot be altered, because it has to show what happened on systems.
Systems on which an organisation installs the agent
- Technical data: hostname, operating system and version, installed software and versions, running services and ports, relevant configuration settings, and the public IP address the agent connects from.
- The host's network surroundings: directly connected networks with their gateway, the neighbour table (ARP/NDP: IP and MAC addresses of devices on the same network), DHCP leases when the host is a DHCP server itself, and what the host passively hears over mDNS, SSDP and LLMNR (device names and services). Firewall rules, including the addresses on allow lists (for example management IPs); for block lists only the count.
- Only if the organisation enables it: an active scan of its own, directly connected private networks (a fixed list of ports, connection attempts only, plus what a service announces itself such as a version or certificate fingerprint), and reachability measurements between the organisation's own systems.
- What we deliberately do not collect: file or e-mail contents, process arguments, environment variables, passwords, browsing history and the addresses of outbound connections. Hostnames, the user names services run as, and file paths of software can contain personal data (for example a name in a hostname); these are stored as the host reports them. Serial numbers and MAC addresses of the host itself are only kept as pseudonyms.
The SEK Systems app
- The app only connects to the SEK Systems platform (console.sek.systems by default), and only over HTTPS.
- On your device the app only stores your sign-in session (in Android's secure storage) and your preferences, such as the server address, language and theme.
- The app does not ask for access to photos, videos, files, camera, contacts or location.
- No ads, no analytics, no tracking and no data shared with third parties. The app does not back up to the cloud.
- Signing out or uninstalling the app removes the session and preferences from your device.
The sek.systems website
No cookies, no analytics and no external scripts or fonts. The web server logs technical access data (IP address, time, requested page) for security.
4. Purposes and legal basis
- Providing the service to the customer organisation: performance of the contract, and for customer data on the customer's instructions.
- Platform security, abuse detection and the audit log: legitimate interest, and for customers under NIS2 also their legal obligations.
- We do not use data for marketing, profiling or tracking people, and we do not sell anything.
5. Sharing and location
- Data is stored and processed within the European Economic Area.
- Data of different customer organisations is strictly separated.
- We do not share data with third parties unless the law requires us to. Vulnerability information is fetched from public sources (such as NVD, OSV and vendor security advisories); no customer information is sent out in doing so.
- Signing in with Microsoft, Google or Apple (if you choose to) lets that provider know you are signing in to SEK Systems, under their own privacy policy.
6. Retention
- Inventory and vulnerability data: for as long as the customer organisation uses the service, within the periods it sets; deleted after termination.
- IP addresses in session and security logs: 90 days.
- Audit log: as long as needed to account for actions on systems, and at the latest until the customer's environment is deleted.
7. Security
All traffic is encrypted. The agent makes the connection itself (no open port on your system), with its own identity per agent and a second, separate layer of encryption and signing inside TLS. Changes on systems only happen after a signed approval and are fully logged.
8. Your rights
You have the right of access, rectification, erasure, restriction, objection and portability of your personal data. For data we process on behalf of a customer organisation, that organisation handles your request and we assist it. You can also lodge a complaint with the Dutch Data Protection Authority (Autoriteit Persoonsgegevens).
9. Contact
Dienstverlening Leonardus, trading as SEK Systems. For questions about this policy or your data: contact your organisation's administrator in SEK Systems, or use the contact details in your agreement.
10. Changes
When we change this policy materially, we update the version and date at the top.