Beveiliging & gegevensbescherming bij Scanara

Klantgegevens worden opgeslagen in AWS eu-west-1 (Dublin, Ierland): scanresultaten met korte codefragmenten, beoordelingen, dossiers en auditgegevens. Een volledige kopie van je repository bewaart Scanara niet. Tijdens een scan worden bestanden uit GitHub (VS) gelezen in kortlevend geheugen in eu-west-1. Frankfurt (eu-central-1) is de aangewezen uitwijkregio; een volledige failover is nog niet getest. Websiteanalyse laadt pas na jouw cookietoestemming en stuurt gebruiksgegevens naar Google en Microsoft in de VS, op basis van het EU-US Data Privacy Framework en de Europese standaardcontractbepalingen.

Opgeslagen gegevens zijn versleuteld met AES-256. Gegevens tijdens het transport gebruiken TLS 1.2 of hoger. De auditopslag en de logbestanden gebruiken eigen KMS-sleutels die Scanara beheert in zijn eigen AWS-account.

Inloggen verloopt via AWS Cognito met geavanceerde beveiliging (adaptieve authenticatie, controle op gelekte inloggegevens). Meerfactorauthenticatie met een authenticator-app is beschikbaar maar optioneel; Scanara dwingt het niet af. Enterprise-klanten kunnen single sign-on via OIDC gebruiken; SAML is gepland.

Acties in Scanara worden als gebeurtenissen weggeschreven in een log dat maar één keer beschreven kan worden (S3 Object Lock in compliancemodus), elk met een SHA-256-integriteitshash. Scanara bewaart deze registraties minstens 10 jaar in elk abonnement. Aanbieders van hoogrisico-AI-systemen moeten hun documentatie 10 jaar bewaren nadat het systeem in de handel is gebracht of in gebruik is gesteld (artikel 18, lid 1, van de AI-verordening).

Scanara documenteert zijn AVG-maatregelen: een register van verwerkingsactiviteiten, een gegevensbeschermingseffectbeoordeling voor het scannen van broncode, doorgifte-effectbeoordelingen voor zijn Amerikaanse leveranciers en een verwerkersovereenkomst op grond van artikel 28. Account- en organisatiegegevens worden binnen 30 dagen na opzegging verwijderd of geanonimiseerd. Scanara traint geen AI-modellen op klantcode.

Rollen bepalen wat elke gebruiker in een organisatie mag doen: organisatiebeheerder, compliance-medewerker, AI-engineer, auditor en lezer. Gegevens zijn per organisatie gescheiden via organisatiegebonden query's en beveiliging op rijniveau. Medewerkers van Scanara krijgen toegang tot AWS via IAM Identity Center, zonder langlevende inloggegevens.

Scanara heeft op dit moment geen beveiligingscertificering. ISO 27001 is in voorbereiding; SOC 2 en ISO/IEC 42001 zijn gepland, zonder gepubliceerde data. Een externe penetratietest is gepland; er is geen datum gepubliceerd. De certificeringen van AWS gelden alleen voor de AWS-infrastructuur.

Inkoop

Het leveranciersbeoordelingspakket is voor inkoopteams

Het bevat een ingevulde beveiligingsvragenlijst, een sjabloon voor de verwerkersovereenkomst, de lijst met subverwerkers, een architectuuroverzicht en een verklaring over de gegevenslocatie. De documenten zijn in het Engels.