Privacyverklaring

Laatst bijgewerkt: oktober 2026

Exposure Watch voert externe beveiligingsscans uit op domeinen waarvan je het eigendom hebt aangetoond. Om die dienst te leveren verwerken wij een beperkte hoeveelheid gegevens. Deze verklaring legt uit welke, waarom, hoe lang, en wat je daaraan kunt doen.

Welke gegevens wij verwerken

• Accountgegevens. Aanmelden verloopt via Microsoft Entra External ID. Wij ontvangen daaruit je naam en e-mailadres. Wij bewaren geen wachtwoorden, dat doet Microsoft.
• Scangegevens. De domeinen die je opgeeft, de daaruit ontdekte subdomeinen, en de bevindingen van elke scan.
• Technische logs. Beperkte gebeurtenislogs om de dienst te laten werken, misbruik tegen te gaan en storingen te onderzoeken.

Gastscans

Een gastscan kan zonder account worden uitgevoerd. De gegevens daarvan (het opgegeven domein en een versleutelde aanduiding van het herkomst-IP) worden na dertig dagen automatisch geanonimiseerd of verwijderd. Dat is geen belofte op papier maar een dagelijkse opschoningstaak in het platform.

Na een gastscan kun je alle bevindingen van die scan als rapport naar een e-mailadres laten sturen. Wij bewaren dat adres bij de gastscan om het rapport te sturen, en het verdwijnt samen met de gastscan na dertig dagen. Grondslag: je vraagt er zelf om.

Daarbij kun je met een apart vinkje om drie korte mails met uitleg en tips vragen, na twee, zeven en veertien dagen. Die sturen wij pas nadat je dat met de knop in de rapportmail hebt bevestigd, zodat niemand een ander kan aanmelden. Grondslag: je toestemming. Je trekt die in met de afmeldlink onderaan elke mail; daarna sturen wij niets meer. Wij leggen vast wanneer je toestemming gaf en met welke tekst, en verder niets. Ook dit adres verdwijnt na dertig dagen.

Waar je gegevens staan

Alle gegevens worden opgeslagen binnen Microsoft Azure in een datacenter in de Europese Unie. De database is niet publiek bereikbaar en is per klant afgeschermd, zodat de ene klant de gegevens van de andere niet kan inzien.

Opslag is niet hetzelfde als doorgifte, en daarom benoemen wij het apart. Om een scan uit te voeren bevragen wij bronnen buiten de Europese Unie. Daarbij gaat het om het domein of IP-adres dat gescand wordt, niet om je accountgegevens. Concreet: Shodan, VirusTotal, AbuseIPDB en GreyNoise (Verenigde Staten) ontvangen het IP-adres waarover wij informatie opvragen, GitHub, Sectigo (crt.sh) en SSLMate (Cert Spotter) (Verenigde Staten) de domeinnaam waarover wij informatie opvragen, en Stripe (Verenigde Staten en Ierland) ontvangt je factuurgegevens. Deze doorgiftes vinden plaats op grond van de standaardcontractbepalingen van de Europese Commissie of, waar van toepassing, het EU-US Data Privacy Framework.

Vermeldingen op ransomware-leksites

Bij een scan controleren wij of het gescande domein, of de naam van de organisatie, voorkomt op een ransomware-leksite. Daarvoor gebruiken wij de openbare leksitelijst van ransomware.live, een onafhankelijk project dat vermeldingen op zulke sites verzamelt. Wij gebruiken die gegevens met schriftelijke toestemming van de eigenaar van ransomware.live, verleend op 27 september 2026, en noemen ransomware.live als bron bij elke vermelding en in elk rapport.

Zo werkt het: wij halen elke nacht een kopie op van de vermeldingen van de afgelopen 180 dagen en bewaren daaruit alleen de naam van de vermelde organisatie, de naam van de criminele groep, het land, het websitedomein en de datum. De controle gebeurt in onze eigen omgeving. Het gescande domein wordt daarbij niet naar ransomware.live gestuurd; ransomware.live is dus geen ontvanger van je gegevens en staat daarom niet in de subverwerkerslijst hieronder. Vermeldingen die ouder zijn dan 180 dagen, of die van de lijst verdwijnen, verwijderen wij automatisch.

Een vermelding op een leksite is een claim van een criminele groep, geen vaststelling door ons of door ransomware.live. In het rapport noemen wij het daarom een vermelding, met datum en bron, zodat je het zelf kunt beoordelen. Een vermelde organisatie kan een eenmanszaak zijn; de naam is dan een persoonsgegeven, dat wij verwerken op grond van ons gerechtvaardigd belang om klanten te waarschuwen voor een mogelijk incident (artikel 6 lid 1 sub f AVG). Wie een vermelding bij de bron wil laten verwijderen, kan daarvoor terecht bij ransomware.live.

Cookies

Wij gebruiken uitsluitend strikt noodzakelijke cookies: een sessie-cookie voor het inloggen (via Microsoft Entra) en, bij een gastscan, één functionele cookie die de scan aan je sessie koppelt en misbruik beperkt. Wij plaatsen geen analytics-, tracking- of advertentiecookies. Omdat alleen strikt noodzakelijke cookies worden gebruikt, is een cookie-toestemmingsbanner niet vereist.

Voor bezoekersaantallen op de openbare pagina's gebruiken wij Vercel Web Analytics. Dat werkt zonder cookies, volgt je niet over andere websites en levert ons alleen totalen op, zoals het aantal bezoeken per pagina en per verwijzende site. Het ingelogde deel van de dienst wordt niet gemeten, en zoekparameters in het adres worden niet meegestuurd.

Om te zien via welk kanaal bezoekers komen, onthoudt je browser tijdens je bezoek één kanaalnaam, zoals linkedin of direct, in de tijdelijke sessieopslag van het tabblad. Start je een gastscan, dan bewaren wij die kanaalnaam bij de scan, en verder nergens. Het is geen persoonsgegeven en verdwijnt met de gastscan na dertig dagen.

Subverwerkers

Voor het leveren van de dienst schakelen wij een beperkt aantal subverwerkers in:

• Microsoft (Azure, Entra External ID, Communication Services): hosting, database, authenticatie en verzending van e-mail (meldingen, het gastrapport en de tips waar je om vroeg); EU-datacenter.
• Vercel: hosting van de webinterface en de cookieloze bezoekersteller (Web Analytics).
• Cloudflare (Turnstile): bot- en misbruikcontrole bij de gastscan.
• Shodan: bron voor passieve, publiek beschikbare informatie over het gescande domein.
• Stripe: afhandeling van betalingen, facturatie en btw-berekening; Verenigde Staten en Ierland.
• VirusTotal (Google): reputatie-informatie over een gescand IP-adres; Verenigde Staten.
• AbuseIPDB: reputatie-informatie over een gescand IP-adres; Verenigde Staten.
• GreyNoise: reputatie-informatie over een gescand IP-adres; Verenigde Staten.
• GitHub (Microsoft): zoekopdracht in publieke broncode op de gescande domeinnaam, om gelekte wachtwoorden en sleutels te vinden; Verenigde Staten.
• Sectigo (crt.sh): zoekopdracht in openbare certificaatlogboeken op de gescande domeinnaam, om hostnamen te vinden; Verenigd Koninkrijk en Verenigde Staten.
• SSLMate (Cert Spotter): dezelfde zoekopdracht in openbare certificaatlogboeken, als tweede bron naast crt.sh; Verenigde Staten.
• TransIP: DNS en de e-mailpostbus voor correspondentie.

Onze verwerkersovereenkomst (DPA) en de actuele subverwerkerslijst vind je op de DPA-pagina.

Hoe lang wij bewaren

• Gastscangegevens: maximaal dertig dagen, inclusief een e-mailadres waarnaar je het gastrapport liet sturen.
• Accountgegevens: zolang je account bestaat. Verwijder je je account, dan verwijderen wij de bijbehorende gegevens.
• Scanresultaten (bevindingen en rapporten): volgens de bewaartermijn van je abonnement, van dertig dagen op het gratis plan tot drie jaar op Business Plus en Enterprise; de actuele termijn per abonnement staat op de prijzenpagina. Een week voordat wij voor het eerst scans verwijderen, melden wij dat in de app. De laatste afgeronde scan per domein blijft bewaard zolang het domein in je account staat, zodat je altijd een nulmeting houdt. Scans ouder dan de termijn worden dagelijks automatisch verwijderd, inclusief de gegevens over derden die erin staan.
• Machtigingen voor actieve scans: langer dan de scanresultaten, omdat wij moeten kunnen aantonen dat een actieve scan met toestemming is uitgevoerd. Wij bewaren daarvan de registratie en een korte samenvatting (doelen, profiel, tijdstippen), niet de volledige scanuitvoer.
• Kopie van de ransomware-leksitelijst: 180 dagen na de datum van een vermelding, en drie dagen nadat een vermelding van de lijst is verdwenen.

Je rechten

Je hebt recht op inzage, correctie en verwijdering van je gegevens, en op overdracht daarvan. Stuur je verzoek naar info@exposure-watch.com en wij reageren binnen de wettelijke termijn.

Contact

Exposure Watch is een dienst van Robbin Asseler, handelend onder de naam Asseler Security (KvK 42099120), te Alkmaar. Vragen over deze verklaring of over je gegevens: info@exposure-watch.com. Een beveiligingsprobleem in het platform meld je via onze pagina voor het melden van kwetsbaarheden.