Ga naar de hoofdinhoud Wettelijk verplicht in de EU voor organisaties met 50 of meer werknemers

Veelgestelde vragen #

Voor compliance officers en besluitvormers #

Voldoet EthicsPortal aan Richtlijn (EU) 2019/1937? #

Ja. EthicsPortal is specifiek gebouwd om te voldoen aan de eisen van de EU-klokkenluidersrichtlijn. Dit omvat een veilig intern meldkanaal, anonieme tweerichtingscommunicatie, termijnbewaking (ontvangstbevestiging binnen 7 dagen, terugkoppeling binnen 3 maanden), toegangscontroles, beleid voor gegevensbewaring en een volledige audit trail. Zie het dekkingsoverzicht van Richtlijn (EU) 2019/1937 voor een artikelsgewijze uitsplitsing.

In welke landen voldoet EthicsPortal aan de eisen? #

EthicsPortal dekt de eisen van Richtlijn (EU) 2019/1937, die in de nationale wetgeving van de EU-lidstaten is omgezet. Het platform is ontworpen om te voldoen aan de basiseisen van de richtlijn, die in de hele EU gelden. Als uw land aanvullende nationale eisen stelt (bijvoorbeeld de Franse Loi Waserman), raadpleeg dan onze landspecifieke gidsen of neem contact met ons op.

Kan een bedrijf buiten de EU EthicsPortal gebruiken? #

De entiteit die het meldkanaal beheert, moet in de EU, Zwitserland, Moldavië of Montenegro zijn gevestigd. Heeft de groep een entiteit in een van die landen, dan kan die één meldkanaal beheren en openstellen voor medewerkers in elk land — elke melding komt in dezelfde zakenlijst terecht, ongeacht waar de melder werkt.

Medewerkers buiten de EU krijgen anonieme indiening, versleutelde tweerichtingscommunicatie en de termijnen uit de Richtlijn: 7 dagen voor de ontvangstbevestiging en 3 maanden voor de terugkoppeling. Noch het Amerikaanse noch het Canadese recht vereist die termijnen, dus groepsbreed toepassen legt een strengere norm op dan beide.

Een compliance-rapport verwijst naar het nationale recht van de entiteit die het kanaal beheert. Het onderbouwt de verplichtingen van die entiteit, niet die van activiteiten in andere rechtsgebieden. Zwitserland kent geen algemene klokkenluiderswet; de documenten van een Zwitserse entiteit passen de Richtlijn daarom toe als vrijwillige norm, volgen de Zwitserse meldcascade en verwijzen in plaats van naar de AVG naar de Zwitserse wet op de gegevensbescherming (FADP).

Kunnen we het meldkanaal intern beheren? #

Ja — artikel 8, lid 5, van Richtlijn (EU) 2019/1937 staat dit uitdrukkelijk toe. Maar het voldoen aan de voorwaarden van de richtlijn is intern structureel lastiger.

Artikel 9, lid 1, vereist vertrouwelijkheid van de identiteit van de melder, onpartijdige opvolging en beperkte toegang tot meldingen. Een intern kanaal loopt via dezelfde IT-beheerders, back-ups en litigation-hold-tooling die elk ander systeem in het bedrijf raken. Een apart subdomein of mailbox verandert niets aan wie toegang heeft.

De AVG voegt een tweede probleem toe. Klokkenluiden staat op de lijst van verplichte GEB’s van het EDPB. Een interne GEB moet documenteren hoe de verwerkingsverantwoordelijke voorkomt dat hij toegang krijgt tot gegevens over zichzelf — wat op het eerste gezicht circulair is.

Extern beheer is voorzien in art. 8, lid 5, en in de nationale omzettingen: Loi Sapin II / Waserman (FR), HinSchG §14 (DE), D.Lgs. 24/2023 (IT), Ley 2/2023 (ES).

Waar worden mijn gegevens opgeslagen? #

De kerngegevens van meldingen worden opgeslagen op Hetzner-servers in Neurenberg, Duitsland, met een back-upkopie van bijlagen in Falkenstein, Duitsland. De marketingwebsite wordt geleverd via Cloudflare (Verenigde Staten); het meldkanaal en het behandelaarsportaal niet. Hetzner is een Duitse hostingaanbieder die onderworpen is aan het EU-gegevensbeschermingsrecht. De afzonderlijke verwerking van de openbare website door Cloudflare en de doorgiftewaarborgen staan in de Privacyverklaring, niet in de AVG-keten.

Is de melding echt anoniem? #

Ja, als de melder daarvoor kiest. Het opgeven van een naam of contactgegevens is optioneel. EthicsPortal slaat IP-adressen van melders niet op bij meldingen of in applicatielogs, verwijdert bestandsmetadata (EXIF, GPS, auteursinformatie) uit uploads, met twee beperkingen binnen pdf’s, en de beveiligde berichtenuitwisseling onthult de identiteit van de zaakbehandelaar nooit aan de melder. Er is geen technisch mechanisme om een anonieme melding tot een persoon te herleiden.

Hoe werkt de bewaking van de termijnen van 7 dagen en 3 maanden? #

Wanneer een melding wordt ingediend, start EthicsPortal automatisch twee timers op basis van de eisen van de richtlijn:

Te late meldingen worden gesignaleerd in het dashboard en behandelaars ontvangen meldingen naarmate de termijnen naderen.

Bieden jullie een verwerkersovereenkomst? #

Ja. De huidige verwerkersovereenkomst is gepubliceerd op verwerkersovereenkomst, en een medeondertekende pdf is op verzoek beschikbaar.

Welke certificeringen hebben jullie? #

EthicsPortal publiceert een volledige ISO/IEC 27001:2022-zelfevaluatie over hoofdstuk 4 tot en met 10 en alle 93 beheersmaatregelen uit Bijlage A als verklaring van toepasselijkheid, een ISO 37002-afstemming, een vooringevulde CAIQ en benoemde beleidsdocumenten, naast de pagina’s beveiliging, sub-verwerkers, incidenten en SLA. Dit zijn zelfevaluaties tegen de normenkaders die een externe audit zou beoordelen, geen geaccrediteerde certificering: EthicsPortal claimt geen geaccrediteerde ISO 27001-certificering, en de huidige status staat op de vertrouwenspagina.

Wie is de contractpartij? #

EthicsPortal is een handelsnaam die wordt gebruikt door Yaroslav Shmarov, een eenmanszaak geregistreerd in Polen (NIP: 5272755790). Basisgegevens over de contractpartij en inkoop zijn gepubliceerd op de vertrouwenspagina.

Kunnen jullie de inkoopbeoordeling ondersteunen? #

Ja. Openbaar due-diligencemateriaal is gepubliceerd op de website, en aanvullend inkoopmateriaal is op verzoek beschikbaar tijdens de inkoopbeoordeling. Zie de vertrouwenspagina.

Kan ik zaakgegevens exporteren voor auditors? #

Ja. Elke melding kan naar pdf worden geëxporteerd, inclusief de volledige berichtgeschiedenis, tijdlijn en audit trail. Dit is ontworpen om te delen met juridisch adviseurs, auditors of toezichthouders. Beheerders kunnen ook alle gegevens van de organisatie in-app exporteren, als ZIP-bestand met JSON-bestanden en bijlagen, voor migratie of archivering. Als u een ander formaat nodig hebt, neem dan contact met ons op tijdens de inkoop- of afsluitbeoordeling.

Voor werknemers en melders #

Moet ik een account aanmaken om een melding in te dienen? #

Nee. U hebt geen account, e-mailadres of persoonlijke gegevens nodig. U opent de link van het meldkanaal, vult de melding in en ontvangt een zaak-ID en een wachtwoord. Dat is alles.

Kan ik per e-mail melden? #

Ja, als de organisatie dit aanbiedt. Elk meldkanaal heeft een eigen e-mailadres, dat op de pagina van het meldkanaal staat. Uw e-mail wordt een melding, en u ontvangt een antwoord met een zaak-ID en een wachtwoord om de vragen van de zaakbehandelaar in de beveiligde inbox te lezen en te beantwoorden. De zaakbehandelaars zien uw e-mailadres niet. E-mail is echter niet anoniem: uw e-mailprovider bewaart een kopie, en het mailsysteem van uw werkgever ook als u vanaf een werkaccount schrijft. Gebruik het online meldformulier als u anoniem wilt blijven.

Kan mijn werkgever ontdekken wie ik ben? #

Niet via EthicsPortal. Als u ervoor kiest anoniem te melden (zonder uw naam of contactgegevens op te geven), is er voor uw werkgever geen manier om u via het platform te identificeren. EthicsPortal slaat uw IP-adres niet op bij uw melding of in zijn applicatielogs, en verwijdert identificerende metadata uit de bestanden die u uploadt, met twee beperkingen binnen pdf’s.

Wees u er niettemin bewust van wat u schrijft — als uw melding details bevat die alleen u kunt weten, valt dat buiten de controle van het platform.

Hoe controleer ik mijn melding? #

U hebt twee dingen nodig, die u allebei na indiening te zien krijgt: het zaak-ID (in de vorm WB-XXXX-XXXX) en het wachtwoord. Kom op elk moment terug naar het meldkanaal, voer beide in en bekijk de huidige status of wissel berichten uit met de zaakbehandelaar. Schrijf beide op en bewaar ze op een veilige plek. Niemand kan het wachtwoord herstellen, en EthicsPortal biedt geen manier om het opnieuw in te stellen, niet voor de zaakbehandelaar en niet voor ons. Raakt u het kwijt, dien dan een nieuwe melding in en vermeld uw zaak-ID.

Kan ik bestanden aan mijn melding toevoegen? #

Ja. U kunt afbeeldingen, pdf’s, video- en audiobestanden van maximaal 100 MB per stuk uploaden. Identificerende metadata (locatiegegevens, auteursinformatie, cameradetails) worden vóór opslag verwijderd om uw identiteit te beschermen. In een pdf blijven de namen bij opmerkingen en de metadata van ingesloten foto’s behouden, dus upload foto’s als afzonderlijke afbeeldingsbestanden.

Kan ik anoniem met de zaakbehandelaar communiceren? #

Ja. De ingebouwde berichtenuitwisseling is volledig anoniem. U ziet “Zaakbehandelaar” — nooit een echte naam. De behandelaar ziet uw berichten, maar heeft geen enkele manier om u te identificeren, tenzij u ervoor kiest die informatie zelf te delen.

Wat gebeurt er nadat ik een melding heb ingediend? #

Uw melding wordt ontvangen door de aangewezen zaakbehandelaar van de organisatie. Volgens de EU-wetgeving moeten zij de ontvangst binnen 7 dagen bevestigen en binnen 3 maanden inhoudelijke terugkoppeling geven. U kunt de status op elk moment controleren met uw zaak-ID en wachtwoord.

Voor IT- en technische teams #

Welke versleuteling gebruiken jullie? #

Meldingstekst, identiteitsvelden van de melder en zaakberichten worden in rust versleuteld in de database. Alle verbindingen gebruiken TLS (HTTPS). Bestandsuploads, spraakopnamen en gegevensexports worden opgeslagen op in de EU gehoste infrastructuur (Hetzner, Duitsland) en in rust versleuteld met AES-256, met een afzonderlijke sleutel voor elk bestand; zie beveiliging.

Verwijderen jullie bestandsmetadata? #

Ja. Geüploade afbeeldingen worden server-side opgeschoond vóór opslag. Pdf-, video- en audio-uploads worden in de standaard productieopstelling die op de beveiligingspagina wordt beschreven eveneens verwerkt om metadata te verwijderen. Twee dingen in een pdf worden niet verwijderd: de namen bij opmerkingen en de metadata van foto’s die erin zijn ingesloten. Upload foto’s als afzonderlijke afbeeldingsbestanden om ze te laten opschonen. Dit verkleint het risico op onbedoelde bekendmaking van identiteit via bestandseigenschappen.

Scannen jullie geüploade bestanden op virussen? #

Ja. Alle geüploade bestanden worden gescand op malware met ClamAV, een opensource-antivirusengine. Het scannen gebeurt server-side — er worden geen bestandsgegevens naar externe diensten verzonden. Geïnfecteerde bestanden worden automatisch verwijderd voordat zaakbehandelaars er toegang toe kunnen krijgen.

Loggen jullie IP-adressen? #

Niet van melders. De applicatie slaat het IP-adres van een melder niet op bij meldingen, berichten of auditvermeldingen, en de logs voor het meldkanaal bevatten geen IP-adressen. Snelheidsbeperking gebruikt een gesleutelde hash die alleen gedurende het venster van de snelheidsbeperking wordt bewaard. De TLS-proxy vóór de applicatie houdt eigen verbindingslogs bij, die IP-adressen en verzoekpaden bevatten. Het pad van de pagina waarop een melder de melding bekijkt, bevat het zaak-ID. Zie beveiliging voor de precieze formulering.

Welke diensten van derden gebruiken jullie? #

Er worden geen advertentienetwerken of trackingcookies van derden gebruikt op het meldkanaal zelf.

Hebben jullie een API? #

De metadata-API en uitgaande webhooks zijn beschikbaar voor elke organisatie. Ze geven de status van meldingen en deadlines weer, nooit de inhoud, berichten, notities of bijlagen. Optionele toegang voor instellingen stelt bevoegde tokens in staat organisaties aan te maken en beheerders om meldkanalen te configureren. Zie de documentatie voor ontwikkelaars.

Ondersteunen jullie aangepaste domeinen? #

Momenteel niet beschikbaar. Alle meldkanalen worden geleverd onder het EthicsPortal-domein.

Ondersteunen jullie SSO? #

Ja. EthicsPortal ondersteunt SAML 2.0 eenmalige aanmelding, per organisatie te configureren. Koppel uw identity provider — Okta, Microsoft Entra ID of elke SAML 2.0-provider — en uw team meldt zich daarmee aan. U kunt SSO verplicht stellen voor uw e-maildomeinen en leden automatisch provisioneren bij de eerste aanmelding. Aanmelden via magic link (wachtwoordloze e-mailauthenticatie) blijft beschikbaar wanneer SSO niet wordt afgedwongen. Combineer SSO met SCIM 2.0-provisioning om accounts synchroon te houden met uw directory.

Facturering #

Hoeveel kost EthicsPortal? #

€ 60/maand of € 500/jaar, vast. Eén abonnement, alles inbegrepen. Geen kosten per gebruiker, geen kosten per melding, geen functieniveaus.

Hoe werkt het abonnement? #

EthicsPortal is een betaalde nalevingsdienst: € 60/maand of € 500/jaar, zonder gratis proefperiode. Activeer uw meldkanaal vanuit de applicatie, stel het in en start het gebruik zodra het abonnement actief is.

Kunnen we het abonnement opzeggen? #

Ja. Abonnementen kunnen worden opgezegd via de accountinstellingen. Er zijn geen opzegkosten.

Welke betaalmethoden accepteren jullie? #

Credit- en betaalkaarten via Stripe. Als u per factuur of bankoverschrijving wilt betalen, mail dan support@ethicsportal.eu.

Nog een vraag? #

Mail support@ethicsportal.eu. U hoort binnen één werkdag van ons.

Laatst bijgewerkt: