Privacy bij EV First backups

Dit beleid geldt uitsluitend voor de interne Google Drive-koppeling EV First backups. De algemene verwerking op de EV First-website staat in de afzonderlijke privacyverklaring.

Verantwoordelijke en contact

EV First is verantwoordelijk voor deze interne back-upkoppeling en gebruikt daarvoor de zichtbare appnaam EV First backups. EV First bepaalt het doel en beheert de autorisatie. Voor vragen, inzage of een verzoek over de koppeling kun je mailen naar info@evfirst.nl.

Google Drive-toegang

De gevraagde scope is uitsluitend https://www.googleapis.com/auth/drive.file. Daarmee kan de koppeling bestanden en mappen aanmaken, bekijken, wijzigen en verwijderen die zij zelf heeft gemaakt of die uitdrukkelijk met de app zijn geopend. De koppeling vraagt geen algemene toegang tot andere Google-diensten of tot niet voor deze app gebruikte Drive-inhoud.

Welke gegevens worden gebruikt

• client-side versleutelde database- en bestandsback-upobjecten;
• technische Drive-metadata, waaronder namen, identifiers, grootte en tijdstippen;
• OAuth-autorisatiegegevens die nodig zijn om toegang te vernieuwen;
• beperkte status- en foutinformatie voor controle van uploads, retentie en herstel.

Back-upbestandsnamen worden technisch gehouden en bevatten geen bewust gekozen klantnaam, e-mailadres of kenteken. Statuslogs horen geen wachtwoorden, tokens of inhoud van de back-up te bevatten.

Doel en gebruik

De gegevens worden alleen gebruikt om versleutelde offsite herstelpunten aan te maken, hun integriteit en ouderdom te controleren, het retentiebeleid uit te voeren en gegevens bij een incident gecontroleerd te herstellen. EV First gebruikt Google Drive-gegevens niet voor advertenties, profilering, verkoop of het trainen van algemene AI-modellen.

Opslag en beveiliging

Bij ingebruikname versleutelt restic de back-upinhoud op de EV First-server vóór overdracht. Google bewaart daardoor versleutelde objecten en de bijbehorende technische Drive-metadata. Het OAuth-token en het restic-wachtwoord worden buiten Git en buiten openbare documentatie in afgeschermde configuratie bewaard. Claims over een werkende encryptie, retentie of restore gelden pas nadat de bijbehorende operationele test is geslaagd.

Delen

Google ontvangt de versleutelde objecten en technische metadata als opslag- en OAuth-provider. Alleen bevoegde EV First-beheerders gebruiken de koppeling voor back-up, controle en herstel. EV First verkoopt deze gegevens niet en deelt ze niet voor reclame. Delen kan verder alleen nodig zijn om aan een wettelijke verplichting te voldoen of een beveiligingsincident af te handelen.

Bewaren en verwijderen

Bij ingebruikname is het beoogde retentiebeleid zeven dagelijkse, vier wekelijkse en drie maandelijkse herstelpunten. Een uit de bronomgeving verwijderd gegeven kan daardoor nog in een versleuteld herstelpunt staan totdat dat herstelpunt volgens het beleid vervalt. Bij een restore moeten geldige verwijderingen opnieuw worden toegepast.

Google-toegang intrekken stopt toekomstige API-toegang, maar verwijdert niet automatisch bestaande Drive-bestanden, lokale back-ups of andere bewaarde kopieën. Lees daarom de afzonderlijke intrekkings- en verwijderstappen.

Wijzigingen

Dit beleid wordt bijgewerkt wanneer de scope, opslagprovider, gegevenscategorieën, retentie, verwijdering of herstelwerkwijze verandert. Een vervanging van Google Drive door bijvoorbeeld SFTP wordt hier verwerkt voordat die nieuwe gegevensstroom actief wordt.