Privacy

Easy2audit leest instellingen van je Microsoft 365- en Entra ID-omgeving, alleen-lezen. Elke aanroep die iets zou wijzigen wordt in onze code geblokkeerd voordat hij het netwerk bereikt. Wij hebben geen client secret van je organisatie. Toegangsbewijzen bewaren wij uitsluitend versleuteld in onze tokencache — niet in logboeken en niet in bestanden. Er is geen telemetrie.

Easy2audit Cloud wijzigt niets in je omgeving; de meting leest alleen. Wil je instellingen vanuit Easy2audit laten zetten, dan geef je daarvoor apart toestemming aan onze hardening-app. Ook dan verandert alleen wat een beheerder per instelling goedkeurt, en bewaren we de oude waarde zodat je elke wijziging kunt terugzetten.

De meting loopt pas nadat de Globale beheerder van je organisatie eenmalig toestemming heeft gegeven; daarna meet het dossier elke week vanzelf. In een proefdossier meet je ook zelf, met de knop Meet mijn omgeving. Zonder toestemming wordt er niets gelezen.

Aanmelden maakt geen dossier aan. Dit is wat er is zolang je alleen bent aangemeld:

• een sessiecookie in je browser, zodat je aangemeld blijft;
• een rij in onze tokencache voor je aanmelding bij Microsoft, versleuteld opgeslagen;
• een logregel met het id van je organisatie — geen naam, geen e-mailadres, geen uitkomst.

Daarom staat hier niet "wij slaan niets op": dit staat er wel. Wat er niet is, is een dossier over je organisatie — dat begint pas als je het zelf start.

De klik op Start mijn proefdossier is het moment waarop wij iets over je organisatie vastleggen. Vanaf dan bewaren wij:

• de naam en het domein van je organisatie, en dat het een proefdossier is;
• van ieder die zich aanmeldt: naam, aanmeldnaam en wanneer die hier voor het laatst was;
• je antwoorden in het beleid, met de eerdere versies, zodat het dossier kan laten zien wat er stond toen je iets vaststelde;
• de documenten die je uploadt, en wie ze uploadde;
• de uitkomst van elke meting: per control het oordeel en de bevinding;
• een gebeurtenissenlijst: wie wat wanneer deed in dit dossier.

Kwam je hier via een link van een campagne of van een partner, dan onthoudt een herkomstcookie in je browser die herkomst (de campagne of de partnercode, niets over jou) tot je op Start mijn proefdossier klikt, en hoogstens 30 dagen na je laatste bezoek via zo’n link.

Start je het proefdossier, dan sturen wij de naam en het domein van je organisatie, die herkomst en het tijdstip naar ons verkoopsysteem. Het doel: weten via welke campagne of partner je kwam, en je geen algemene verkoopberichten meer sturen nu je het dossier zelf gebruikt. Er gaat geen naam, e-mailadres of ander gegeven van een persoon mee. Kwam je via de link van een partner, dan vraagt die partner om een koppeling met je dossier; tot je beheerder die goedkeurt, ziet die partner alleen de naam van je organisatie en dat er een aanvraag openstaat, niets uit je dossier. Goedkeuren doet je beheerder in Beheer, blok Partners.

Verwijder je het proefdossier, dan staan die gegevens nog in ons verkoopsysteem. Vraag het ons via support@easy2audit.com, dan halen wij ze daar ook weg.

Meet het dossier je Microsoft 365 automatisch, dan bewaart het ook de Entra ID-inventaris: van gebruikers en beheerders de naam, de aanmeldnaam, de rollen en of MFA is ingesteld, en welke apps beheerderstoestemming hebben. Dat is het bewijs onder de controls over beheerders, gasten en MFA, zodat je en je auditor zien wie het zijn en wat er sinds de vorige meting veranderde.

Wij bewaren de inventaris zolang je abonnement loopt en 90 dagen daarna; dan verwijderen wij hem vanzelf. Wachtwoorden, tokens en aanmeldlogboeken bewaren wij niet. Stand van 23 september 2026.

Dit geldt alleen als je Azure als dienst aanmeldt, in Beheer, blok Diensten. Je Azure-beheerder kent dan de enterprise application Easy2audit de rollen Reader en Key Vault Reader toe. Daarmee lezen wij de configuratie van je abonnementen: netwerk, opslag, Key Vault, logging, Defender for Cloud en rollen. Van sleutels, geheimen en certificaten lezen wij alleen de metadata, nooit de inhoud.

De uitkomst staat in je dossier, net als die van Microsoft 365: in Microsoft Azure binnen de EU, alleen voor je organisatie. Je zet Azure uit in Beheer, blok Diensten. Verwijdert je Azure-beheerder de twee roltoewijzingen, dan ziet Easy2audit niets meer van je Azure-omgeving.

Voor een aantal controls laat het dossier zien of het aanzetten van de aanbevolen instelling iemand zou raken. Daarvoor leest de meting elke dag, met dezelfde leesrechten als de rest van de meting, uit je Microsoft 365 en Azure: aanmeldingen (alleen met Entra ID P1) en de auditlogboeken van Entra ID; de gebruiksrapporten van Microsoft 365; welke aanmeldmethoden elke gebruiker heeft ingesteld; de instellingen, doorstuur- en inboxregels van mailboxen en de transportregels van Exchange; van mail van afzenders die je antispambeleid doorlaat de berichtgegevens zoals het afzenderadres, nooit de inhoud; en voor Azure hoe je opslagaccounts worden gebruikt en wie welke handeling in het activiteitenlogboek deed. Er komt niets bij in je omgeving en er verandert niets.

Logboeken bewaren wij niet. Wij bewaren per waarneming een telling over de periode die gelezen is, meestal een dag en de eerste keer tot 180 dagen terug, met per soort hoogstens vijf accounts (aanmeldnaam), apps, IP-adressen, protocollen of resources die het gebruikten, zodat je weet wie je moet vragen voordat je de instelling aanzet. Dat bewaren wij even lang als de meetbestanden van je dossier, standaard 90 dagen, en het verdwijnt met je dossier. Stand van 10 oktober 2026.

Werk je met een partner, zoals je IT-dienstverlener of je auditor, dan leest die je dossier volledig: beleid, documenten en metingen. Een partner schrijft er niets in.

Je ziet en beheert de koppeling in Beheer, blok Partners. Een Partner (auditor) heeft altijd een einddatum; daarna ziet die niets meer van je dossier.

In Beheer staat het blok Proefdossier verwijderen. Je typt de naam van je organisatie over, en daarna is alles uit de lijst hierboven weg: antwoorden, documenten, metingen, uitnodigingen, de accounts van ieder die hier alleen door dit dossier bekend was, en de organisatie zelf. Je wordt afgemeld.

Wat er daarna nog is, en hoe lang:

• één regel in onze gebeurtenissenlijst: het tijdstip, het id van je organisatie en dat er verwijderd is. Geen namen, geen e-mailadressen.
• de bestanden zijn uit onze opslag, en binnen 7 dagen ook uit de herstelkopie van die opslag;
• de gegevens zitten nog hoogstens 7 dagen in de automatische back-up van de database en vervallen dan vanzelf;
• logregels met alleen het id van je organisatie vervallen na 30 dagen.

Verwijderen is onomkeerbaar: wij zetten een verwijderd proefdossier niet terug, ook niet uit die back-up.

Meldt 90 dagen niemand van je organisatie zich meer aan, en heeft geen Globale beheerder toestemming voor de volledige meting gegeven, dan verwijderen wij het proefdossier zelf — langs precies dezelfde weg. Eén aanmelding zet die klok weer op nul.

Bij het aanmelden vraagt Microsoft om twee dingen:

• Sign you in and read your profile: je naam, aanmeldnaam en de organisatie waartoe je behoort.
• Maintain access to data you have given it access to: dit klinkt permanenter dan het is. Het betekent dat de aanmelding tijdens je sessie vernieuwd mag worden; het geeft geen toegang tot iets extra’s.

Bij je eerste aanmelding zet Microsoft Easy2audit als enterprise application in je eigen Entra ID. Die staat aan je kant, en wij kunnen hem niet voor jou weghalen:

• je eigen toestemming trek je in via myapps.microsoft.com;
• de enterprise application Easy2audit verwijdert een beheerder in je Entra ID, onder Enterprise applications.

Zolang die er staat kan iemand uit je organisatie zich opnieuw aanmelden — en dan begint het weer bij een lege pagina met de knop Start mijn proefdossier.

Vragen hierover, of wil je dat wij iets nakijken? Mail support@easy2audit.com.