Service Level Agreement

1. Doel en scope

Deze Service Level Agreement beschrijft de serviceniveaus die Opdrachtgever van het Codi-platform mag verwachten. De afspraken gelden voor de productieomgeving van Codi en vormen een aanvulling op de Gebruikersvoorwaarden, de Algemene Voorwaarden en de Overeenkomst tussen Platform Codi B.V. en Opdrachtgever.

De termijnen in deze SLA zijn toezeggingen van Platform Codi. Legt de Overeenkomst voor een Opdrachtgever andere of aanvullende serviceniveaus vast, dan gaan die voor. Deze tekst is de standaardversie: per Opdrachtgever wordt de SLA ondertekend, en is dat niet gebeurd, dan geldt deze versie.

2. Reactietijden bij incidenten

Bij een melding bepalen Partijen samen de prioriteit. Per prioriteit geldt de onderstaande reactietijd. Dat is de termijn waarbinnen Platform Codi de melding beoordeelt, classificeert en belegt: er is een eigenaar en het is duidelijk wat er gebeurt. Het is niet de termijn waarbinnen het incident is opgelost; hoe lang oplossen duurt hangt af van de aard van het incident en wordt per geval bepaald.

3. Wanneer Platform Codi informeert

Hieronder staat wanneer Platform Codi contact opneemt met de contactpersonen van Opdrachtgever. De meldplicht bij een datalek vloeit daarnaast rechtstreeks voort uit de AVG.

De melding bevat minimaal de aard van het incident, de mogelijk getroffen gegevens, de gevolgen en de genomen maatregelen. Bij een datalek beoordeelt Platform Codi daarnaast of melding aan de Autoriteit Persoonsgegevens verplicht is; de wettelijke termijn van 72 uur uit artikel 33 AVG gaat lopen vanaf het moment dat Platform Codi kennis neemt van het lek. Is Opdrachtgever verwerkingsverantwoordelijke, dan ligt die melding bij Opdrachtgever en levert Platform Codi alle informatie die daarvoor nodig is. De uitgebreide meldingsinhoud staat in artikel 9 van de Verwerkersovereenkomst.

4. Beschikbaarheid

Codi draait op Europese cloudinfrastructuur (Scaleway, datacentrum Amsterdam) in een Kubernetes-omgeving, met gescheiden staging- en productieomgevingen. De endpoints van Codi worden doorlopend geautomatiseerd gemonitord. Zodra een systeem uitvalt of een probleem vertoont, krijgt het productteam direct een alert en start de reactietermijn voor een P1- of P2-incident automatisch; daar hoeft geen klantmelding aan vooraf te gaan.

5. Gepland onderhoud

Gepland onderhoud voert Platform Codi zoveel mogelijk buiten kantooruren uit, in de avonden of weekenden, om de impact op gebruikers te beperken. Onderhoud wordt minimaal 48 uur van tevoren aangekondigd, per e-mail bij de contactpersonen van Opdrachtgever. Onderhoud dat noodzakelijk is om een acuut beveiligingsrisico weg te nemen kan eerder worden uitgevoerd; Platform Codi informeert Opdrachtgever daar dan zo snel mogelijk over.

6. Support

Support is bereikbaar op werkdagen van 9:00 tot 17:00 uur, in het Nederlands, via e-mail, telefonisch of bij de vaste contactpersoon. Beveiligingsincidenten en vermoedens van een datalek kunnen daarnaast altijd worden gemeld via ciso@platformcodi.nl; die kanalen worden ook buiten kantooruren gevolgd. Dat is een inspanning, geen toegezegde reactietermijn.

De supportbereikbaarheid (9:00 tot 17:00 uur) is bewust smaller dan de werktijden waarop de reactietermijnen uit §2 lopen: die lopen op werkdagen van 8:30 tot 17:00 uur.

7. Back-up en herstel

Platform Codi maakt dagelijks een volledige back-up van de productiedatabases en de zoekindex. Back-ups worden 365 dagen bewaard. Zij worden vóór verzending versleuteld en geografisch gescheiden binnen de EER bewaard; van de offsite-kopie geldt daarnaast een archief van 35 dagen voor verwijderde of overschreven bestanden.

Bij een calamiteit hanteert Platform Codi een maximaal gegevensverlies van 24 uur (RPO) en herstel binnen 24 uur (RTO). Platform Codi test het herstelproces jaarlijks en volgt de verbeterpunten daaruit op.

8. Beveiliging

Informatiebeveiliging is bij Codi structureel geborgd via het managementsysteem voor informatiebeveiliging. Platform Codi valt onder het ISO/IEC 27001:2022-certificaat van JoinSeven Groep B.V., afgegeven door Brand Compliance en geldig tot en met 21-09-2029, en houdt rekening met de BIO2. Het certificaat en de Verklaring van Toepasselijkheid zijn op verzoek beschikbaar. Tot de maatregelen horen versleuteling van al het dataverkeer en van opgeslagen documenten en back-ups, rolgebaseerde toegangscontrole, logging en monitoring, en geautomatiseerde beveiligingsscans op elke codewijziging. Wat precies wordt verwerkt en beveiligd staat in het Privacy Statement en in bijlage 2 van de Verwerkersovereenkomst.

9. Rapportage

Over storingen en gepland onderhoud informeert Platform Codi de contactpersonen van Opdrachtgever per e-mail. Een rapportage over incidenten, beschikbaarheid en opgevolgde verbeterpunten levert Platform Codi op verzoek, en desgewenst periodiek als onderdeel van het accountoverleg.

10. Verantwoordelijkheden

Platform Codi onderhoudt en beveiligt het platform, monitort de beschikbaarheid doorlopend, voert onderhoud en updates uit, biedt support binnen de openingstijden, maakt dagelijks back-ups, toetst het herstelproces periodiek en pakt incidenten op volgens de prioriteiten en reactietijden uit deze SLA.

Opdrachtgever gebruikt Codi zorgvuldig en conform de Gebruikersvoorwaarden, beheert de eigen gebruikers en toegangsrechten, meldt incidenten tijdig via de juiste kanalen en wijst vaste contactpersonen aan.

11. Aansluiting op GIBIT en ARBIT

Overheidsorganisaties toetsen IT-leveranciers doorgaans aan een vaste set inkoopvoorwaarden: gemeenten, provincies en waterschappen aan de GIBIT (Gemeentelijke Inkoopvoorwaarden bij IT), het Rijk aan de ARBIT (Algemene Rijksinkoopvoorwaarden bij IT-overeenkomsten). Beide komen bij Platform Codi regelmatig langs.

Deze SLA sluit op beide aan waar het gaat om incidentclassificatie, reactietermijnen, de meldplicht bij beveiligingsincidenten en datalekken, back-up en herstel, en het tijdig informeren bij wijzigingen.

Twee punten wijken af en worden vooraf benoemd: Platform Codi legt op dit moment geen beschikbaarheidsnorm en geen boeteregeling vast, en de support kent geen 24/7-bereikbaarheid. Vraagt een organisatie die wel uit, of gelden er aanvullende voorwaarden vanuit een eigen inkoopkader, dan wordt per Overeenkomst besproken wat haalbaar is.

12. Wijzigingen en evaluatie

Platform Codi kan deze SLA van tijd tot tijd aanpassen. Daarvoor gelden drie waarborgen: een wijziging wordt vooraf en tijdig aangekondigd bij de contactpersonen van Opdrachtgever; een eenzijdige wijziging mag geen significante negatieve impact hebben op de dienstverlening aan Opdrachtgever; en is Opdrachtgever het niet eens met een eenzijdige wijziging, dan mag de Overeenkomst vroegtijdig en zonder kosten worden beëindigd.

Daarnaast evalueert Platform Codi de afspraken periodiek, in beginsel jaarlijks, en stelt zij ze bij waar dat de dienstverlening verbetert.