1. Toestemming en veilige testvoorbereiding
Onderzoek start alleen nadat bevoegdheid of toestemming is bevestigd en het exacte domein, de omgevingen, toegang, veilige testvensters en grenzen met systemen van derden schriftelijk zijn vastgelegd. Deze afspraken beschermen de bedrijfswerking en bepalen waarop het certificaat betrekking heeft; ze verlagen het vaste controlekader niet.
2. Vast controlekader en resultaat
Iedere website-audit omvat de volledige securityaudit en websitegebonden AVG/GDPR-privacyaudit volgens de geldende kaderversie. Iedere controle krijgt een uitkomst; alleen aantoonbaar afwezige functies worden gemotiveerd als niet van toepassing geregistreerd. Het certificaat bevestigt de laatste geslaagde hertest voor het vermelde domein en de gepubliceerde geldigheidsperiode.
3. Wijzigingen en herstel
De opdracht bepaalt welk herstel Charter Nine uitvoert en tegen welke prijs. Aanvullend werk vereist een afzonderlijke afspraak. Een audit of herstelopdracht geeft geen automatisch recht op C9 Verified; alle toepasselijke certificatiecriteria moeten aantoonbaar zijn voldaan.
Per bevinding leggen we vast wie het herstel uitvoert en wanneer het klaar moet zijn. Wanneer uw ontwikkelaar of leverancier het herstel uitvoert, blijft onze technische hertest nodig voor certificering. Aanvullend werk en extra hertesten worden vooraf geprijsd en afgesproken.
Herstelwerk wordt afgebakend, getest en waar mogelijk terugrolbaar uitgevoerd. De klant blijft verantwoordelijk voor geldige back-ups, beslissingen over bedrijfswerking en toegang tot systemen, tenzij schriftelijk anders overeengekomen.
4. Gebruiksrecht en geldigheidsperiode
C9 Verified is de eigen certificering van Charter Nine. Ze bevestigt het onderzoek op het vermelde moment en binnen het vastgelegde controlebereik. Ze garandeert geen toekomstige veiligheid of algemene wettelijke conformiteit en is geen overheids-, EU-, ISO- of OWASP-certificering.
De badge blijft eigendom van Charter Nine. De klant krijgt het gebruiksrecht voor het vermelde domein zolang het publieke certificaat geldig is en de plaatsingsregels worden gevolgd.
5. Hercontrole en nieuwe bevindingen
Het certificaat is één jaar geldig. De eigenaar krijgt één herinnering elf kalendermaanden na het begin van de certificaatperiode. Een nieuwe hercontrole begint alleen na een nieuwe opdracht. Meld relevante wijzigingen, nieuwe kwetsbaarheden en incidenten zodra ze bekend zijn via het afgesproken contactkanaal. C9 Verified omvat geen continue monitoring.
Bij een nieuwe niet-kritieke bevinding registreren we ‘Herstel vereist’. Herstel én een geslaagde hertest moeten plaatsvinden binnen de vermelde termijn: maximaal 30 kalenderdagen vanaf registratie en nooit later dan de vervaldatum. Tijdens deze status wordt de gehoste badge niet getoond. Zonder tijdige succesvolle hertest wordt het certificaat geschorst, of verlopen wanneer de geldigheidsperiode eindigt. Kritieke of andere badgeblokkerende situaties leiden tot onmiddellijke schorsing.
6. Actuele status en beëindiging
Het register toont de actuele geregistreerde status. Naast de termijnen hierboven kunnen misleidend badgegebruik, beëindigde medewerking of een materiële wijziging tot schorsing, intrekking of verval leiden. Na beëindiging wordt de badge verwijderd.
7. Vertrouwelijkheid en gegevens
Beide partijen behandelen niet-openbare technische informatie zorgvuldig. Geheimen worden uitsluitend via de afgeschermde klantomgeving gedeeld, niet via het gewone contactformulier. Persoonsgegevens worden volgens de toepasselijke privacyafspraken verwerkt.
8. Opdrachtsafspraken
Externe diensten worden beoordeeld voor zover hun gebruik en koppeling onderdeel zijn van de onderzochte website; hun volledige infrastructuur wordt daarmee niet gecertificeerd. Ontbrekende toegang voor een verplichte controle blijft een beperking en blokkeert uitgifte.
Het ondertekende voorstel kan prijs, planning, toegang, testvensters en herstelwerk vastleggen. Het kan het vaste controlekader of de certificatiecriteria niet beperken. De schriftelijke overeenkomst bevat de toepasselijke voorwaarden en, waar nodig, de verwerkersafspraken. Deze publieke samenvatting vervangt die opdrachtsafspraken niet.