Gegevensprivacy & AVG-naleving - Bijgewerkt

Overzicht

ISMS Copilot voldoet volledig aan de Algemene Verordening Gegevensbescherming (AVG/GDPR) en volgt strikte principes voor gegevensprivacy. Dit artikel legt uw privacyrechten uit, hoe we met uw gegevens omgaan en welke controle u heeft over uw informatie.

Voor wie is dit bedoeld

Dit artikel is voor:

• In de EU gevestigde gebruikers die zich bezighouden met AVG-naleving

• Functionarissen voor gegevensbescherming (FG's) die ISMS Copilot evalueren

• Compliance-consultants die klantgegevens verwerken onder de AVG

• Iedereen die zijn privacyrechten wil begrijpen

Overzicht AVG-naleving

Hoe ISMS Copilot voldoet aan de AVG-vereisten

Dataminimalisatie (Artikel 5(1)(c))

ISMS Copilot verzamelt alleen de minimale gegevens die nodig zijn om de dienst te verlenen:

• E-mailadres voor accountidentificatie, authenticatie en essentiële communicatie

• Authenticatiegegevens (gehashte wachtwoorden of OAuth-tokens)

• Gespreksgeschiedenis om contextbewuste AI-antwoorden te geven

• Geüploade documenten voor analyse en beoordeling van compliance-tekortkomingen

• Gebruiksmetadata voor facturering en serviceverbetering

• E-mailbetrokkenheidsgegevens (opens, clicks) voor onboarding en productupdate-e-mails (gebruikers kunnen zich afmelden)

Doelbinding (Artikel 5(1)(b))

Uw gegevens worden uitsluitend gebruikt voor:

• Het bieden van AI-gestuurde ondersteuning bij naleving

• Het beheren van uw account en abonnement

• Het verbeteren van serviceprestaties en betrouwbaarheid

• Het voldoen aan wettelijke verplichtingen

Opslagbeperking (Artikel 5(1)(e))

U heeft volledige controle over hoe lang uw gegevens worden bewaard:

• Stel bewaartermijnen in van 1 dag tot 7 jaar, of kies voor onbeperkt bewaren

• Automatische verwijdering van verlopen gegevens vindt dagelijks plaats

• Vraag op elk moment om onmiddellijke verwijdering van uw account en gegevens

Gegevensbescherming door ontwerp (Artikel 25)

Beveiliging en privacy zijn ingebouwd in elke functie van ISMS Copilot:

• End-to-end versleuteling voor alle gegevens

• Beveiliging op rij-niveau (Row-level security) voorkomt onbevoegde toegang

• Isolatie van werkruimtes houdt klantgegevens gescheiden

• Beveiligde authenticatie met OAuth-ondersteuning

Uw AVG-rechten

Recht op inzage (Artikel 15)

U heeft het recht op inzage in al uw persoonlijke gegevens die in ISMS Copilot zijn opgeslagen.

Waar u toegang tot heeft:

• Uw accountinformatie (e-mail, instellingen)

• Alle gespreksgeschiedenis over alle werkruimtes heen

• Geüploade documenten en bestanden

• Gebruiksmetadata en tijdstempels

Hoe u toegang krijgt tot uw gegevens:

1. Log in op uw ISMS Copilot-account

2. Navigeer naar uw werkruimtes om gesprekken te bekijken

3. Bekijk geüploade bestanden in elke gesprekslijn

4. Neem voor een volledige gegevensexport contact op met support via het Helpcenter

Recht op rectificatie (Artikel 16)

U kunt uw persoonlijke informatie op elk moment bijwerken of corrigeren.

Hoe u uw informatie kunt bijwerken:

1. Klik op het gebruikersmenu-icoon (rechtsboven)

2. Selecteer Settings

3. Uw e-mailadres wordt weergegeven (neem contact op met support om dit te wijzigen)

4. Werk uw voorkeuren voor gegevensbewaring bij

5. Klik op Save Settings

Verwacht resultaat: Het instellingenvenster sluit en uw wijzigingen worden onmiddellijk opgeslagen.

Recht op gegevenswissing / "Recht om vergeten te worden" (Artikel 17)

U kunt verzoeken om volledige verwijdering van uw account en alle bijbehorende gegevens.

Hoe u uw gegevens kunt verwijderen:

1. Klik op het gebruikersmenu-icoon

2. Selecteer Help Center → Contact Support

3. Dien een verzoek tot gegevensverwijdering in

4. Support zal uw identiteit verifiëren en het verzoek bevestigen

5. Alle gegevens worden binnen 30 dagen definitief verwijderd

Wat wordt verwijderd:

• Uw account en e-mailadres

• Alle werkruimtes en gespreksgeschiedenis

• Alle geüploade documenten en bestanden

• Aangepaste instructies voor de werkruimte

• Gebruiksmetadata en logs

Wat kan worden bewaard:

• Geanonimiseerde facturatiegegevens (vereist voor belasting- en boekhoudkundige naleving)

• Geanonimiseerde analytische gegevens (geen persoonlijk identificeerbare informatie)

Recht op overdraagbaarheid van gegevens (Artikel 20)

U heeft het recht om uw gegevens te ontvangen in een gestructureerd, gangbaar en machineleesbaar formaat.

Hoe u uw gegevens kunt exporteren:

1. Neem contact op met support via het Helpcenter

2. Vraag om een gegevensexport

3. Support levert uw gegevens in JSON-formaat met daarin:

   • Accountinformatie

   • Gespreksgeschiedenis

   • Werkruimteconfiguraties

   • Metadata van geüploade bestanden

4. Download het exportbestand voor gebruik in andere systemen

Recht op beperking van de verwerking (Artikel 18)

U kunt verzoeken om tijdelijke opschorting van de gegevensverwerking terwijl geschillen worden opgelost.

Wanneer u de verwerking kunt beperken:

• U betwist de juistheid van de persoonsgegevens

• De verwerking is ononrechtmatig, maar u wilt de gegevens niet laten verwijderen

• U heeft de gegevens nodig voor rechtsvorderingen

• U heeft bezwaar gemaakt tegen de verwerking in afwachting van verificatie

Hoe u om beperking kunt verzoeken:

1. Neem contact op met support via het Helpcenter

2. Leg de reden voor de beperking uit

3. Support zal dit beoordelen en de juiste beperkingen doorvoeren

Recht van bezwaar (Artikel 21)

U kunt bezwaar maken tegen bepaalde soorten gegevensverwerking.

Waar u bezwaar tegen kunt maken:

• Verwerking voor direct marketing (ISMS Copilot voert geen marketingverwerking uit)

• Verwerking op basis van gerechtvaardigde belangen

• Geautomatiseerde besluitvorming (wordt momenteel niet gebruikt door ISMS Copilot)

Hoe u bezwaar kunt maken:

1. Neem contact op met support via het Helpcenter

2. Geef aan tegen welke verwerking u bezwaar maakt

3. Support zal dit beoordelen en binnen 30 dagen reageren

Details over gegevensverwerking

Rechtsgrondslag voor verwerking

ISMS Copilot verwerkt uw gegevens op basis van de volgende rechtsgronden:

Uitvoering van de overeenkomst (Artikel 6(1)(b))

• Verwerking die nodig is om de AI-compliancedienst te verlenen

• Beheer van uw account en abonnement

• Levering van functies die u heeft aangevraagd

Gerechtvaardigd belang (Artikel 6(1)(f))

• Verbetering van serviceprestaties en betrouwbaarheid

• Detecteren en voorkomen van fraude of misbruik

• Waarborgen van systeembeveiliging

• Verzenden van productupdates en onboarding-begeleiding om de platformervaring te verbeteren

Wettelijke verplichting (Artikel 6(1)(c))

• Bewaren van facturatiegegevens voor belastingnaleving

• Beantwoorden van rechtmatige verzoeken van autoriteiten

Doorgifte van gegevens

Data-residentie in de EU

Alle databaseopslag van ISMS Copilot vindt uitsluitend plaats in de Europese Unie:

• Primaire opslag: AWS Frankfurt, Duitsland

• Databaseprovider: Supabase (EU-regio)

• Gespreksgeschiedenis: Opgeslagen in de EU, ongeacht de AI-provider

AI-verwerkingslocatie (Door de gebruiker beheerd)

De locatie van de AI-verwerking hangt af van uw instelling voor de Advanced Data Protection Mode:

• Advanced Data Protection UIT (Standaard): AI-verwerking vindt plaats in de Verenigde Staten via xAI/OpenAI met een bewaartermijn van 30 dagen

• Advanced Data Protection AAN: 100% verwerking in de EU via Mistral AI met nul bewaartermijn

Verwerkers van derden

De volgende diensten van derden hebben beperkte toegang tot gegevens:

AI-verwerkingsproviders (Configureerbaar door de gebruiker met automatische failover)

U kunt bepalen welke AI-provider uw gesprekken verwerkt via de instelling Advanced Data Protection Mode en de selectie van de AI-provider. ISMS Copilot bevat nu meerdere opties voor AI-modellen en automatische failover om de continuïteit van de dienstverlening te garanderen tijdens storingen bij een provider:

• Standaardmodus (Advanced Data Protection UIT): Anthropic Claude (chat), xAI Grok-3 (documentgeneratie) en OpenAI GPT (detectie) met Mistral failover

  • Locatie: Verenigde Staten (met EU-failover)

  • Bewaring: 30 dagen (tijdelijke verwerkingscache); nul bewaring tijdens Mistral-failover

  • Training: API-gegevens worden NIET gebruikt voor het trainen van AI-modellen

  • Gebruikssituatie: Standaard compliance-werk met verbeterde betrouwbaarheid

  • Automatische failover: Als OpenAI storingen ervaart, schakelen uw verzoeken automatisch over naar Mistral AI (gevestigd in de EU, nul bewaring) zonder onderbreking van de dienstverlening

• Advanced Data Protection Mode (AAN): Mistral AI

  • Locatie: Europese Unie

  • Bewaring: Nul (geen gegevensbewaring)

  • Training: WORDT NIET gebruikt voor het trainen van AI-modellen

  • Gebruikssituatie: Maximale privacy, EU-vereisten voor datasoevereiniteit

Andere diensten van derden

• Stripe (Betalingsverwerking): Alleen betalings- en factuurinformatie. AVG-conform met een EU-verwerkersovereenkomst.

• PostHog (Analytics): Alleen geanonimiseerde gebruiksgegevens. Gehost in de EU. Geen persoonlijke gesprekken of documenten gedeeld.

• Sentry (Error Monitoring): Foutlogs, stack traces en gebruikers-ID's (alleen UUID in productie) voor probleemoplossing. Gevestigd in Duitsland. E-mailadressen, gespreksinhoud en andere persoonlijke gegevens worden gefilterd voor verzending.

• E-mailcommunicatie: SendGrid en Kit verzorgen transactionele e-mails, juridische updates en onboarding-reeksen. Gevestigd in de VS met Standard Contractual Clauses. Gebruikers kunnen zich afmelden voor niet-essentiële e-mails.

Advanced Data Protection Mode

ISMS Copilot geeft u controle over waar uw AI-gesprekken worden verwerkt en hoe lang AI-providers uw gegevens bewaren.

Twee verwerkingsopties:

1. Standaardmodus (Advanced Data Protection UIT): xAI/OpenAI verwerken gesprekken in de VS met een bewaartermijn van 30 dagen

2. EU-Only modus (Advanced Data Protection AAN): Mistral AI verwerkt gesprekken in de EU met nul bewaartermijn

Wanneer Advanced Data Protection inschakelen:

• Uw organisatie heeft verplichte EU-vereisten voor data-residentie

• U werkt met zeer gevoelige klantgegevens

• AVG-naleving vereist het minimaliseren van gegevensoverdrachten buiten de EU

• Klantcontracten verbieden gegevensverwerking in de VS

• U wilt maximale privacy met nul gegevensbewaring door de AI-provider

Belangrijk onderscheid:

Advanced Data Protection regelt de bewaring door de AI-provider (30 dagen versus nul). De bewaartermijn van uw ISMS Copilot-gespreksgeschiedenis wordt afzonderlijk beheerd via uw gebruikersinstellingen (1 dag tot 7 jaar). Beide bewaarinstellingen werken onafhankelijk van elkaar.

Internationale gegevensoverdracht

De aanpak van ISMS Copilot voor internationale gegevensoverdracht hangt af van uw configuratie:

Kerngegevensverwerking

• Databaseopslag: Altijd in de EU (Frankfurt, Duitsland)

• AI-verwerking: EU of VS, afhankelijk van de instelling voor Advanced Data Protection Mode

• Analytics: Alleen EU-endpoints (PostHog EU, Sentry Duitsland)

• Bestandsconversie: EU-endpoint (ConvertAPI)

E-mailcommunicatie (gevestigd in de VS met waarborgen)

E-mailadressen en betrokkenheidsgegevens worden overgedragen naar in de VS gevestigde e-mailproviders (SendGrid en Kit) voor transactionele e-mails, juridische updates en onboarding-reeksen. Deze overdrachten worden beschermd door Standard Contractual Clauses die zijn goedgekeurd door de Europese Commissie.

Voor organisaties met strikte EU-only eisen voor data-residentie, moet u:

• De Advanced Data Protection Mode inschakelen om AI-verwerking in de EU te houden (elimineert TIA-vereisten voor AI)

• U afmelden voor marketing/product-e-mails om overdrachten naar de VS te minimaliseren

• De resterende overdrachten voor e-mailcommunicatie documenteren in uw verwerkingsregister

• Onze Transfer Impact Assessment doornemen om de waarborgen bij overdracht te begrijpen

Bewaartermijnen voor gegevens

Actieve gegevens

• Gespreksgeschiedenis: Gebaseerd op uw door de gebruiker gedefinieerde bewaartermijn (1 dag tot 7 jaar, of onbeperkt)

• Geüploade documenten: Zelfde als gespreksgeschiedenis

• Accountinformatie: Bewaard zolang het account actief is

Na accountverwijdering

• Persoonsgegevens: Verwijderd binnen 30 dagen

• Geanonimiseerde facturatiegegevens: 7 jaar (wettelijke vereiste voor belastingnaleving)

• Back-upgegevens: Overschreven binnen 90 dagen

Privacy-by-Design functies

PII-reductiemodus

ISMS Copilot biedt automatische PII-reductie (persoonlijk identificeerbare informatie) om gevoelige persoonsgegevens te beschermen voordat ze de AI-verwerking bereiken. Indien ingeschakeld, detecteert en anonimiseert het systeem veelvoorkomende PII-patronen in uw berichten en geüploade documenten.

Wat wordt geanonimiseerd:

• Persoonsnamen (bijv. "Jan Janssen" → "[REDACTED_NAME]")

• Bedrijfs- en organisatienamen

• E-mailadressen (bijv. "[email protected]" → "[REDACTED_EMAIL]")

• Telefoonnummers in diverse formaten

Hoe PII-reductie in te schakelen:

1. Navigeer naar Settings → Privacy of Data Protection

2. Zet de schakelaar "Enable PII Reduction" aan

3. Bekijk de bevestigingspop-up waarin de beperkingen op basis van patronen worden uitgelegd

4. Zoek naar het groene schild-icoon in uw chat invoer om de activering te bevestigen

Wanneer PII-reductie actief is, ziet u een groen schild-icoon in het chat-veld als visuele bevestiging dat de anonimisering werkt.

Belangrijke beperkingen:

• Detectie op basis van patronen: PII-reductie maakt gebruik van regex-patronen en vangt mogelijk niet alle gevoelige informatie op

• Niet 100% nauwkeurig: Sommige PII kan erdoorheen glippen; sommige legitieme tekst kan onterecht geanonimiseerd worden

• Geen vervanging voor dataminimalisatie: Controleer gegevens altijd voor het uploaden en vermijd het opnemen van onnodige PII

• Van toepassing voor AI-verwerking: Anonimisering gebeurt voordat de gegevens de AI-providers bereiken

PII-reductie is een verbetering van de privacy, geen garantie voor volledige anonimisering. Verifieer outputs altijd aan de hand van officiële standaarden en vermijd het uploaden van onnodige persoonsgegevens. Deze functie werkt het beste als een extra beschermingslaag naast praktijken voor dataminimalisatie.

Gebruikssituaties:

• Verwerking van auditrapporten van klanten met namen van medewerkers

• Analyse van compliance-verklaringen met contactinformatie

• Werken met HR-beleid of incidentrapporten

• Toevoegen van extra privacybescherming bij gebruik van de Advanced Data Protection Mode

Combineren met Advanced Data Protection:

Voor maximale privacy schakelt u beide functies in:

• PII-reductie: Anonimiseert persoonsgegevens voor de AI-verwerking

• Advanced Data Protection Mode: Garandeert uitsluitend EU-verwerking met nul bewaring door de AI-provider

Samen bieden deze functies sterke privacywaarborgen voor gevoelig compliance-werk.

Isolatie van werkruimtes

Werkruimtes zorgen voor scheiding van gegevens in scenario's met meerdere klanten:

• Elke werkruimte behoudt zijn eigen gespreksgeschiedenis

• Geüploade bestanden zijn gekoppeld aan specifieke werkruimtes

• Aangepaste instructies zijn werkruimte-specifiek

• Het verwijderen van een werkruimte verwijdert alle bijbehorende gegevens

Geen gegevensdeling tussen gebruikers

ISMS Copilot hanteert strikte gegevensgrenzen:

• Gebruikers hebben geen toegang tot de gegevens van andere gebruikers

• AI-antwoorden worden onafhankelijk voor elke gebruiker gegenereerd

• Databasequery's filteren automatisch op geauthenticeerd gebruikers-ID

• Zelfs systeembeheerders volgen het principe van de minste privileges

Geen AI-training op gebruikersgegevens

Uw gevoelige compliance-gegevens worden nooit gebruikt voor AI-training:

• Gesprekken worden niet opgeslagen door OpenAI of andere AI-providers

• Geüploade documenten blijven vertrouwelijk en privé

• Klantinformatie draagt nooit bij aan modelverbetering

• Elk gesprek wordt afzonderlijk verwerkt

Verzoeken van betrokkenen

Hoe u een AVG-verzoek kunt indienen

1. Klik op het gebruikersmenu-icoon (rechtsboven)

2. Selecteer Help Center → Contact Support

3. Beschrijf uw verzoek duidelijk:

   • "Ik verzoek om inzage in al mijn persoonsgegevens onder AVG Artikel 15"

   • "Ik verzoek om verwijdering van mijn account onder AVG Artikel 17"

   • "Ik verzoek om een gegevensexport onder AVG Artikel 20"

4. Support verifieert uw identiteit en verwerkt het verzoek

Termijnen voor reactie

ISMS Copilot reageert op AVG-verzoeken volgens de wettelijke termijnen:

• Bevestiging: Binnen 24-48 uur

• Inzageverzoeken: Binnen 30 dagen (meestal binnen 72 uur)

• Verwijderingsverzoeken: Binnen 30 dagen

• Gegevensoverdraagbaarheid: Binnen 30 dagen (meestal binnen 72 uur)

• Rectificatieverzoeken: Onmiddellijk voor velden die de gebruiker zelf kan bijwerken; binnen 30 dagen voor overige gegevens

Identiteitsverificatie

Om uw gegevens te beschermen tegen onbevoegde toegang, kan ISMS Copilot uw identiteit verifiëren:

• U moet verzoeken indienen via uw geregistreerde e-mailadres

• Voor gevoelige verzoeken kan extra verificatie vereist zijn

• Support kan beveiligingsvragen stellen over uw account

Privacy van kinderen

ISMS Copilot is niet bedoeld voor kinderen onder de 16 jaar:

• De dienst is ontworpen voor compliance-professionals en bedrijven

• Er zijn geen mechanismen voor ouderlijke toestemming aanwezig

• Indien gebruik door minderjarigen wordt ontdekt, wordt het account beëindigd en de gegevens verwijderd

Updates van het privacybeleid

Hoe u op de hoogte wordt gesteld

Wanneer de privacypraktijken veranderen, zal ISMS Copilot:

• Een e-mailmelding sturen naar uw geregistreerde e-mailadres

• Een melding in de app weergeven bij de volgende login

• Het privacybeleid bijwerken met een "Laatst bijgewerkt" datum

• Minimaal 30 dagen van tevoren bericht geven bij wezenlijke wijzigingen

Uw opties

Als u niet akkoord gaat met wijzigingen in het privacybeleid:

• Vraag om accountverwijdering voordat de wijzigingen van kracht worden

• Exporteer uw gegevens vóór de ingangsdatum

• Neem contact op met support om uw zorgen te bespreken

Toezichthoudende autoriteit

Als een in de EU gevestigde dienst staat ISMS Copilot onder toezicht op gegevensbescherming.

Recht om een klacht in te dienen

Als u van mening bent dat ISMS Copilot uw privacyrechten heeft geschonden, kunt u:

1. Contact opnemen met de support van ISMS Copilot om het probleem direct op te lossen

2. Een klacht indienen bij uw lokale toezichthouder voor gegevensbescherming

3. Een klacht indienen bij de Franse toezichthouder voor gegevensbescherming (CNIL), waar ISMS Copilot is gevestigd

Commission Nationale de l'Informatique et des Libertés (CNIL)

• Website: https://www.cnil.fr/en

• Adres: 3 Place de Fontenoy, TSA 80715, 75334 Paris Cedex 07, Frankrijk

• Telefoon: +33 1 53 73 22 22

Best practices voor naleving

Voor consultants die klantgegevens verwerken

• Maak aparte werkruimtes aan voor elke klant

• Stel passende bewaartermijnen in die overeenkomen met klantcontracten

• Anonimiseer gevoelige persoonsgegevens voordat u ze uploadt

• Informeer klanten dat u ISMS Copilot gebruikt voor compliance-werk

• Neem ISMS Copilot op in uw verwerkersovereenkomsten

• Schakel de Advanced Data Protection Mode in als klanten alleen verwerking in de EU vereisen

Voor organisaties

• Documenteer ISMS Copilot in uw verwerkingsregister (zie ons Register van verwerkingsactiviteiten ter referentie)

• Neem het op in gegevensbeschermingseffectbeoordelingen (DPIA) bij verwerking van gevoelige gegevens

• Train personeel in de juiste omgang met gegevens binnen ISMS Copilot

• Configureer bewaartermijnen zodat ze overeenkomen met uw beleid voor gegevensbewaring

Transparantie & Vertrouwen

Beveiligingsdocumentatie

Voor gedetailleerde informatie over de beveiligings- en privacypraktijken van ISMS Copilot, bezoek onze Security Collection:

• Gedetailleerde beschrijvingen van gegevensverwerking

• Documentatie van beveiligingsmaatregelen

• Volledige lijst van subverwerkers met locaties en DPA-status

• Compliance-certificeringen

• AI-governancebeleid

U kunt ook ons uitgebreide Register van verwerkingsactiviteiten (RopA) raadplegen voor gedetailleerde technische en organisatorische maatregelen.

Systeemstatus

Houd de beschikbaarheid van de service en beveiligingsincidenten in de gaten op de Statuspagina:

• Real-time uptime-monitoring via BetterStack

• Incidentmeldingen en statusupdates

• Geplande onderhoudsschema's

• Historische uptime-gegevens

• Transparante classificatie en escalatie van incidenten

Beperkingen

Huidige privacyfuncties

• Geautomatiseerde gegevensexport is niet beschikbaar (moet via support worden aangevraagd)

• Wijzigingen in het e-mailadres vereisen ondersteuning van support

• Geen zelfbediening voor accountverwijdering (moet contact opnemen met support)

• Cookie-toestemmingsbanner niet geïmplementeerd (er worden geen trackingcookies gebruikt)

Wat nu?

• Lees meer over beveiligingsmaatregelen en versleuteling

• Stel werkruimtes in om klantgegevens te isoleren

• Bekijk onze Transfer Impact Assessment

• Maak een beveiligd account aan met sterke authenticatie

• Bekijk onze Security Collection voor gedetailleerde privacydocumentatie

Hulp krijgen

Voor privacygerelateerde vragen of AVG-verzoeken:

• Neem contact op met support via het menu Helpcenter

• E-mail vanaf uw geregistreerde e-mailadres

• Vermeld "AVG-verzoek" in de onderwerpregel voor een snellere verwerking

• Bezoek onze Security Collection voor gedetailleerde documentatie