Gegevensprivacy & AVG-naleving - Bijgewerkt

Overzicht

ISMS Copilot voldoet volledig aan de Algemene Verordening Gegevensbescherming (AVG/GDPR) en volgt strikte principes voor gegevensprivacy. Dit artikel legt uw privacyrechten uit, hoe we met uw gegevens omgaan en welke controle u heeft over uw informatie.

Voor wie is dit bedoeld

Dit artikel is voor:

• In de EU gevestigde gebruikers die bezorgd zijn over AVG-naleving

• Functionarissen voor Gegevensbescherming (FG's) die ISMS Copilot evalueren

• Compliance-consultants die klantgegevens verwerken onder de AVG

• Iedereen die zijn privacyrechten wil begrijpen

Overzicht AVG-naleving

Hoe ISMS Copilot voldoet aan de AVG-vereisten

Minimale gegevensverwerking (Artikel 5(1)(c))

ISMS Copilot verzamelt alleen de minimale gegevens die nodig zijn om de dienst te verlenen:

• E-mailadres voor accountidentificatie, authenticatie en essentiële communicatie

• Authenticatiegegevens (gehashte wachtwoorden of OAuth-tokens)

• Gespreksgeschiedenis om contextbewuste AI-antwoorden te bieden

• Geüploade documenten voor analyse en beoordeling van compliance-hiaten

• Gebruiksmetadata voor facturatie en serviceverbetering

• E-mailinteractiegegevens (opens, kliks) voor onboarding en productupdate-e-mails (gebruikers kunnen zich afmelden)

Doelbinding (Artikel 5(1)(b))

Uw gegevens worden uitsluitend gebruikt voor:

• Het bieden van AI-gestuurde ondersteuning bij naleving

• Het beheren van uw account en abonnement

• Het verbeteren van de prestaties en betrouwbaarheid van de dienst

• Het voldoen aan wettelijke verplichtingen

Opslagbeperking (Artikel 5(1)(e))

U heeft volledige controle over hoe lang uw gegevens worden bewaard:

• Stel bewaartermijnen in van 1 dag tot 7 jaar, of bewaar ze voor onbepaalde tijd

• Automatische verwijdering van verlopen gegevens vindt dagelijks plaats

• Vraag op elk moment om onmiddellijke verwijdering van uw account en gegevens

Gegevensbescherming door ontwerp (Artikel 25)

Beveiliging en privacy zijn ingebouwd in elke functie van ISMS Copilot:

• End-to-end encryptie voor alle gegevens

• Beveiliging op rijniveau (Row-level security) voorkomt ongeautoriseerde toegang

• Workspace-isolatie houdt klantgegevens gescheiden

• Veilige authenticatie met OAuth-ondersteuning

Uw AVG-rechten

Recht op inzage (Artikel 15)

U heeft het recht op inzage in al uw persoonlijke gegevens die in ISMS Copilot zijn opgeslagen.

Waartoe u toegang heeft:

• Uw accountinformatie (e-mail, instellingen)

• Alle gespreksgeschiedenis in alle workspaces

• Geüploade documenten en bestanden

• Gebruiksmetadata en tijdstempels

Hoe u toegang krijgt tot uw gegevens:

1. Log in op uw ISMS Copilot-account

2. Navigeer naar uw workspaces om gesprekken te bekijken

3. Bekijk geüploade bestanden in elke gesprekslijn

4. Neem voor een volledige gegevensexport contact op met de ondersteuning via het Helpcenter

Recht op rectificatie (Artikel 16)

U kunt uw persoonlijke informatie op elk moment bijwerken of corrigeren.

Hoe u uw informatie bijwerkt:

1. Klik op het gebruikersmenu-icoon (rechtsboven)

2. Selecteer Instellingen

3. Uw e-mailadres wordt weergegeven (neem contact op met support om dit te wijzigen)

4. Werk uw voorkeuren voor gegevensbewaring bij

5. Klik op Instellingen opslaan

Verwacht resultaat: Het instellingenvenster sluit en uw wijzigingen worden onmiddellijk opgeslagen.

Recht op gegevenswissing / "Recht om vergeten te worden" (Artikel 17)

U kunt verzoeken om volledige verwijdering van uw account en alle bijbehorende gegevens.

Hoe u uw gegevens verwijdert:

1. Klik op het gebruikersmenu-icoon

2. Selecteer Helpcenter → Contact opnemen met support

3. Dien een verzoek tot gegevensverwijdering in

4. Support zal uw identiteit verifiëren en het verzoek bevestigen

5. Alle gegevens worden permanent verwijderd binnen 30 dagen

Wat wordt verwijderd:

• Uw account en e-mailadres

• Alle workspaces en gespreksgeschiedenis

• Alle geüploade documenten en bestanden

• Aangepaste workspace-instructies

• Gebruiksmetadata en logs

Wat bewaard kan blijven:

• Geanonimiseerde facturatiegegevens (vereist voor belasting- en boekhoudkundige naleving)

• Geanonimiseerde analysegegevens (geen persoonlijk identificeerbare informatie)

Recht op overdraagbaarheid van gegevens (Artikel 20)

U heeft het recht om uw gegevens in een gestructureerd, machineleesbaar formaat te ontvangen.

Hoe u uw gegevens exporteert:

1. Neem contact op met support via het Helpcenter

2. Vraag om een gegevensexport

3. Support verstrekt uw gegevens in JSON-formaat met daarin:

   • Accountinformatie

   • Gespreksgeschiedenis

   • Workspace-configuraties

   • Metadata van geüploade bestanden

4. Download het exportbestand voor gebruik in andere systemen

Recht op beperking van de verwerking (Artikel 18)

U kunt verzoeken om tijdelijke opschorting van de gegevensverwerking terwijl geschillen worden opgelost.

Wanneer u de verwerking kunt beperken:

• U betwist de juistheid van persoonlijke gegevens

• De verwerking is onrechtmatig, maar u wilt de gegevens niet laten verwijderen

• U heeft de gegevens nodig voor rechtsvorderingen

• U heeft bezwaar gemaakt tegen de verwerking in afwachting van verificatie

Hoe u beperking aanvraagt:

1. Neem contact op met support via het Helpcenter

2. Leg de reden voor de beperking uit

3. Support zal de beperkingen beoordelen en passende matregelen implementeren

Recht van bezwaar (Artikel 21)

U kunt bezwaar maken tegen bepaalde soorten gegevensverwerking.

Waar u bezwaar tegen kunt maken:

• Verwerking voor direct marketing (ISMS Copilot voert geen marketingverwerking uit)

• Verwerking op basis van gerechtvaardigde belangen

• Geautomatiseerde besluitvorming (momenteel niet gebruikt door ISMS Copilot)

Hoe u bezwaar maakt:

1. Neem contact op met support via het Helpcenter

2. Specificeer tegen welke verwerking u bezwaar maakt

3. Support zal dit beoordelen en binnen 30 dagen reageren

Details van de gegevensverwerking

Rechtsgrondslag voor verwerking

ISMS Copilot verwerkt uw gegevens op basis van de volgende rechtsgronden:

Uitvoering van de overeenkomst (Artikel 6(1)(b))

• Verwerking die nodig is om de AI-compliance-dienst te leveren

• Beheer van uw account en abonnement

• Levering van functies die u heeft aangevraagd

Gerechtvaardigde belangen (Artikel 6(1)(f))

• Verbeteren van serviceprestaties en betrouwbaarheid

• Opsporen en voorkomen van fraude of misbruik

• Waarborgen van systeembeveiliging

• Verzenden van productupdates en onboarding-begeleiding om de platformervaring te verbeteren

Wettelijke verplichting (Artikel 6(1)(c))

• Bewaren van facturatiegegevens voor belastingnaleving

• Reageren op wettige verzoeken van autoriteiten

Gegevensoverdracht

Gegevensresidentie in de EU

Alle database-opslag van ISMS Copilot vindt uitsluitend plaats in de Europese Unie:

• Primaire opslag: AWS Frankfurt, Duitsland

• Databaseprovider: Supabase (EU-regio)

• Gespreksgeschiedenis: Opgeslagen in de EU, ongeacht de AI-provider

Locatie AI-verwerking (Door gebruiker beheerd)

De locatie van AI-verwerking hangt af van uw instelling voor 'Geavanceerde Gegevensbescherming':

• Geavanceerde Gegevensbescherming UIT (Standaard): AI-verwerking vindt plaats in de Verenigde Staten via xAI/OpenAI met een bewaartermijn van 30 dagen

• Geavanceerde Gegevensbescherming AAN: 100% verwerking in de EU via Mistral AI met nul bewaartermijn

Subverwerkers

De volgende diensten van derden hebben beperkte toegang tot gegevens:

AI-verwerkingsproviders (Door gebruiker configureerbaar met automatische failover)

U kunt bepalen welke AI-provider uw gesprekken verwerkt via de instelling Geavanceerde Gegevensbescherming en de selectie van de AI-provider. ISMS Copilot bevat nu meerdere opties voor AI-modellen en automatische failover om de continuïteit van de dienstverlening te garanderen tijdens storingen bij een provider:

• Standaardmodus (Geavanceerde Gegevensbescherming UIT): Anthropic Claude (chat), xAI Grok (documentgeneratie) en OpenAI GPT (detectie) met failover van Anthropic naar OpenAI

  • Locatie: Verenigde Staten

  • Bewaartermijn: 30 dagen (tijdelijke verwerkingscache)

  • Training: API-gegevens worden NIET gebruikt voor AI-modeltraining

  • Gebruiksscenario: Standaard compliance-werk met verhoogde betrouwbaarheid

  • Automatische failover: Als Anthropic kampt met storingen, schakelen chatverzoeken automatisch over naar OpenAI zonder onderbreking van de dienstverlening

• Geavanceerde Gegevensbeschermingsmodus (AAN): Mistral AI

  • Locatie: Europese Unie

  • Bewaartermijn: Nul (geen gegevensbewaring)

  • Training: NIET gebruikt voor AI-modeltraining

  • Gebruiksscenario: Maximale privacy, vereisten voor EU-gegevenssoevereiniteit

Andere diensten van derden

• Stripe (Betalingsverwerking): Alleen betalings- en factuurgegevens. AVG-conform met een EU-verwerkersovereenkomst.

• PostHog (Analyse): Alleen geanonimiseerde gebruiksgegevens. Gehost in de EU. Geen persoonlijke gesprekken of documenten gedeeld.

• Sentry (Foutbewaking): Foutlogs, stack traces en gebruikers-ID's (alleen UUID in productie) voor het oplossen van problemen. Gevestigd in Duitsland. E-mailadressen, gespreksinhoud en andere persoonlijke gegevens worden gefilterd vóór verzending.

• E-mailcommunicatie: SendGrid en Kit verzorgen transactionele e-mails, juridische updates en onboarding-reeksen. Gevestigd in de VS met modelcontractbepalingen. Gebruikers kunnen zich afmelden voor niet-essentiële e-mails.

Geavanceerde Gegevensbeschermingsmodus

ISMS Copilot geeft u controle over waar uw AI-gesprekken worden verwerkt en hoe lang AI-providers uw gegevens bewaren.

Twee verwerkingsopties:

1. Standaardmodus (Geavanceerde Gegevensbescherming UIT): xAI/OpenAI verwerken gesprekken in de VS met een bewaartermijn van 30 dagen

2. EU-Only-modus (Geavanceerde Gegevensbescherming AAN): Mistral AI verwerkt gesprekken in de EU met een bewaartermijn van nul

Wanneer Geavanceerde Gegevensbescherming inschakelen:

• Uw organisatie heeft verplichte vereisten voor gegevensresidentie in de EU

• U verwerkt zeer gevoelige klantgegevens

• AVG-naleving vereist het minimaliseren van gegevensoverdracht buiten de EU

• Contracten met klanten verbieden gegevensverwerking in de VS

• U wilt maximale privacy met nul gegevensbewaring door de AI-provider

Belangrijk onderscheid:

Geavanceerde Gegevensbescherming regelt de bewaartermijn bij de AI-provider (30 dagen versus nul). De bewaartermijn voor uw gespreksgeschiedenis in ISMS Copilot wordt afzonderlijk beheerd via uw gebruikersinstellingen (1 dag tot 7 jaar). Beide instellingen werken onafhankelijk van elkaar.

Internationale gegevensoverdracht

De aanpak van ISMS Copilot voor internationale gegevensoverdrachten hangt af van uw configuratie:

Kerngegevensverwerking

• Database-opslag: Altijd in de EU (Frankfurt, Duitsland)

• AI-verwerking: EU of VS, afhankelijk van de instelling voor Geavanceerde Gegevensbescherming

• Analyses: Alleen EU-endpoints (PostHog EU, Sentry Duitsland)

• Bestandsconversie: EU-endpoint (ConvertAPI)

E-mailcommunicatie (gevestigd in de VS met waarborgen)

E-mailadressen en interactiegegevens worden doorgegeven aan in de VS gevestigde e-mailserviceproviders (SendGrid en Kit) voor transactionele e-mails, juridische updates en onboarding-reeksen. Deze overdrachten worden beschermd door modelcontractbepalingen (Standard Contractual Clauses) die door de Europese Commissie zijn goedgekeurd.

Voor organisaties met strikte EU-only vereisten voor gegevensresidentie, moet u:

• De Geavanceerde Gegevensbeschermingsmodus inschakelen om AI-verwerking in de EU te houden (elimineert TIA-vereisten voor AI)

• U afmelden voor marketing/product-e-mails om overdrachten naar de VS te minimaliseren

• De resterende overdrachten van e-mailcommunicatie vastleggen in uw verwerkingsregister

• Onze Transfer Impact Assessment raadplegen om de waarborgen bij overdracht te begrijpen

Bewaartermijnen voor gegevens

Actieve gegevens

• Gespreksgeschiedenis: Gebaseerd op uw zelfgedefinieerde bewaartermijn (1 dag tot 7 jaar, of onbeperkt)

• Geüploade documenten: Zelfde als gespreksgeschiedenis

• Accountinformatie: Bewaard zolang het account actief is

Na verwijdering van het account

• Persoonlijke gegevens: Verwijderd binnen 30 dagen

• Geanonimiseerde facturatiegegevens: 7 jaar (wettelijke belastingvereiste)

• Back-upgegevens: Overschreven binnen 90 dagen

Privacy-by-design-functies

PII-reductiemodus

ISMS Copilot biedt automatische PII-reductie (Personally Identifiable Information) om gevoelige persoonlijke gegevens te beschermen voordat ze de AI-verwerking bereiken. Indien ingeschakeld, detecteert en anonimiseert het systeem veelvoorkomende PII-patronen in uw berichten en geüploade documenten.

Wat wordt geanonimiseerd:

• Persoonsnamen (bijv. "Jan Janssen" → "[REDACTED_NAME]")

• Bedrijfs- en organisatienamen

• E-mailadressen (bijv. "[email protected]" → "[REDACTED_EMAIL]")

• Telefoonnummers in diverse formaten

Hoe u PII-reductie inschakelt:

1. Navigeer naar Instellingen → Privacy of Gegevensbescherming

2. Schakel "Schakel PII-reductie in" aan

3. Bekijk de bevestigings-popup die de beperkingen op basis van patronen uitlegt

4. Let op het groene schild-icoon in uw chatinvoer om de activering te bevestigen

Wanneer PII-reductie actief is, ziet u een groen schild-icoon in het chatveld als visuele bevestiging dat de anonimisering werkt.

Belangrijke beperkingen:

• Detectie op basis van patronen: PII-reductie gebruikt regex-patronen en vangt mogelijk niet alle gevoelige informatie op

• Niet 100% nauwkeurig: Sommige PII kan doorglippen; sommige legitieme tekst kan onterecht worden geanonimiseerd

• Geen vervanging voor dataminimalisatie: Controleer gegevens altijd voordat u ze uploadt en vermijd het opnemen van onnodige PII

• Wordt toegepast vóór AI-verwerking: Anonimisering vindt plaats voordat de gegevens AI-providers bereiken

PII-reductie is een privacyverbetering, geen garantie voor volledige anonimisering. Verifieer outputs altijd aan de hand van officiële standaarden en vermijd het uploaden van onnodige persoonsgegevens. Deze functie werkt het best als extra beschermingslaag naast praktijken voor dataminimalisatie.

Gebruiksscenario's:

• Verwerken van auditrapporten van klanten met namen van werknemers

• Analyseren van nalevingsbeleid met contactgegevens

• Werken met HR-beleid of incidentrapporten

• Toevoegen van extra privacybescherming bij gebruik van de Geavanceerde Gegevensbeschermingsmodus

Combineren met Geavanceerde Gegevensbescherming:

Schakel voor maximale privacy beide functies in:

• PII-reductie: Anonimiseert persoonsgegevens vóór AI-verwerking

• Geavanceerde Gegevensbeschermingsmodus: Garandeert uitsluitend verwerking in de EU met nul gegevensbewaring door de AI-provider

Samen bieden deze functies sterke privacywaarborgen voor gevoelig compliance-werk.

Workspace-isolatie

Workspaces zorgen voor gegevensscheiding in scenario's met meerdere klanten:

• Elke workspace behoudt zijn eigen gespreksgeschiedenis

• Geüploade bestanden zijn gekoppeld aan specifieke workspaces

• Aangepaste instructies zijn workspace-specifiek

• Het verwijderen van een workspace verwijdert alle bijbehorende gegevens

Geen gegevensdeling tussen gebruikers

ISMS Copilot hanteert strikte gegevensgrenzen:

• Gebruikers hebben geen toegang tot gegevens van andere gebruikers

• AI-antwoorden worden onafhankelijk voor elke gebruiker gegenereerd

• Databasequery's filteren automatisch op het ID van de geauthenticeerde gebruiker

• Zelfs systeembeheerders volgen het principe van de minste privileges

Geen AI-training op gebruikersgegevens

Uw gevoelige compliance-gegevens worden nooit gebruikt voor AI-training:

• Gesprekken worden niet opgeslagen door OpenAI of andere AI-providers

• Geüploade documenten blijven vertrouwelijk en privé

• Klantinformatie draagt nooit bij aan modelverbetering

• Elk gesprek wordt geïsoleerd verwerkt

Verzoeken van betrokkenen

Hoe u een AVG-verzoek indient

1. Klik op het gebruikersmenu-icoon (rechtsboven)

2. Selecteer Helpcenter → Contact opnemen met support

3. Beschrijf uw verzoek duidelijk:

   • "Ik verzoek om inzage in al mijn persoonsgegevens conform AVG Artikel 15"

   • "Ik verzoek om verwijdering van mijn account conform AVG Artikel 17"

   • "Ik verzoek om een gegevensexport conform AVG Artikel 20"

4. Support verifieert uw identiteit en verwerkt het verzoek

Reactietermijnen

ISMS Copilot reageert op AVG-verzoeken volgens de wettelijke termijnen:

• Bevestiging: Binnen 24-48 uur

• Inzageverzoeken: Binnen 30 dagen (meestal binnen 72 uur)

• Verwijderverzoeken: Binnen 30 dagen

• Gegevensoverdraagbaarheid: Binnen 30 dagen (meestal binnen 72 uur)

• Rectificatieverzoeken: Onmiddellijk voor zelf aanpasbare velden; binnen 30 dagen voor overige

Identiteitsverificatie

Om uw gegevens te beschermen tegen ongeautoriseerde toegang, kan ISMS Copilot uw identiteit verifiëren:

• U moet verzoeken indienen vanaf uw geregistreerde e-mailadres

• Voor gevoelige verzoeken kan extra verificatie vereist zijn

• Support kan beveiligingsvragen stellen over uw account

Privacy van kinderen

ISMS Copilot is niet bedoeld voor kinderen onder de 16 jaar:

• De dienst is ontworpen voor compliance-professionals en bedrijven

• Er zijn geen mechanismen voor ouderlijke toestemming

• Indien gebruik door minderjarigen wordt ontdekt, wordt het account beëindigd en worden gegevens verwijderd

Updates van het privacybeleid

Hoe u op de hoogte wordt gesteld

Wanneer privacypraktijken wijzigen, zal ISMS Copilot:

• Een e-mail sturen naar uw geregistreerde e-mailadres

• Een in-app melding tonen bij de volgende login

• Het privacybeleid bijwerken met een datum "Laatst bijgewerkt"

• Minstens 30 dagen van tevoren kennisgeving doen van wezenlijke wijzigingen

Uw opties

Als u niet akkoord gaat met wijzigingen in het privacybeleid:

• Vraag om accountverwijdering voordat de wijzigingen van kracht worden

• Exporteer uw gegevens vóór de ingangsdatum

• Neem contact op met support om uw zorgen te bespreken

Toezichthoudende autoriteit

Als een in de EU gevestigde dienst valt ISMS Copilot onder toezicht op gegevensbescherming.

Recht om een klacht in te dienen

Als u van mening bent dat ISMS Copilot uw privacyrechten heeft geschonden, kunt u:

1. Contact opnemen met de support van ISMS Copilot om het probleem direct op te lossen

2. Een klacht indienen bij uw lokale privacytoezichthouder (zoals de Autoriteit Persoonsgegevens)

3. Een klacht indienen bij de Franse privacytoezichthouder (CNIL), waar ISMS Copilot is gevestigd

Commission Nationale de l'Informatique et des Libertés (CNIL)

• Website: https://www.cnil.fr/en

• Adres: 3 Place de Fontenoy, TSA 80715, 75334 Paris Cedex 07, Frankrijk

• Telefoon: +33 1 53 73 22 22

Best practices voor naleving

Voor consultants die klantgegevens verwerken

• Maak aparte workspaces aan voor elke klant

• Stel passende bewaartermijnen in die overeenkomen met klantcontracten

• Anonimiseer gevoelige persoonsgegevens voordat u ze uploadt

• Informeer klanten dat u ISMS Copilot gebruikt voor compliance-werk

• Neem ISMS Copilot op in uw verwerkersovereenkomsten

• Schakel de Geavanceerde Gegevensbeschermingsmodus in als klanten EU-only verwerking vereisen

Voor organisaties

• Leg ISMS Copilot vast in uw verwerkingsregister (zie ons Verwerkingsregister ter referentie)

• Neem het op in gegevensbeschermingseffectbeoordelingen (DPIA) bij verwerking van gevoelige gegevens

• Train personeel in de juiste gegevensomgang binnen ISMS Copilot

• Configureer bewaartermijnen zodat deze overeenkomen met uw gegevensbewaringsbeleid

Transparantie & Vertrouwen

Beveiligingsdocumentatie

Bezoek onze Beveiligingscollectie voor gedetailleerde informatie over de beveiliging en privacypraktijken van ISMS Copilot:

• Gedetailleerde beschrijvingen van gegevensverwerking

• Documentatie van beveiligingsmaatregelen

• Volledige lijst met subverwerkers, locaties en DPA-status

• Nalevingscertificeringen

• Beleid voor AI-governance

U kunt ook ons uitgebreide Verwerkingsregister (RopA) raadplegen voor gedetailleerde technische en organisatorische maatregelen.

Systeemstatus

Monitor de beschikbaarheid van diensten en beveiligingsincidenten op de Statuspagina:

• Real-time uptime-bewaking via BetterStack

• Incidentmeldingen en statusupdates

• Geplande onderhoudsschema's

• Historische uptime-gegevens

• Transparante incidentclassificatie en escalatie

Beperkingen

Huidige privacyfuncties

• Geautomatiseerde gegevensexport is niet beschikbaar (moet via support worden aangevraagd)

• Wijzigingen in het e-mailadres vereisen ondersteuning van support

• Geen self-service accountverwijdering (neem contact op met support)

• Cookie-toestemmingsbanner niet geïmplementeerd (er worden geen trackingcookies gebruikt)

Wat is de volgende stap

• Leer meer over beveiligingsmaatregelen en encryptie

• Stel workspaces in om klantgegevens te isoleren

• Bekijk onze Transfer Impact Assessment

• Maak een veilig account aan met sterke authenticatie

• Bekijk onze Beveiligingscollectie voor gedetailleerde privacydocumentatie

Hulp krijgen

Voor privacy-gerelateerde vragen of AVG-verzoeken:

• Neem contact op met support via het Helpcenter-menu

• E-mail vanaf uw geregistreerde e-mailadres

• Vermeld "AVG-verzoek" in de onderwerpregel voor snellere verwerking

• Bezoek onze Beveiligingscollectie voor gedetailleerde documentatie