Privacyverklaring

1. Wie verantwoordelijk is

Castor Concepts BV is verwerkingsverantwoordelijke voor de persoonsgegevens van bezoekers van www.amlr-monitor.com en van gebruikers van de workspace: accounts, facturatie, alerts, het contactformulier en ondersteuning.

Voor de content die een organisatie in haar workspace zet (bedrijfsprofiel, geüploade documenten, notities, taken, vragen aan de AI-consultant) is de organisatie zelf verwerkingsverantwoordelijke en is Castor Concepts BV verwerker die op haar instructies werkt. Neem voor vragen over die content contact op met die organisatie; de verwerkersafspraken staan in artikel 12 van de algemene voorwaarden.

2. Wat wij verwerken, en waarom

• Bezoekers: de technische gegevens die de hostingprovider bij elk verzoek vastlegt (IP-adres, browsertype, opgevraagde pagina, tijdstip) om de pagina’s te leveren en misbruik te herkennen. Grondslag: ons gerechtvaardigd belang bij een werkende en veilige site. Wij gebruiken geen analytics-trackers.
• Account: naam, e-mailadres, gehasht wachtwoord, tweestapsgeheim en back-upcodes (versleuteld), rol, organisatie, pakket en tijdstip van het laatste bezoek. Doel: de workspace leveren, de toegang beveiligen, tonen wie wat wijzigde. Grondslag: uitvoering van de overeenkomst.
• Workspacecontent: wat u en uw collega’s invoeren (profiel, documenten, readiness-registraties, notities, taken, consultatieconcepten, vragen en antwoorden, compliancelogboek, auditlog). Doel: de functies van de workspace, inclusief de AI-functies. Grondslag: uitvoering van de overeenkomst; de organisatie bepaalt welke gegevens zij invoert.
• Facturatie: pakket, proefdata, abonnementsstatus, de factuurgegevens die u invoert (bedrijfsnaam, adres, btw-nummer, inkoopnummer, factuur-e-mailadres) en de kenmerken van onze betaaldienstverlener. Kaart- en bankgegevens worden bij de betaaldienstverlener ingevoerd en bereiken ons nooit. Doel: facturatie en boekhouding. Grondslag: uitvoering van de overeenkomst en wettelijke verplichtingen.
• Alerts: het e-mailadres of webhookadres dat u onder Alerts invoert en de raamwerkblokken die u volgt. Doel: het versturen van de alerts en regulatory updates waarom u vroeg. Grondslag: uw verzoek; u kunt ze op elk moment uitzetten.
• Contactformulier, pakketaanvragen en ondersteuning: naam, e-mailadres, organisatie, onderwerp en bericht. Doel: u antwoorden en opvolgen. Grondslag: ons gerechtvaardigd belang om u te antwoorden, of de overeenkomst als u klant bent.
• Site-overzicht: geaggregeerde aantallen (gebruikers, organisaties, pakketten, activiteit) die de site-eigenaar ziet om de Dienst te beheren. Grondslag: gerechtvaardigd belang.

3. AI-functies

De AI-consultant, de bedrijfsopzoeking, de impactanalyse, de landenpunten, taakbriefings, documentsamenvattingen en regulatory updates sturen de relevante content (uw vraag, het bedrijfsprofiel, de geüploade documenten, de vastgelegde readiness) naar Anthropic, PBC, wier Claude-modellen het antwoord genereren. Anthropic verwerkt deze gegevens als onze verwerker onder zakelijke voorwaarden die het gebruik van uw gegevens voor het trainen van modellen uitsluiten.

Zet geen persoonsgegevens in de workspace die niet nodig zijn voor het compliancewerk, en verwijder documenten die u niet meer nodig hebt.

4. Wie gegevens ontvangt (subverwerkers)

• Vercel, Inc. (Verenigde Staten): hosting en levering van de site en verzoeklogs; de applicatie draait in Frankfurt (EU).
• Neon, Inc. (Verenigde Staten): de database waarin accounts en workspacecontent veldsgewijs versleuteld worden opgeslagen.
• Anthropic, PBC (Verenigde Staten): de AI-verwerking uit artikel 3.
• Stripe Payments Europe, Ltd. (Ierland) en Stripe, Inc. (Verenigde Staten): abonnementen, betalingen, facturen en btw-identificatie.
• Resend, Inc. (Verenigde Staten): het versturen van e-mail (uitnodigingen, alerts, regulatory updates, contactberichten).
• Google Ireland Ltd: advertentieruimte op de openbare voorpagina, indien ingeschakeld, onder Googles eigen cookietoestemming.
• Bing en andere IndexNow-zoekmachines: alleen de openbare adressen van nieuwe blogartikelen, geen persoonsgegevens.

Sommige van deze leveranciers zijn gevestigd in de Verenigde Staten. Doorgiften steunen op de standaardcontractbepalingen van de Europese Commissie en, waar de leverancier gecertificeerd is, op het EU-VS Data Privacy Framework. Wij verkopen geen persoonsgegevens en delen ze met niemand anders, tenzij de wet ons daartoe verplicht.

5. Cookies en lokale opslag

• Een sessiecookie na het inloggen (noodzakelijk; hoogstens dertig dagen geldig en verwijderd wanneer u uitlogt).
• Een cookie van tien minuten tijdens het inloggen met tweestapsverificatie.
• De lokale opslag van uw browser onthoudt het type instelling dat u op het dashboard koos; die verlaat uw browser nooit.
• Advertentiecookies van Google alleen op de openbare voorpagina, wanneer advertenties zijn ingeschakeld en u toestemming gaf.

Wij gebruiken geen analytics- of trackingcookies.

6. Hoe lang wij gegevens bewaren

• Accountgegevens: totdat u uw account verwijdert, of totdat een beheerder de organisatie verwijdert.
• Workspacecontent en het auditlog: totdat de organisatie ze verwijdert of wordt verwijderd.
• Verwijderde gegevens verdwijnen direct uit de actieve database en binnen dertig dagen uit back-ups.
• Facturatiegegevens: zeven jaar, zoals de Nederlandse belastingwetgeving vereist.
• Contactberichten en pakketaanvragen: totdat ze zijn afgehandeld, en hoogstens twee jaar.
• Verzoeklogs van de hostingprovider en afleverlogs van de e-mailprovider: de korte periodes waarin die leveranciers ze bewaren.

7. Hoe wij gegevens beschermen

• Alle persoonsgegevens en workspacecontent worden veldsgewijs versleuteld (AES-256-GCM) voordat ze worden opgeslagen, bovenop de versleuteling in rust van de database. Wachtwoorden worden als scrypt-hash opgeslagen; tweestapsgeheimen en back-upcodes zijn versleuteld of gehasht.
• Verbindingen zijn versleuteld (TLS). Tweestapsverificatie is voor elke gebruiker beschikbaar, en een beheerder kan die voor de hele organisatie verplichten.
• Toegang tot ontsleutelde gegevens is beperkt tot de site-eigenaar en alleen voor ondersteuning, een verwijderverzoek of het site-overzicht. Elke wijziging in een workspace wordt vastgelegd in het auditlog van de organisatie.
• Raakt een beveiligingsincident uw gegevens, dan informeren wij de betrokken organisaties zonder onnodige vertraging en, waar vereist, de toezichthouder.

8. Uw rechten

U kunt uw gegevens zelf inzien, corrigeren, exporteren en verwijderen: uw eigen account onder Security, de organisatie en haar content onder Team (beheerders), exports onder Export and report. U hebt ook recht op beperking, bezwaar, overdraagbaarheid van gegevens en op het intrekken van uw toestemming voor alerts, op elk moment. Neem contact met ons op voor alles wat u niet zelf kunt doen; wij antwoorden binnen een maand.

U kunt een klacht indienen bij de Autoriteit Persoonsgegevens of bij de toezichthouder van uw eigen land.

9. Kinderen

De Dienst is bedoeld voor professionals. Wij verwerken niet bewust gegevens van personen jonger dan zestien jaar.

10. Wijzigingen

Wij kunnen deze verklaring aanpassen. De datum bovenaan toont de laatste wijziging; wezenlijke wijzigingen worden in de workspace of per e-mail aangekondigd.

11. Contact

AMLR Monitor wordt geëxploiteerd door Castor Concepts BV.