Privacyverklaring

1. Wie verantwoordelijk is

Castor Concepts BV is verwerkingsverantwoordelijke voor de persoonsgegevens van bezoekers van www.amlr-monitor.com en van gebruikers van de workspace: accounts, facturatie, alerts, het contactformulier en ondersteuning. Castor Concepts BV is ook verwerkingsverantwoordelijke voor de zakelijke contactgegevens van de organisaties die wij over de Dienst benaderen.

Voor de content die een organisatie in haar workspace zet (bedrijfsprofiel, geüploade documenten, notities, taken, vragen aan de AI-consultant) is de organisatie zelf verwerkingsverantwoordelijke en is Castor Concepts BV verwerker die op haar instructies werkt. Neem voor vragen over die content contact op met die organisatie; de verwerkersafspraken staan in artikel 12 van de algemene voorwaarden.

2. Wat wij verwerken, en waarom

• Bezoekers: de technische gegevens die de hostingprovider bij elk verzoek vastlegt (IP-adres, browsertype, opgevraagde pagina, tijdstip) om de pagina’s te leveren en misbruik te herkennen. Grondslag: ons gerechtvaardigd belang bij een werkende en veilige site. Het gebruik van de site wordt alleen na uw toestemming gemeten met Google Analytics 4 (artikel 5).
• Account: naam, e-mailadres, gehasht wachtwoord, tweestapsgeheim en back-upcodes (versleuteld), rol, organisatie, pakket en tijdstip van het laatste bezoek. Doel: de workspace leveren, de toegang beveiligen, tonen wie wat wijzigde. Grondslag: uitvoering van de overeenkomst.
• Beheerders van een organisatie op het gratis pakket: naam, e-mailadres, type organisatie en aanmelddatum, om in de eerste maand ten hoogste vijf e-mails te sturen over wat de betaalde pakketten toevoegen, en ten hoogste drie e-mails rond een gratis testweek. Grondslag: ons gerechtvaardigd belang om onze eigen dienst aan bestaande accounthouders aan te bieden. Elke zo’n e-mail bevat een afmeldlink, en u kunt deze e-mails ook uitzetten onder Alerts; alerts en uitnodigingen blijven ongewijzigd.
• Workspacecontent: wat u en uw collega’s invoeren (profiel, documenten, readiness-registraties, notities, taken, consultatieconcepten, vragen en antwoorden, compliancelogboek, auditlog). Doel: de functies van de workspace, inclusief de AI-functies. Grondslag: uitvoering van de overeenkomst; de organisatie bepaalt welke gegevens zij invoert.
• Facturatie: pakket, proefdata, abonnementsstatus, de factuurgegevens die u invoert (bedrijfsnaam, adres, btw-nummer, inkoopnummer, factuur-e-mailadres) en de kenmerken van onze betaaldienstverlener. Kaart- en bankgegevens worden bij de betaaldienstverlener ingevoerd en bereiken ons nooit. Doel: facturatie en boekhouding. Grondslag: uitvoering van de overeenkomst en wettelijke verplichtingen.
• Alerts: het e-mailadres of webhookadres dat u onder Alerts invoert en de raamwerkblokken die u volgt. Doel: het versturen van de alerts en regulatory updates waarom u vroeg. Grondslag: uw verzoek; u kunt ze op elk moment uitzetten.
• Contactformulier, pakketaanvragen en ondersteuning: naam, e-mailadres, organisatie, onderwerp en bericht. Doel: u antwoorden en opvolgen. Grondslag: ons gerechtvaardigd belang om u te antwoorden, of de overeenkomst als u klant bent.
• Organisaties die wij benaderen: naam, website en land van adviesbureaus, advocatenkantoren, opleiders, softwareleveranciers en meldingsplichtige instellingen; het algemene of functionele e-mailadres dat zij publiceren (zoals info@, compliance@ of partnerships@), en een contactpersoon alleen als hun eigen website die voor zulke contacten noemt; voor instellingen met een vergunning de openbare registergegevens (toezichthouder, soort vergunning, datum); een korte notitie waarom wij hen benaderen; en de uitgewisselde e-mails. Bronnen: hun eigen website, openbare registers van toezichthouders (EBA, ESMA, nationale toezichthouders) en zoekresultaten over anti-witwasonderwerpen. Doel: een samenwerking, advertentie of proefperiode van de workspace voorstellen, met hooguit één eerste e-mail en twee herinneringen. Grondslag: ons gerechtvaardigd belang bij het vinden van partners en klanten voor de Dienst. U kunt op elk moment bezwaar maken, bijvoorbeeld door op onze e-mail te antwoorden; wij verwijderen dan de contactgegevens en de e-mails en bewaren alleen de naam en het domein van de organisatie en een gehashte vorm van het adres, zodat wij niet opnieuw schrijven.
• Site-overzicht: geaggregeerde aantallen (gebruikers, organisaties, pakketten, activiteit) die de site-eigenaar ziet om de Dienst te beheren. Grondslag: gerechtvaardigd belang.

3. AI-functies

De AI-consultant, de bedrijfsopzoeking, de impactanalyse, de landenpunten, taakbriefings, documentsamenvattingen en regulatory updates sturen de relevante content (uw vraag, het bedrijfsprofiel, de geüploade documenten, de vastgelegde readiness) naar Anthropic, PBC, wier Claude-modellen het antwoord genereren. Dezelfde modellen zoeken op het web met onze eigen zoektermen en bedrijfsnamen om organisaties en hun websites te vinden, beoordelen de openbare website van de organisaties die wij benaderen, stellen onze e-mails aan hen op en delen hun antwoorden in; de site-eigenaar keurt elke eerste e-mail en elk antwoord goed voordat het wordt verstuurd. Anthropic verwerkt deze gegevens als onze verwerker onder zakelijke voorwaarden die het gebruik van uw gegevens voor het trainen van modellen uitsluiten.

Zet geen persoonsgegevens in de workspace die niet nodig zijn voor het compliancewerk, en verwijder documenten die u niet meer nodig hebt.

4. Wie gegevens ontvangt (subverwerkers)

• Vercel, Inc. (Verenigde Staten): hosting en levering van de site en verzoeklogs; de applicatie draait in Frankfurt (EU).
• Neon, Inc. (Verenigde Staten): de database waarin accounts en workspacecontent veldsgewijs versleuteld worden opgeslagen; de database draait in Frankfurt (AWS eu-central-1, EU).
• Anthropic, PBC (Verenigde Staten): de AI-verwerking uit artikel 3.
• Stripe Payments Europe, Ltd. (Ierland) en Stripe, Inc. (Verenigde Staten): abonnementen, betalingen, facturen en btw-identificatie.
• De e-mailprovider van Castor Concepts BV: het versturen van e-mail (uitnodigingen, alerts, regulatory updates, contactberichten, onze e-mails aan organisaties die wij benaderen) vanaf ons eigen adres en het ontvangen van de antwoorden, over een versleutelde verbinding.
• Google Ireland Ltd: advertentieruimte op de openbare voorpagina, indien ingeschakeld, onder Googles eigen cookietoestemming; Google Analytics-statistieken over het gebruik van de site, met cookies alleen na uw toestemming
• Bing en andere IndexNow-zoekmachines: alleen de openbare adressen van nieuwe blogartikelen, geen persoonsgegevens.

Sommige van deze leveranciers zijn gevestigd in de Verenigde Staten. Doorgiften steunen op de standaardcontractbepalingen van de Europese Commissie en, waar de leverancier gecertificeerd is, op het EU-VS Data Privacy Framework. Wij verkopen geen persoonsgegevens en delen ze met niemand anders, tenzij de wet ons daartoe verplicht.

5. Cookies en lokale opslag

• Een sessiecookie na het inloggen (noodzakelijk; hoogstens dertig dagen geldig en verwijderd wanneer u uitlogt).
• Een cookie van tien minuten tijdens het inloggen met tweestapsverificatie.
• De lokale opslag van uw browser onthoudt het type instelling dat u op het dashboard koos; die verlaat uw browser nooit.
• Advertentiecookies van Google alleen op de openbare voorpagina, wanneer advertenties zijn ingeschakeld en u toestemming gaf.
• Google Analytics-cookies (_ga, maximaal twee jaar) alleen nadat u ze in de cookiemelding accepteert; zonder acceptatie ontvangt Google alleen cookieloze, geaggregeerde pings die niemand identificeren.

Het gebruik van de site meten wij met Google Analytics 4 in consent mode: zonder uw toestemming wordt geen analytics-cookie geplaatst en geen identificatie opgeslagen. U kunt uw keuze altijd wijzigen via "Cookies" in de voettekst.

6. Hoe lang wij gegevens bewaren

• Accountgegevens: totdat u uw account verwijdert, of totdat een beheerder de organisatie verwijdert.
• Workspacecontent en het auditlog: totdat de organisatie ze verwijdert of wordt verwijderd.
• Verwijderde gegevens verdwijnen direct uit de actieve database en binnen dertig dagen uit back-ups.
• Facturatiegegevens: zeven jaar, zoals de Nederlandse belastingwetgeving vereist.
• Contactberichten en pakketaanvragen: totdat ze zijn afgehandeld, en hoogstens twee jaar.
• Gegevens van organisaties die wij benaderen en de uitgewisselde e-mails: twaalf maanden na het laatste contact, en direct verwijderd wanneer u bezwaar maakt; alleen het gegeven dat voorkomt dat wij opnieuw schrijven (het domein en een gehasht adres) wordt langer bewaard.
• Verzoeklogs van de hostingprovider en afleverlogs van de e-mailprovider: de korte periodes waarin die leveranciers ze bewaren.

7. Hoe wij gegevens beschermen

• Alle persoonsgegevens en workspacecontent worden veldsgewijs versleuteld (AES-256-GCM) voordat ze worden opgeslagen, bovenop de versleuteling in rust van de database. Wachtwoorden worden als scrypt-hash opgeslagen; tweestapsgeheimen en back-upcodes zijn versleuteld of gehasht.
• Verbindingen zijn versleuteld (TLS). Tweestapsverificatie is voor elke gebruiker beschikbaar, en een beheerder kan die voor de hele organisatie verplichten.
• Toegang tot ontsleutelde gegevens is beperkt tot de site-eigenaar en alleen voor ondersteuning, een verwijderverzoek of het site-overzicht. Elke wijziging in een workspace wordt vastgelegd in het auditlog van de organisatie.
• Raakt een beveiligingsincident uw gegevens, dan informeren wij de betrokken organisaties zonder onnodige vertraging en, waar vereist, de toezichthouder.

8. Uw rechten

U kunt uw gegevens zelf inzien, corrigeren, exporteren en verwijderen: uw eigen account onder Security, de organisatie en haar content onder Team (beheerders), exports onder Export and report. U hebt ook recht op beperking, bezwaar, overdraagbaarheid van gegevens en op het intrekken van uw toestemming voor alerts, op elk moment. Neem contact met ons op voor alles wat u niet zelf kunt doen; wij antwoorden binnen een maand.

U kunt een klacht indienen bij de Autoriteit Persoonsgegevens of bij de toezichthouder van uw eigen land.

9. Kinderen

De Dienst is bedoeld voor professionals. Wij verwerken niet bewust gegevens van personen jonger dan zestien jaar.

10. Wijzigingen

Wij kunnen deze verklaring aanpassen. De datum bovenaan toont de laatste wijziging; wezenlijke wijzigingen worden in de workspace of per e-mail aangekondigd.

11. Contact

AMLR Monitor wordt geëxploiteerd door Castor Concepts BV.