Privacyverklaring

1. Wie wij zijn

Verwerkingsverantwoordelijke is V.O.F. NORD SOLUTIONS (handelsnaam NORD), Musschenbroekstraat 50, 5621 ED Eindhoven, Nederland (KvK 42120558 · btw NL869821039B01). In deze verklaring heet dat "NORD", "wij" of "ons".

Voor alles over privacy en je rechten: privacy@nordsolutions.nl of per post op het adres hierboven, ter attentie van "Privacy". We hebben geen functionaris voor gegevensbescherming (FG) aangesteld, omdat de AVG dat voor onze organisatie niet verplicht (art. 37 AVG); dit adres is ons aanspreekpunt.

2. Onze rol: verantwoordelijke en verwerker

Voor de gegevens die we over jóu verwerken (als bezoeker, geïnteresseerde of klant) zijn wij verwerkingsverantwoordelijke.

Gebruik je NORD voor je bedrijf, dan kan de inhoud die jij aanlevert persoonsgegevens van anderen bevatten: e-mails van je klanten, facturen van leveranciers, documenten in je kennisbank. Voor die gegevens ben jij (je organisatie) verwerkingsverantwoordelijke en zijn wij verwerker. Daarvoor geldt onze verwerkersovereenkomst (art. 28 AVG), die onderdeel is van onze voorwaarden. We verwerken die gegevens alleen op jouw instructie en om de dienst te leveren.

3. Welke gegevens we verwerken

Per situatie, zo concreet mogelijk:

We vragen niet om bijzondere persoonsgegevens (zoals gezondheid, religie of politieke voorkeur) en hebben die niet nodig. Zet je ze toch in een bericht of document, dan verwerken we ze alleen om je opdracht uit te voeren. Wij gebruiken je burgerservicenummer niet.

4. Waarvoor en op welke grondslag

Waar we op gerechtvaardigd belang leunen, hebben we afgewogen dat jouw belangen niet zwaarder wegen: het gaat om beveiliging en om cijfers die niet tot jou te herleiden zijn. Je kunt daar altijd bezwaar tegen maken (§11).

Gegevens die nodig zijn om de overeenkomst uit te voeren (zoals je e-mailadres) zijn verplicht: zonder kunnen we je geen account geven. Velden in formulieren die als optioneel zijn gemarkeerd, mag je leeg laten.

5. Hoe de AI met je gegevens omgaat

NORD werkt met grote taalmodellen van gespecialiseerde aanbieders. Om een antwoord te maken sturen we je bericht, de relevante context (eerdere berichten, passages uit je kennisbank, resultaten van tools) en NORD's instructies naar het model.

• Modelverzoeken lopen via OpenRouter, Inc. (Verenigde Staten), dat het verzoek doorgeeft aan de aanbieder van het gekozen model en het antwoord terugstuurt.
• Het standaardmodel is een Claude-model van Anthropic. In de modelkiezer kun je zelf een ander model kiezen; daar staat per model de aanbieder.
• Een deel van de modellen wordt uitgevoerd door aanbieders in de Volksrepubliek China. Die dragen een zichtbare CN-markering, zijn bij ons nooit de standaard en worden alleen gebruikt als jij ze zelf kiest. Voor China geldt geen adequaatheidsbesluit; zie §8. Wil je ze voor je account laten uitzetten, mail ons.
• Na elk afgerond gesprek laat NORD een klein model korte geheugennotities voorstellen (bijv. je voorkeuren of feiten over je bedrijf), zodat NORD je beter helpt. Ook voor titels en het maken van skills gebruiken we zo'n klein model. Die verzoeken sturen we uitsluitend naar aanbieders in de VS of EU die het verzoek niet bewaren voor eigen doeleinden; nooit naar een aanbieder in China. Je geheugen kun je in de app bekijken, aanpassen en wissen.
• Om in je kennisbank te kunnen zoeken, stuurt NORD stukken tekst uit de documenten die je toevoegt naar OpenAI (model text-embedding-3-small, VS), dat er een getallenreeks van maakt. Die getallenreeks en je documenten bewaren we in de EU; OpenAI gebruikt API-gegevens volgens zijn voorwaarden niet om modellen te trainen.
• NORD zelf gebruikt jouw inhoud niet om AI-modellen te trainen. Hoe lang een modelaanbieder een verzoek tijdelijk bewaart (bijvoorbeeld voor misbruikdetectie), staat in diens eigen voorwaarden; die zijn gelinkt in §9.
• Geautomatiseerde besluitvorming met rechtsgevolgen (art. 22 AVG) vindt niet plaats. Een AI-oordeel, zoals een gemarkeerde factuur in Financiën, is een advies: een mens beslist.
• Handelingen naar buiten (een e-mail versturen, iets publiceren): in een gesprek is NORD ingesteld om eerst jouw bevestiging te vragen; bij doelen en geplande taken wacht NORD op jouw goedkeuring voordat zo'n actie wordt uitgevoerd.

6. Cookies en vergelijkbare technieken

We gebruiken geen advertentie- of trackingcookies van derden en geen marketingpixels. Analytische cookies plaatsen we alleen na je toestemming; je wijzigt je keuze via "Cookie-instellingen" onderaan elke pagina.

Functionele cookies zijn nodig om de dienst te laten werken en vallen onder de uitzondering van artikel 11.7a Telecommunicatiewet; daarvoor vragen we geen toestemming.

7. Met wie we gegevens delen

We verkopen je gegevens nooit en delen ze niet met adverteerders. We delen ze alleen met:

• Verwerkers die ons helpen de dienst te leveren (hosting, database, betalingen, e-mail, AI-modellen, foutmeldingen). Met elk hebben we een verwerkersovereenkomst; de volledige lijst staat in §9.
• Diensten die jíj koppelt (zoals Google, Microsoft, Notion, Zapier of Exact Online). Daar gaan gegevens alleen heen of komen ze vandaan op jouw opdracht; met die diensten heb je zelf een overeenkomst.
• Onze boekhouder en de Belastingdienst, voor de fiscale administratie.
• Bevoegde instanties, als de wet ons daartoe verplicht. We controleren zo'n vordering eerst en informeren je, tenzij dat niet mag.
• Een eventuele opvolger van ons bedrijf bij een overname of fusie, onder dezelfde bescherming; we laten je dat vooraf weten.

8. Gegevens buiten de Europese Economische Ruimte

Je account, gesprekken, kennisbank, geheugen en versleutelde sleutels staan in de EU: de database bij Supabase in Frankfurt en de AI-server bij DigitalOcean in Amsterdam. De websites draaien bij Vercel in EU-regio's.

Een aantal verwerkers is (ook) gevestigd in de Verenigde Staten, met name voor AI-modellen (OpenRouter en de modelaanbieders) en foutmeldingen. Doorgifte naar de VS gebeurt op basis van het EU-VS Data Privacy Framework waar de ontvanger daarvoor gecertificeerd is, en anders op basis van de standaardcontractbepalingen van de Europese Commissie (2021/914), met aanvullende maatregelen waar nodig (zoals versleuteling tijdens transport).

Kies je zelf een model met de CN-markering, dan gaat de inhoud van dat verzoek naar een aanbieder in de Volksrepubliek China. Daarvoor bestaat geen adequaatheidsbesluit, en de Chinese wet kan aanbieders verplichten gegevens aan autoriteiten te verstrekken. Verwerk je persoonsgegevens van anderen, dan raden we deze modellen af.

9. Onze verwerkers

Wijzigt deze lijst, dan passen we hem hier aan; zakelijke klanten met een verwerkersovereenkomst krijgen een nieuwe subverwerker ten minste 30 dagen vooraf gemeld en kunnen bezwaar maken.

10. Hoe lang we gegevens bewaren

11. Jouw rechten

Je hebt de volgende rechten (art. 15-22 AVG):

• Inzage: weten welke gegevens we van je hebben en een kopie krijgen. In de app: Instellingen → Account → gegevens exporteren.
• Correctie: onjuiste gegevens laten aanpassen. Je e-mailadres en voorkeuren wijzig je zelf in de app.
• Verwijdering: je account en gegevens laten wissen. In de app via Instellingen → Account; gegevens met een wettelijke bewaarplicht (facturatie) houden we zo lang als de wet voorschrijft.
• Beperking: de verwerking tijdelijk laten stoppen, bijvoorbeeld terwijl we een correctieverzoek beoordelen.
• Overdraagbaarheid: je gegevens in een gangbaar, machineleesbaar formaat krijgen (de export in de app).
• Bezwaar: tegen verwerking op grond van gerechtvaardigd belang, en altijd tegen direct marketing.
• Toestemming intrekken: voor cookies via "Cookie-instellingen", voor al het andere per e-mail. Intrekken geldt voor de toekomst.

Een verzoek stuur je naar privacy@nordsolutions.nl. We reageren binnen een maand; bij complexe verzoeken kan dat met twee maanden worden verlengd, en dan laten we je dat binnen de eerste maand weten. Het is gratis. Om te voorkomen dat iemand anders jouw gegevens opvraagt, kunnen we je vragen te bevestigen vanaf het e-mailadres van je account; we vragen nooit om een kopie van je identiteitsbewijs.

Ben je klant van een bedrijf dat NORD gebruikt en gaat je verzoek over gegevens die dat bedrijf in NORD verwerkt (§2), richt je dan tot dat bedrijf; wij helpen het om je verzoek af te handelen.

12. Beveiliging

• Alle verbindingen zijn versleuteld (TLS). Toegangssleutels en API-sleutels van gekoppelde diensten slaan we versleuteld op met AES-256-GCM; je ziet ze in de app alleen afgekort terug.
• Elke klant heeft een eigen, afgeschermde werkomgeving op de AI-server; de database staat toegang van buiten standaard niet toe, en elke databasevraag is beperkt tot de ingelogde gebruiker.
• Inloggen gaat met een wachtwoord dat alleen gehasht wordt opgeslagen; gevoelige acties zijn beschermd tegen CSRF en worden beperkt in aantal (rate limiting).
• Beheertoegang is beperkt tot aangewezen NORD-medewerkers, wordt gelogd, en de beheeromgeving staat op een apart domein met een eigen inlog.
• We testen de beveiliging periodiek (onder meer penetratietests), houden software bij met beveiligingsupdates en maken dagelijks versleutelde back-ups.

Gaat er toch iets mis met persoonsgegevens (een datalek), dan melden we dat binnen 72 uur bij de Autoriteit Persoonsgegevens als dat verplicht is, en informeren we jou zonder onnodige vertraging als het lek een hoog risico voor je oplevert (art. 33-34 AVG).

13. Kinderen

NORD is bedoeld voor bedrijven en niet voor personen jonger dan 16 jaar. We verwerken niet bewust gegevens van kinderen. Denk je dat dat toch gebeurt, neem dan contact op; dan verwijderen we die gegevens.

14. Een klacht

Ben je niet tevreden over hoe we met je gegevens omgaan, laat het ons eerst weten; we lossen het graag op. Je hebt altijd het recht een klacht in te dienen bij de Autoriteit Persoonsgegevens of bij de toezichthouder in het EU-land waar je woont of werkt.

15. Wijzigingen

We passen deze verklaring aan als onze dienst of de wet verandert. De datum bovenaan laat zien wanneer dat voor het laatst gebeurde. Bij belangrijke wijzigingen sturen klanten we ten minste 30 dagen vooraf een e-mail.