Waar uw gegevens staan en wie erbij kan

6 van de 7 subverwerkers slaan uw gegevens op in de EU

Database, hosting, rate limiting en foutmeldingen staan in Frankfurt, e-mail in Dublin en betalingen bij Mollie in Amsterdam. Alleen de AI-functies lopen via Anthropic in de Verenigde Staten. Supabase en Sentry slaan in de EU op, maar kunnen voor support of beheer van buiten de EU bij de gegevens. In de tabel staat per partij op welke grondslag dat gebeurt.

Wij kondigen een wijziging in deze lijst minimaal 30 dagen vooraf aan bij elke organisatie-eigenaar van een betaald plan. De volledige lijst met toelichting staat op subverwerkers.

Welke maatregelen wij hebben getroffen

Deze tien staan als harde toezegging in artikel 8 van de verwerkersovereenkomst. Het is dus geen intentieverklaring op een marketingpagina, maar tekst waar u ons aan kunt houden.

• Encryptie in transit (TLS 1.2 of hoger) voor alle verbindingen met het Platform.
• Encryptie at rest op databases en back-ups (AES-256 bij Supabase).
• Toegangsbeheer met Row Level Security (RLS) op databaseniveau, waarbij gegevens gescheiden zijn per organisatie.
• Verplichte multi-factor authenticatie (MFA) voor beheerderstoegang van de Verwerker tot het Platform.
• Audit-logging van gebruikersacties en plan-wijzigingen.
• Periodieke back-ups met geografische redundantie binnen de EU.
• Secure Software Development Lifecycle, inclusief code review en afhankelijkheidsscans.
• Incident-responseprocedure en datalek-meldprocedure.
• Rate limiting, input-sanitization en misbruikpreventie op publieke endpoints.
• Schemawijzigingen worden vóór uitvoering getest in een teruggedraaide transactie tegen het productieschema, of op een geïsoleerde databasekopie.

Wij evalueren deze maatregelen minimaal jaarlijks. Op verzoek sturen wij het actuele overzicht toe.

Wat het platform daarnaast doet

De tien maatregelen hierboven zijn wat wij contractueel toezeggen. Deze punten beschrijven hoe het platform vandaag werkt, en het meeste ervan is na versie 2026.09.10 van de verwerkersovereenkomst gebouwd. Bindend blijft artikel 8.

• Tweestapsverificatie voor eigenaren en beheerders: Een eigenaar of beheerder kan in de accountinstellingen een authenticator-app koppelen. Daarna vraagt het platform bij elke nieuwe inlog om de code. Die eis staat ook in elke API-route die met een ingelogde sessie werkt en in de database zelf, zodat een sessie zonder code geen gegevens van uw organisatie kan lezen of wijzigen. De register-API werkt met API-tokens en vraagt geen code; zo'n token kan alleen een eigenaar of beheerder aanmaken. Gewone leden en medewerkers die alleen de e-learning volgen, kunnen tweestapsverificatie nog niet aanzetten, en een organisatie kan het nog niet verplicht stellen.
• Een bewezen adres bij aanmelden met e-mail: Wie zich met e-mail en wachtwoord aanmeldt, voert eerst een code uit de mailbox in; pas daarna ontstaat het account. Wie zich met een inloglink aanmeldt, komt pas binnen na een klik op de link in die mailbox. Wie een uitnodiging aanneemt, bewijst het adres met de link uit de uitnodigingsmail of met een code. Bij aanmelden met Microsoft komt het adres uit het Microsoft-account.
• Eén toegangscontrole voor de API: Bij de API-routes voor ingelogde gebruikers stelt één gedeelde controle vast of iemand ingelogd is, met de code als hij tweestapsverificatie heeft aangezet, en bij de meeste routes ook bij welke organisatie hij hoort en welke rol hij heeft. Routes met een eigen poort, zoals de betaalmeldingen van Mollie, de publieke formulieren, de geplande taken en de register-API met API-tokens, staan elk met een reden op een vaste lijst. Komt er een route bij die buiten de controle valt en niet met een reden op die lijst staat, dan faalt de automatische controle op die wijziging.
• Beveiligingsheaders: De site stuurt een HSTS-header mee, zodat een browser na het eerste bezoek alleen nog via HTTPS verbindt. Daarnaast een Content-Security-Policy, en een instelling die voorkomt dat een ander domein onze pagina's in een frame laadt.

Wie er van onze kant bij kan

Voor support moet een beheerder soms in uw omgeving kunnen kijken. Die mogelijkheid is beperkt tot een vaste lijst beheerders bij ons. Sinds 10 september 2026 rondt zo'n beheerder eerst een tweede factor af voordat hij erbij kan. Elke keer dat zo’n toegang wordt aangemaakt, legt het platform vast welke beheerder het deed, voor welke organisatie en wanneer. Die regel komt in het auditlogboek van uw eigen organisatie terecht en zit in de gegevensexport, dus u kunt hem opvragen zonder dat wij hem hoeven aan te leveren.

Wat er gebeurt bij een datalek

Wij informeren u zonder onredelijke vertraging, en uiterlijk binnen 72 uur nadat wij kennis hebben genomen van een datalek dat uw persoonsgegevens raakt. De melding bevat de aard van het lek, de categorieën en het geschatte aantal betrokkenen en records, de waarschijnlijke gevolgen, en de maatregelen die wij nemen. Artikel 33 lid 2 AVG eist van een verwerker alleen "zonder onredelijke vertraging"; die 72 uur is een aanscherping die wij contractueel op ons hebben genomen.

Daarna is het aan u. De melding bij de Autoriteit Persoonsgegevens doet u zelf binnen 72 uur (artikel 33 lid 1 AVG), en bij een hoog risico informeert u ook de betrokkenen zelf (artikel 34 AVG). Dat zijn andere termijnen dan de onze: die van u loopt vanaf het moment dat ú het weet. Wij leveren de informatie die u daarvoor nodig heeft. Vindplaats: artikel 12 van de verwerkersovereenkomst.

Een kwetsbaarheid melden

Vindt u een kwetsbaarheid, meld hem dan aan info@aicompliancehub.nl, in het Nederlands of het Engels. Hetzelfde adres staat in security.txt, de vaste plek waar onderzoekers het zoeken.

Hoe u dit zelf controleert

Op schriftelijk verzoek krijgt u de actuele subverwerkerslijst en het overzicht van technische en organisatorische maatregelen. Een audit op locatie kan eenmaal per jaar, na een aankondiging van 30 dagen en tijdens kantooruren. De kosten daarvan draagt u zelf, tenzij de audit een ernstige tekortkoming van onze kant aantoont. Wij hebben vandaag geen ISO 27001- of SOC 2-certificering; het auditrecht in artikel 15 is wat daarvoor in de plaats komt.