AVG-naleving

1. Onze belofte aan de AVG

UnnaData is opgericht met privacy als kernwaarde. Als AI-gedreven AVG-complianceplatform weten wij dat vertrouwen ons meest waardevolle bezit is. Wij zetten ons volledig in voor de naleving van de Algemene Verordening Gegevensbescherming (EU) 2016/679 („AVG“) en zorgen ervoor dat de gegevens van onze klanten met de grootste zorgvuldigheid en transparantie worden behandeld.

2. AVG-beginselen die wij volgen

De gegevensverwerkingsactiviteiten van UnnaData voldoen aan de zeven kernbeginselen van de AVG, zoals vastgelegd in artikel 5:

Beginsel	Hoe wij dit toepassen
Rechtmatigheid, behoorlijkheid, transparantie	Duidelijk privacybeleid, expliciete toestemmingsmechanismen, transparante gegevenspraktijken
Doelbinding	Gegevens worden alleen verzameld voor welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden
Minimale gegevensverwerking	Wij verzamelen alleen de minimale gegevens die nodig zijn om onze Diensten te leveren
Juistheid	Gebruikers kunnen hun informatie op elk moment bijwerken; regelmatige controles van de gegevenskwaliteit
Opslagbeperking	Vastgestelde bewaartermijnen voor alle gegevenscategorieën; automatisch verwijderingsbeleid
Integriteit & vertrouwelijkheid	Versleuteling, toegangscontroles, beveiligingsmonitoring en incidentrespons
Verantwoordingsplicht	Gedocumenteerd beleid, DPIA-processen, aanstelling van een FG, regelmatige audits

3. Rechtsgrondslag voor de verwerking

Wij verwerken persoonsgegevens op basis van de volgende rechtsgronden zoals vastgelegd in artikel 6, lid 1, AVG:

• Uitvoering van de overeenkomst (art. 6 lid 1 onder b AVG): Verwerking die noodzakelijk is om onze Diensten te leveren zoals overeengekomen in onze Gebruiksvoorwaarden, waaronder accountbeheer, documentopslag en AI-gedreven complianceanalyse.
• Gerechtvaardigd belang (art. 6 lid 1 onder f AVG): Beveiligingsmonitoring, fraudepreventie, serviceverbetering en analyse. Wij voeren belangenafwegingen uit om ervoor te zorgen dat onze belangen niet zwaarder wegen dan de rechten van betrokkenen.
• Toestemming (art. 6 lid 1 onder a AVG): Marketingcommunicatie, optionele analytische cookies en elke niet-essentiële verwerking. Toestemming kan te allen tijde worden ingetrokken.
• Wettelijke verplichting (art. 6 lid 1 onder c AVG): Bewaring van fiscale administratie, wettelijke rapportage en het beantwoorden van rechtmatige verzoeken om gegevenstoegang van autoriteiten.

4. Rechten van betrokkenen

Wij ondersteunen alle rechten van betrokkenen onder de AVG volledig. U kunt deze rechten op elk moment uitoefenen door contact op te nemen met onze FG:

• Recht van inzage (art. 15 AVG): Een volledige kopie opvragen van alle persoonsgegevens die wij over u bewaren.
• Recht op rectificatie (art. 16 AVG): Correctie verzoeken van onjuiste of onvolledige persoonsgegevens.
• Recht op gegevenswissing (art. 17 AVG): Verwijdering van uw persoonsgegevens verzoeken, met inachtneming van wettelijke bewaarplichten.
• Recht op beperking van de verwerking (art. 18 AVG): Verzoeken dat wij de verwerking van uw gegevens in bepaalde omstandigheden beperken.
• Recht op overdraagbaarheid van gegevens (art. 20 AVG): Uw gegevens ontvangen in een gestructureerd, gangbaar en machineleesbaar formaat.
• Recht van bezwaar (art. 21 AVG): Bezwaar maken tegen verwerking op basis van gerechtvaardigd belang of voor directmarketingdoeleinden.
• Rechten met betrekking tot geautomatiseerde besluitvorming (art. 22 AVG): Wij nemen geen besluiten die uitsluitend zijn gebaseerd op geautomatiseerde verwerking en die rechtsgevolgen hebben. Onze AI biedt aanbevelingen ter beoordeling door mensen.

Reactietermijn: Wij reageren binnen 30 dagen op alle verzoeken van betrokkenen. In complexe gevallen kunnen wij deze termijn met nog eens 60 dagen verlengen, met kennisgeving hiervan.

Toezichthoudende autoriteit: U hebt het recht om een klacht in te dienen bij de gegevensbeschermingsautoriteit van de EU-lidstaat waar u woont, werkt of waar de vermeende inbreuk heeft plaatsgevonden. UnnaData OÜ is gevestigd in Estland, waar de bevoegde toezichthoudende autoriteit de Andmekaitse Inspektsioon (Estse Inspectie voor Gegevensbescherming) is.

5. Technische & organisatorische maatregelen

Wij implementeren uitgebreide technische en organisatorische maatregelen om een passend beveiligingsniveau te waarborgen (artikel 32 AVG):

5.1 Technische maatregelen

• Versleuteling: AES-256 voor opgeslagen gegevens, TLS 1.3 voor gegevens tijdens verzending
• Authenticatie: E-mail/wachtwoord met JWT-tokens; kortlevende toegangstokens (30 min.) en langer geldige refreshtokens (7 dagen)
• Toegangscontrole: Rolgebaseerde toegangscontrole (RBAC) met de rollen Organisatiebeheerder, Beheerder en Lid
• Netwerkbeveiliging: VPC-isolatie, beveiligingsgroepen, versleutelde gRPC-communicatie
• Auditlogging: Uitgebreide logging van alle API-verzoeken, authenticatiegebeurtenissen en gegevenstoegang
• Back-up & herstel: Regelmatige versleutelde back-ups met geteste herstelprocedures

5.2 Organisatorische maatregelen

• Privacy by design: Aspecten van gegevensbescherming worden vanaf de ontwerpfase in elke functie ingebouwd
• Privacy by default: Standaard worden de meest restrictieve privacy-instellingen toegepast
• Training van medewerkers: Regelmatige AVG-bewustwording en beveiligingstrainingen voor alle teamleden
• Toegangsbeleid: Het principe van minimale toegangsrechten toegepast op alle interne systemen
• Leveranciersbeoordeling: Beveiligings- en privacybeoordeling van alle externe leveranciers
• Incidentrespons: Gedocumenteerd incidentresponsplan met vastgestelde rollen en procedures

6. Gegevensverwerking

6.1 UnnaData als verwerkingsverantwoordelijke

Wanneer u een account aanmaakt en ons platform gebruikt, treedt UnnaData op als verwerkingsverantwoordelijke voor uw persoonlijke accountgegevens (naam, e-mail, authenticatiegegevens, gebruiksgegevens).

6.2 UnnaData als verwerker

Wanneer u compliancedocumenten en gegevens naar ons platform uploadt, treedt UnnaData namens u op als verwerker. In deze hoedanigheid:

• verwerken wij uw gegevens uitsluitend volgens uw instructies (zoals vastgelegd in onze Gebruiksvoorwaarden en verwerkersovereenkomst)
• implementeren wij passende technische en organisatorische beveiligingsmaatregelen
• delen wij uw gegevens niet met derden, behalve voor zover noodzakelijk om de Diensten te leveren en zoals bekendgemaakt in ons Privacybeleid
• ondersteunen wij u bij het voldoen aan verzoeken van betrokkenen
• verwijderen of retourneren wij uw gegevens bij beëindiging van onze overeenkomst

6.3 Verwerkersovereenkomst

Wij bieden een uitgebreide verwerkersovereenkomst aan die voldoet aan artikel 28 AVG. Enterprise-klanten kunnen een aangepaste verwerkersovereenkomst aanvragen. Neem voor meer informatie contact op via legal@unnadata.com.

7. Subverwerkers

Wij houden een actuele lijst bij van subverwerkers die namens ons persoonsgegevens verwerken:

Subverwerker	Doel	Locatie	Waarborgen
Amazon Web Services (AWS)	Cloudinfrastructuur, hosting, opslag	EU (Ierland, eu-west-1)	Verwerkersovereenkomst, SOC 2, ISO 27001
Anthropic	AI-taalmodel (Claude) voor complianceanalyse	Verenigde Staten	Verwerkersovereenkomst, SCC's, beleid van nulbewaring van gegevens
Stripe	Betalingsverwerking	Verenigde Staten / EU	Verwerkersovereenkomst, SCC's, PCI DSS Level 1

Wij informeren klanten ten minste 30 dagen van tevoren over wijzigingen in onze lijst met subverwerkers, zodat u de gelegenheid hebt om bezwaar te maken.

8. Internationale doorgiften van gegevens

Uw gegevens worden hoofdzakelijk opgeslagen en verwerkt binnen de Europese Unie (AWS eu-west-1, Ierland). Wanneer gegevens buiten de EER moeten worden doorgegeven (bijvoorbeeld aan Anthropic voor AI-verwerking), zorgen wij ervoor dat passende waarborgen aanwezig zijn:

• Standaardcontractbepalingen (SCC's): door de EU goedgekeurde contractbepalingen conform het uitvoeringsbesluit (EU) 2021/914 van de Europese Commissie
• Beoordelingen van doorgiften: Wij beoordelen de gegevensbeschermingswetgeving in de ontvangende landen
• Aanvullende maatregelen: Aanvullende technische en organisatorische maatregelen, waaronder versleuteling, pseudonimisering en toegangscontroles
• Gegevensminimalisatie: Voor AI-verwerking wordt uitsluitend de minimaal noodzakelijke hoeveelheid gegevens doorgegeven

9. Melding van datalekken

In geval van een inbreuk in verband met persoonsgegevens volgen wij een strikt meldingsprotocol in overeenstemming met de artikelen 33 en 34 AVG:

• Interne detectie: Continue beveiligingsmonitoring en geautomatiseerde waarschuwingssystemen
• Melding aan de autoriteit binnen 72 uur: Wij stellen de bevoegde toezichthoudende autoriteit binnen 72 uur na kennisname van een meldingsplichtig datalek op de hoogte
• Melding aan klanten: Wij informeren getroffen klanten zonder onredelijke vertraging, met details over de inbreuk, de waarschijnlijke gevolgen en de genomen maatregelen
• Melding aan betrokkenen: Wanneer de inbreuk waarschijnlijk een hoog risico voor personen met zich meebrengt, informeren wij de getroffen betrokkenen rechtstreeks
• Documentatie: Alle inbreuken worden gedocumenteerd met feiten, gevolgen en genomen corrigerende maatregelen

10. Functionaris voor gegevensbescherming

UnnaData heeft overeenkomstig artikel 37 AVG een functionaris voor gegevensbescherming (FG) aangesteld. Onze FG is verantwoordelijk voor:

• het toezicht op de naleving van de AVG en gerelateerde wetgeving inzake gegevensbescherming
• advisering over gegevensbeschermingseffectbeoordelingen
• het functioneren als aanspreekpunt voor betrokkenen en toezichthoudende autoriteiten
• het trainen van medewerkers over verplichtingen op het gebied van gegevensbescherming

U kunt onze FG bereiken via: dpo@unnadata.com

11. Gegevensbeschermingseffectbeoordelingen

Wij voeren gegevensbeschermingseffectbeoordelingen (DPIA's) uit zoals vereist door artikel 35 AVG voor verwerkingsactiviteiten die waarschijnlijk een hoog risico voor betrokkenen met zich meebrengen. Dit omvat:

• AI-gedreven documentanalyse en chatfuncties
• grootschalige verwerking van compliancedocumenten
• de ontwikkeling van nieuwe functies waarbij persoonsgegevens betrokken zijn
• wijzigingen in subverwerkers of mechanismen voor gegevensdoorgifte

DPIA's worden regelmatig herzien en bijgewerkt, en onze FG wordt gedurende het hele proces geraadpleegd.

12. Contact

Voor vragen over onze AVG-naleving of om uw rechten op het gebied van gegevensbescherming uit te oefenen:

• Functionaris voor gegevensbescherming: dpo@unnadata.com
• Privacyvragen: privacy@unnadata.com
• Juridisch team: legal@unnadata.com

Voor meer informatie over hoe wij uw persoonsgegevens verwerken, raadpleeg ons Privacybeleid en ons Cookiebeleid.