Privacybeleid

Overzicht

Bij Nordvec geven we prioriteit aan gegevensbeveiliging en vertrouwelijkheid. In dit privacybeleid leggen we uit hoe we persoonsgegevens verzamelen, gebruiken, delen en opslaan wanneer je onze website bezoekt, een account aanmaakt of ons AI‑platform gebruikt. Wanneer je onze Dienst gebruikt namens je werkgever, die onze B2B‑klant is, treden wij in de eerste plaats op als verwerker en treedt je werkgever op als verwerkingsverantwoordelijke. Dit beleid is van toepassing op gegevens die wij verwerken als verwerkingsverantwoordelijke, zoals je inloggegevens, betaalgegevens en website‑analyses. Voor gegevens die wij namens je werkgever verwerken, verwijzen we je naar onze verwerkersovereenkomst (DPA).

1. Welke gegevens verzamelen we?

We verzamelen: identificatie- en contactgegevens (naam, e‑mail, bedrijfsnaam), account- en authenticatiegegevens (wachtwoorden gehasht via bcrypt, profielfoto's via OAuth, integratietokens versleuteld met AES-256), betaalinformatie (verwerkt via onze EU‑betaalprovider Mollie zodra facturering is ingeschakeld; we slaan alleen een tokenreferentie op, nooit volledige kaartgegevens), technische gegevens (IP‑adres gemaskeerd in Sentry, browsertype, tijdstippen van inloggen, paginaweergaven), gegevens van desktopbestandssynchronisatie (bestandsnamen, inhoud en metadata van lokaal gesynchroniseerde mappen, waarbij bestandspaden in gehashte vorm worden opgeslagen) en AI‑interactiegeschiedenis (vragen, AI‑antwoorden, geciteerde bronnen en tijdstempels).

2. Doel en rechtsgrond

We verwerken je persoonsgegevens voor: dienstverlening (art. 6(1)(b): je gebruikersaccount aanmaken en beheren, ondersteuning bieden), betaling en boekhouding (art. 6(1)(c): facturatie en bewaarplicht van 5 jaar volgens de Deense boekhoudwet), verbetering en beveiliging (art. 6(1)(f): misbruik voorkomen, fouten opsporen en geanonimiseerde gebruiksgegevens analyseren; we trainen AI‑modellen NIET op jouw gegevens) en marketing (art. 6(1)(a): nieuwsbrieven en updates, alleen met actieve toestemming via de cookiebanner of het aanmeldformulier; op elk moment in te trekken).

3. Gebruik van AI en derden

Nordvec is gebouwd rond Large Language Models (LLM's). Nordvec gebruikt je zoekopdrachten of documenten niet om AI‑modellen te trainen. Per zoekopdracht worden slechts 5-15 relevante documentfragmenten verzonden, nooit hele documenten. Je gegevens zijn per tenant geïsoleerd via Row Level Security (RLS) op alle databasetabellen. Generatie vindt plaats in Frankrijk en embeddings en herrangschikking in Berlijn. Documenten worden opgeslagen in Ierland en Neurenberg. Sommige aanbieders zijn gevestigd buiten de Europese Economische Ruimte, waardoor externe toegang volgens hoofdstuk V van de GDPR als een doorgifte telt. Ons register van verwerkers vermeldt elke aanbieder met de toepasselijke grondslag voor doorgifte.

4. Internationale doorgiften

Documenten worden opgeslagen in Ierland (via Supabase) en Neurenberg (via Hetzner). Alle AI‑verwerking vindt plaats in de EU: generatie in Frankrijk, embeddings in Berlijn. We migreren naar onze eigen servers in Duitsland. Totdat deze migratie is voltooid, worden sommige aanbieders gehost binnen de EU met een moederbedrijf buiten de EER. Ons register van verwerkers vermeldt elke aanbieder, de grondslag voor doorgifte en de status van de migratie.

5. Bewaartermijn van gegevens

We bewaren je profielgegevens zolang je een actief account hebt. Wanneer je je account verwijdert, worden alle persoonsgegevens atomair verwijderd, documenten, gesprekken, geheugen, embeddings, integratietokens en opslagbestanden. Boekhoudkundige gegevens bewaren we 5 jaar volgens de Deense boekhoudwet, revisielogs worden geanonimiseerd maar bewaard volgens art. 12 van de EU AI Act, en back‑ups van Supabase roteren automatisch na 7 dagen. Gegevens uit gekoppelde systemen worden verwijderd bij de volgende synchronisatiecyclus of binnen 30 dagen na beëindiging van het contract.

6. Jullie rechten

Onder de GDPR hebben jullie de volgende zelfbedieningsrechten: Recht op inzage (Art. 15) via Instellingen > Account > Gegevens exporteren, Recht op rectificatie (Art. 16) door jullie profiel en gespreksgeschiedenis direct te bewerken, Recht op verwijdering (Art. 17) via Instellingen > Account > Account verwijderen (onomkeerbaar), Recht op beperking (Art. 18) via bron‑toggles en uploaduitsluitingsinstellingen, Recht op gegevensoverdraagbaarheid (Art. 20) via gestructureerde JSON‑export, Recht van bezwaar (Art. 21) door contact op te nemen via privacy@nordvec.com, en met betrekking tot Geautomatiseerde beslissingen (Art. 22): onze AI is uitsluitend adviserend en neemt nooit bindende beslissingen over individuen.

7. Cookies

We gebruiken noodzakelijke cookies, sessietokens en authenticatie, die niet kunnen worden uitgeschakeld, analytische cookies, alleen met actieve toestemming via de cookiebanner, en marketingcookies, alleen met actieve toestemming. Zie ons aparte cookiebeleid voor meer informatie. Je kunt je voorkeuren op elk moment wijzigen via Cookie‑instellingen in de footer.

8. Wijzigingen in dit beleid

We behouden ons het recht voor om dit privacybeleid bij te werken om wijzigingen in wetgeving of onze Dienst te weerspiegelen. We brengen je per e‑mail of via het platform op de hoogte van belangrijke wijzigingen.

9. Contact

Als jullie vragen hebben of jullie rechten willen uitoefenen, neem contact op met: Nordvec ApS, E‑mail: privacy@nordvec.com, Functionaris Gegevensbescherming: dpo@nordvec.com, Website: nordvec.com. Jullie hebben ook het recht om een klacht in te dienen bij de Deense Gegevensbeschermingsautoriteit (www.datatilsynet.dk).