Privacyverklaring

Normy is een dienst van omCode B.V., gevestigd aan Hulsbekenkamp 4, 7576 GA Oldenzaal, Nederland, ingeschreven bij de Kamer van Koophandel onder nummer 42135855 (btw NL869881371B01). Normy is een handelsnaam van omCode B.V.. Voor vragen over deze verklaring of je gegevens kun je mailen naar support@normy.nl.

Voor de gegevens die je als klant in Normy invoert (documenten, antwoorden, auditgegevens) treedt jouw organisatie op als verwerkingsverantwoordelijke en omCode B.V. als verwerker. Hiervoor geldt onze verwerkersovereenkomst (DPA).

• Accountgegevens. Naam, e-mailadres, organisatie en inloggegevens van gebruikers die een account aanmaken. Log je in met Microsoft of Google, dan ontvangen we van hen je naam, je e-mailadres en een kenmerk van je account. Je wachtwoord daar zien we niet.
• Inhoud die je invoert. Geüploade documenten en de tekst daaruit, antwoorden in de vragenronde, audit- en afwijkingsgegevens, risico's en de Verklaring van Toepasselijkheid. Deze inhoud kan persoonsgegevens bevatten als jij die erin zet.
• Spraak (optioneel). Bij het mondelinge belgesprek wordt de ingesproken audio omgezet naar tekst; de tekst wordt opgeslagen bij de betreffende eis.
• Respondentgegevens. Wanneer je een nulmeting uitstuurt, verwerken we de naam en (optioneel) het e-mailadres van de uitgenodigde personen en hun antwoorden.
• Betaalgegevens. Betalingen lopen via Stripe; wij ontvangen factuur-/transactiegegevens, geen volledige kaartgegevens.
• Gebruiks- en loggegevens. Technische gegevens voor beveiliging, foutopsporing en het bijhouden van AI-verbruik.

Voor het beoordelen van documenten en antwoorden gebruikt Normy taalmodellen. Welke partij dit uitvoert hangt af van de AI-stack die jouw organisatie kiest (instelbaar in de app). Kiest je organisatie voor Normy zonder AI, dan wordt geen AI-partij ingeschakeld:

• Stack “Europa”: verwerking via Mistral AI binnen de EU.
• Stack “Wereldwijd”: verwerking via Anthropic (Claude) en, voor grote dossiers en spraakherkenning, OpenAI, beide in de VS.
• Normy zonder AI: geen AI-partij. Er gaat niets naar een AI-model; een audit is dan een zelfbeoordeling met controlevragen, en het voorstel voor het oordeel is een vaste rekenregel.

We sturen alleen de voor de beoordeling relevante tekst mee. Met deze partijen zijn zakelijke voorwaarden van toepassing waarin invoer in beginsel niet voor modeltraining wordt gebruikt. Zie de verwerkersovereenkomst voor het volledige sub-verwerkersoverzicht.

De data-laag (database, authenticatie) draait bij Supabase in de EU. Hosting verloopt via Vercel (EU-regio aanbevolen). Bij de stack “Wereldwijd” en bij Stripe kan verwerking buiten de EU (VS) plaatsvinden; voor die doorgifte gelden de standaardcontractbepalingen (SCC's) van de Europese Commissie. Kies de stack “Europa” of Normy zonder AI als je verwerking volledig binnen de EU wilt houden.

We schakelen externe partijen in die namens ons gegevens verwerken. De actuele lijst (Supabase, Vercel, Stripe, Brevo voor transactionele e-mail, Sentry voor foutmonitoring, en afhankelijk van de stack Anthropic/OpenAI of Mistral, en voor de spraakstem ElevenLabs bij de stack “Wereldwijd” of Microsoft Azure bij de stack “Europa”) staat in de verwerkersovereenkomst.

De afspraken met deze sub-verwerkers en de aansprakelijkheid daarvoor worden uitsluitend geregeld in de verwerkersovereenkomst en de algemene voorwaarden. Deze privacyverklaring is informatief en schept op dat punt geen aanvullende of ruimere verplichtingen.

We bewaren je gegevens zolang je account actief is. Verwijder je gegevens of je account, dan worden ze verwijderd, met een herstelperiode van 90 dagen voor per ongeluk verwijderde onderdelen (de prullenbak, die geldt voor onder meer audits, documenten, risico's, doelstellingen, registers en reviews). API-providers bewaren invoer doorgaans kort (vaak tot 30 dagen) voor misbruikdetectie. Factuurgegevens bewaren we zolang de wet dat vereist. Een aanvraag voor een kennismaking via de website (naam, e-mailadres, bedrijf, norm en wat je verder invult, plus de campagne waarmee je op de site kwam) bewaren we twaalf maanden en verwijderen we daarna automatisch.

Je hebt recht op inzage, correctie, verwijdering, beperking, bezwaar en dataportabiliteit. In de app kun je je organisatiedata exporteren (JSON) en een accountverwijdering aanvragen via Instellingen. Voor overige verzoeken mail je support@normy.nl.

Let op: voor de inhoud die je als klant invoert, is jouw organisatie de verwerkingsverantwoordelijke. Verzoeken van betrokkenen over die inhoud lopen daarom in beginsel via jouw organisatie; wij verlenen daarbij ondersteuning conform de verwerkersovereenkomst.

Je kunt ook een klacht indienen bij de Autoriteit Persoonsgegevens.

Normy gebruikt functionele cookies en lokale opslag die noodzakelijk zijn om de dienst te laten werken: je inlogsessie en je voorkeur voor licht/donker thema. Deze plaatsen we altijd; ze vereisen geen toestemming.

Daarnaast gebruiken we Google Analytics om te begrijpen hoe de site gebruikt wordt, zodat we die kunnen verbeteren. Deze analytische cookies plaatsen we alleen met jouw toestemming (via de cookiemelding). Weiger je, of geef je geen toestemming, dan wordt Google Analytics niet geladen. Bij deze verwerking wordt je IP-adres geanonimiseerd; Google kan gegevens buiten de EU verwerken.

Voor marketingattributie bewaren we, als je via een advertentie of campagnelink binnenkomt, de bijbehorende kenmerken (Google-klik-ID en UTM-parameters) maximaal 90 dagen in je eigen browser (lokale opslag en een cookie). Meld je daarna aan, dan koppelen we die kenmerken aan je organisatie zodat we weten welke campagne tot een aanmelding leidde. Met jouw toestemming meten we via Google Ads welke advertenties tot een aanmelding of betaling leiden; zonder toestemming wordt de Google Ads-tag niet geladen. Ook hierbij kan Google gegevens buiten de EU verwerken. Je kunt je toestemming altijd intrekken via de cookievoorkeuren onderaan de site.

We nemen passende technische en organisatorische maatregelen om je gegevens te beschermen. De belangrijkste:

• Versleuteling tijdens transport. Al het verkeer loopt over versleutelde verbindingen (HTTPS/TLS).
• Afscherming per organisatie. Toegangscontrole op rijniveau (row-level security) zorgt dat je uitsluitend bij de gegevens van je eigen organisatie kunt; klantdata is strikt gescheiden.
• Least privilege en rolscheiding. Uitgebreide (service-)rechten draaien alleen server-side; binnen de app gelden rollen (eigenaar, beheerder, medewerker) met eigen bevoegdheden.
• Beheerde authenticatie. Inloggen verloopt via Supabase Auth; wachtwoorden worden gehasht opgeslagen en zijn voor ons nooit zichtbaar. Sessiecookies zijn Secure en SameSite=Lax.
• Data in de EU. Database en authenticatie draaien bij Supabase binnen de EU; zie sectie 5 voor doorgifte.
• Rate-limiting. Gevoelige en AI-endpoints zijn begrensd tegen misbruik en overbelasting.
• Support-toegang onder controle. Meekijken door support (impersonatie) kan alleen met jouw expliciete toestemming, is in tijd beperkt en wordt vastgelegd.
• Herstelbaarheid. Verwijderde onderdelen gaan 90 dagen naar de prullenbak; onze data-subverwerker maakt bovendien reguliere back-ups.
• Logging en monitoring. Een activiteiten- en wijzigingenlog in de app, plus geautomatiseerde foutmonitoring (Sentry), zodat we problemen snel opmerken.

Geen enkele dienst is 100% veilig; meld een vermoedelijk lek via support@normy.nl.

We kunnen deze verklaring aanpassen. De datum bovenaan toont de laatste wijziging; bij ingrijpende wijzigingen informeren we je actief.