Privacyverklaring

Normy is een dienst van omCode B.V., gevestigd aan Hulsbekenkamp 4, 7576 GA Oldenzaal, Nederland, ingeschreven bij de Kamer van Koophandel onder nummer 42135855 (btw NL869881371B01). Normy is een handelsnaam van omCode B.V.. Voor vragen over deze verklaring of je gegevens kun je mailen naar support@normy.nl.

Voor de gegevens die je als klant in Normy invoert (documenten, antwoorden, auditgegevens) treedt jouw organisatie op als verwerkingsverantwoordelijke en omCode B.V. als verwerker. Hiervoor geldt onze verwerkersovereenkomst (DPA).

• Accountgegevens. Naam, e-mailadres, organisatie en inloggegevens van gebruikers die een account aanmaken.
• Inhoud die je invoert.Geüploade documenten en de tekst daaruit, antwoorden in de vragenronde, audit- en afwijkingsgegevens, risico's en de Verklaring van Toepasselijkheid. Deze inhoud kan persoonsgegevens bevatten als jij die erin zet.
• Spraak (optioneel). Bij het mondelinge belgesprek wordt de ingesproken audio omgezet naar tekst; de tekst wordt opgeslagen bij de betreffende eis.
• Respondentgegevens. Wanneer je een nulmeting uitstuurt, verwerken we de naam en (optioneel) het e-mailadres van de uitgenodigde personen en hun antwoorden.
• Betaalgegevens. Betalingen lopen via Stripe; wij ontvangen factuur-/transactiegegevens, geen volledige kaartgegevens.
• Gebruiks- en loggegevens. Technische gegevens voor beveiliging, foutopsporing en het bijhouden van AI-verbruik.

Voor het beoordelen van documenten en antwoorden gebruikt Normy taalmodellen. Welke partij dit uitvoert hangt af van de AI-stack die jouw organisatie kiest (instelbaar in de app):

• Stack “Europa”: verwerking via Mistral AI binnen de EU.
• Stack “Wereldwijd”: verwerking via Anthropic (Claude) en, voor grote dossiers en spraakherkenning, OpenAI, beide in de VS.

We sturen alleen de voor de beoordeling relevante tekst mee. Met deze partijen zijn zakelijke voorwaarden van toepassing waarin invoer in beginsel niet voor modeltraining wordt gebruikt. Zie de verwerkersovereenkomst voor het volledige sub-verwerkersoverzicht.

De data-laag (database, authenticatie) draait bij Supabase in de EU. Hosting verloopt via Vercel (EU-regio aanbevolen). Bij de stack “Wereldwijd” en bij Stripe kan verwerking buiten de EU (VS) plaatsvinden; voor die doorgifte gelden de standaardcontractbepalingen (SCC's) van de Europese Commissie. Kies de stack “Europa” als je verwerking volledig binnen de EU wilt houden.

We schakelen externe partijen in die namens ons gegevens verwerken. De actuele lijst (Supabase, Vercel, Stripe, Brevo voor transactionele e-mail, Sentry voor foutmonitoring, en afhankelijk van de stack Anthropic/OpenAI of Mistral, en voor de spraakstem ElevenLabs bij de stack “Wereldwijd” of Microsoft Azure bij de stack “Europa”) staat in de verwerkersovereenkomst.

De afspraken met deze sub-verwerkers en de aansprakelijkheid daarvoor worden uitsluitend geregeld in de verwerkersovereenkomst en de algemene voorwaarden. Deze privacyverklaring is informatief en schept op dat punt geen aanvullende of ruimere verplichtingen.

We bewaren je gegevens zolang je account actief is. Verwijder je gegevens of je account, dan worden ze verwijderd, met een herstelperiode van 90 dagen voor per ongeluk verwijderde audits (prullenbak). API-providers bewaren invoer doorgaans kort (vaak tot 30 dagen) voor misbruikdetectie. Factuurgegevens bewaren we zolang de wet dat vereist.

Je hebt recht op inzage, correctie, verwijdering, beperking, bezwaar en dataportabiliteit. In de app kun je je organisatiedata exporteren (JSON) en een accountverwijdering aanvragen via Instellingen. Voor overige verzoeken mail je support@normy.nl.

Let op: voor de inhoud die je als klant invoert, is jouw organisatie de verwerkingsverantwoordelijke. Verzoeken van betrokkenen over die inhoud lopen daarom in beginsel via jouw organisatie; wij verlenen daarbij ondersteuning conform de verwerkersovereenkomst.

Je kunt ook een klacht indienen bij de Autoriteit Persoonsgegevens.

Normy gebruikt functionele cookies en lokale opslag die noodzakelijk zijn om de dienst te laten werken: je inlogsessie en je voorkeur voor licht/donker thema. Deze plaatsen we altijd; ze vereisen geen toestemming.

Daarnaast gebruiken we Google Analytics om te begrijpen hoe de site gebruikt wordt, zodat we die kunnen verbeteren. Deze analytische cookies plaatsen we alleen met jouw toestemming (via de cookiemelding). Weiger je, of geef je geen toestemming, dan wordt Google Analytics niet geladen. Bij deze verwerking wordt je IP-adres geanonimiseerd; Google kan gegevens buiten de EU verwerken.

Voor marketingattributie bewaren we, als je via een advertentie of campagnelink binnenkomt, de bijbehorende kenmerken (Google-klik-ID en UTM-parameters) maximaal 90 dagen in je eigen browser (lokale opslag en een cookie). Meld je daarna aan, dan koppelen we die kenmerken aan je organisatie zodat we weten welke campagne tot een aanmelding leidde. Met jouw toestemming meten we via Google Ads welke advertenties tot een aanmelding of betaling leiden; zonder toestemming wordt de Google Ads-tag niet geladen. Ook hierbij kan Google gegevens buiten de EU verwerken. Je kunt je toestemming altijd intrekken via de cookievoorkeuren onderaan de site.

We nemen passende technische en organisatorische maatregelen, zoals versleuteling tijdens transport, strikte toegangscontrole op rijniveau (RLS) per organisatie, en gescheiden bevoegdheden. Geen enkele dienst is 100% veilig; meld een vermoedelijk lek via support@normy.nl.

We kunnen deze verklaring aanpassen. De datum bovenaan toont de laatste wijziging; bij ingrijpende wijzigingen informeren we je actief.