Privacyverklaring

1. Wie wij zijn

GuardMyContract is een online dienst waarmee organisaties hun contracten, opzegtermijnen en verlengingen overzichtelijk bijhouden (de "dienst"). In deze privacyverklaring leggen wij uit welke persoonsgegevens wij verwerken, waarom, en welke rechten u heeft.

• Rechtspersoon: [NOG IN TE VULLEN: naam rechtspersoon]
• Adres: [NOG IN TE VULLEN: vestigingsadres]
• KvK-nummer: [NOG IN TE VULLEN: KvK-nummer]
• E-mail: support@guardmycontract.com

Voor vragen over privacy en voor het uitoefenen van uw rechten kunt u ons bereiken via support@guardmycontract.com.

2. Onze rol

Voor uw account-, organisatie-, support-, beveiligings- en acceptatiegegevens bepalen wij zelf het doel en de middelen van de verwerking. Voor die gegevens zijn wij de verwerkingsverantwoordelijke.

Contracten die u uploadt, kunnen persoonsgegevens van anderen bevatten, zoals namen of contactgegevens van ondertekenaars en contactpersonen. Die gegevens verwerken wij in opdracht van de organisatie die het contract uploadt, om de dienst te kunnen leveren. Zie ook Persoonsgegevens in uw contracten.

3. Welke gegevens wij verwerken

Accountgegevens

Bij het aanmaken van een account vragen wij uw naam, uw e-mailadres en een wachtwoord. Uw wachtwoord slaan wij nooit zelf op: wij bewaren alleen een niet-terug te rekenen hash (scrypt).

Organisatie- en lidmaatschapsgegevens

De naam van uw organisatie, wie de organisatie heeft aangemaakt en wanneer, en welke gebruikers lid zijn met welke rol (eigenaar, beheerder, bewerker of lezer).

Geüploade contracten en documenten

Het pdf-bestand dat u uploadt, met de oorspronkelijke bestandsnaam, de bestandsgrootte, een technische vingerafdruk (hash), het aantal pagina's, de verwerkingsstatus en wie het bestand wanneer heeft geüpload.

Geëxtraheerde contractinformatie

• De tekst van elke pagina van het contract.
• De gevonden contractgegevens, zoals leverancier, soort contract, begin- en einddatum, opzegtermijn, automatische verlenging, verlengingsperiode, contractwaarde, betaalfrequentie en prijsindexatie, elk met het paginanummer en de geciteerde passage waar het gegeven is gevonden.
• Bevestigingen en correcties door gebruikers, met wie dat deed en wanneer.
• De data die wij daaruit berekenen, zoals opzegdeadlines en verlengingsdata.
• Technische gegevens over de AI-analyse: de gebruikte aanbieder en het model, de status en het aantal verwerkte tokens.
• Welke meldingen u als gelezen heeft gemarkeerd.

Supportberichten

Als u het supportformulier gebruikt: uw naam, e-mailadres, het onderwerp, uw bericht, uw IP-adres en het tijdstip. Wij vragen u geen wachtwoorden of contractinhoud in een supportbericht te zetten.

Sessie- en beveiligingsgegevens

• Uw sessie: alleen een hash van de sessiecode, wanneer de sessie is gestart, wanneer die voor het laatst is gebruikt en wanneer die verloopt.
• Tijdelijke tellingen om misbruik te voorkomen (rate limiting), per IP-adres, per e-mailadres (bij inloggen) of per gebruiker. Deze tellingen staan alleen in het werkgeheugen en worden na maximaal een uur vergeten.
• Technische applicatielogs met gebeurtenissen en foutcodes. Deze zijn zo opgezet dat er geen namen, e-mailadressen, IP-adressen of contracttekst in komen. [NOG IN TE VULLEN: eventuele toegangslogs van de webserver of hostingomgeving en hun bewaartermijn]

Audit- en beveiligingslog

Belangrijke handelingen leggen wij vast in een auditlog: aanmelden, inloggen en mislukte inlogpogingen, wijzigingen van naam en wachtwoord, het aanmaken van een organisatie, het uploaden en bekijken van documenten, bevestigingen, correcties, verwijderingen en verzoeken om een nieuwe analyse. Per handeling registreren wij wie het deed, wanneer, en vanaf welk IP-adres.

Acceptatie van de algemene voorwaarden

Bij het aanmaken van een account registreren wij welke versie van de algemene voorwaarden u heeft aanvaard (nu terms-v1), het tijdstip, uw IP-adres en uw bevestiging dat u het account aanmaakt namens een onderneming of organisatie.

Wat wij niet vragen

Wij vragen op dit moment geen adres, postcode, woonplaats, land, KvK-nummer, btw-nummer, telefoonnummer of betaalgegevens.

4. Waarom wij gegevens verwerken

Wij verkopen geen persoonsgegevens en gebruiken ze niet voor advertenties.

LEGAL REVIEW REQUIREDDe genoemde grondslagen worden nog juridisch getoetst.

Wij nemen met deze gegevens geen besluiten die rechtsgevolgen voor u hebben. De AI haalt alleen informatie uit contracttekst; zie AI-analyse van contracten.

5. Persoonsgegevens in uw contracten

U bepaalt zelf welke contracten u uploadt. Als klant bent u ervoor verantwoordelijk dat u een passende grondslag en de bevoegdheid heeft om de persoonsgegevens in die contracten te laten verwerken, en dat u de betrokkenen informeert waar dat nodig is.

Upload geen documenten met meer persoonsgegevens dan nodig, en bij voorkeur geen bijzondere persoonsgegevens.

Ontvangen wij een verzoek van iemand wiens gegevens in een contract van een klant staan, dan leggen wij dat verzoek aan die klant voor of handelen wij het af volgens de instructies van die klant.

6. AI-analyse van contracten

Om de belangrijke gegevens in een contract te vinden, sturen wij de tekst van elke pagina en de oorspronkelijke bestandsnaam naar de API van Anthropic. Daarbij geldt:

• Het oorspronkelijke pdf-bestand wordt niet naar Anthropic gestuurd.
• Uw naam, e-mailadres en accountgegevens worden niet meegestuurd. De contracttekst zelf kan wel persoonsgegevens bevatten.
• De AI haalt alleen feitelijke contractgegevens uit de tekst, telkens met het paginanummer en de letterlijke passage. Wij controleren of die passage echt op die pagina staat; gegevens die niet zo te controleren zijn, worden gemarkeerd voor uw beoordeling.
• Opzegdeadlines en verlengingsdata worden niet door de AI bepaald, maar door vaste rekenregels in onze eigen software, op basis van de gevonden en door u bevestigde of gecorrigeerde gegevens.
• Gescande pdf's zonder tekstlaag worden niet geanalyseerd en niet naar Anthropic gestuurd.

De uitkomst van de AI-analyse kan onvolledig of onjuist zijn en is niet juridisch bindend of gezaghebbend. Controleer belangrijke gegevens altijd in het oorspronkelijke contract.

7. Derde partijen

Wij maken gebruik van de volgende dienstverleners:

Daarnaast kunnen wij gegevens verstrekken als de wet ons daartoe verplicht.

8. Doorgifte buiten de Europese Unie

De applicatie, de database en de geüploade bestanden staan op een server in een Nederlands datacenter. Niet alle gegevens blijven echter binnen de Europese Unie:

• Anthropic slaat gegevens op in de Verenigde Staten. Verkeer kan volgens Anthropic worden verwerkt in geselecteerde landen in de Verenigde Staten, Europa, Azië en Australië, en voor interne processen zoals veiligheidscontrole, ondersteuning of incidentafhandeling ook in andere landen waar Anthropic actief is. Anthropic hanteert hiervoor een verwerkersovereenkomst met standaardcontractbepalingen (Standard Contractual Clauses) van de Europese Commissie, die onderdeel is van de zakelijke voorwaarden van Anthropic.
• Resend slaat gegevens op in de Verenigde Staten, waaronder de inhoud van berichten en verzendlogs. Resend gebruikt daarvoor standaardcontractbepalingen in zijn verwerkersovereenkomst en neemt deel aan het EU-U.S. Data Privacy Framework.
• TransIP bewaart e-mail in datacenters in Nederland.

9. Beveiliging

Deze maatregelen zijn vandaag in de dienst ingebouwd:

• Elk geüpload pdf-bestand wordt versleuteld met een eigen sleutel (AES-256-GCM) voordat het wordt opgeslagen. Een kopie die naar een andere organisatie wordt verplaatst, kan niet worden ontsleuteld.
• De gegevens van elke organisatie worden in de database van elkaar gescheiden, afgedwongen door de database zelf. Het lidmaatschap wordt bij elk verzoek opnieuw gecontroleerd.
• Rollen bepalen wat iemand mag: lezers kunnen alleen bekijken, uploaden en bewerken vraagt minimaal de rol bewerker, en contracten verwijderen kunnen alleen eigenaren en beheerders.
• Wachtwoorden worden alleen opgeslagen als sterke hash (scrypt).
• Sessies worden op de server bijgehouden en eindigen na 12 uur inactiviteit of uiterlijk na 7 dagen. Na een wachtwoordwijziging wordt u op uw andere apparaten uitgelogd.
• Alle formulieren zijn beschermd tegen cross-site request forgery (CSRF).
• Inlogpogingen en andere gevoelige handelingen zijn begrensd (rate limiting).
• Belangrijke handelingen worden vastgelegd in een auditlog waaraan de applicatie alleen kan toevoegen.
• Een strikt Content Security Policy en andere beveiligingsheaders: geen scripts van derden, en pagina's kunnen niet in andere websites worden ingesloten.

Wat u ook moet weten:

• De uit uw pdf's gehaalde paginatekst, de geciteerde passages en de gevonden contractgegevens worden in de database opgeslagen zonder deze extra versleuteling door de applicatie.
• Tweestapsverificatie, verificatie van uw e-mailadres en een automatische malwarescan van uploads zijn nog niet beschikbaar.

Geen enkel systeem is volledig veilig. Deze beschrijving is geen certificering of garantie.

10. Bewaartermijnen

Wij bewaren persoonsgegevens niet langer dan nodig. Dit zijn onze termijnen. Als een wettelijke bewaarplicht een andere termijn voorschrijft, of als gegevens nodig zijn voor een lopende juridische procedure, gaat die voor.

11. Uw rechten

Op grond van de Algemene verordening gegevensbescherming (AVG) heeft u het recht om:

• uw persoonsgegevens in te zien (inzage);
• onjuiste gegevens te laten corrigeren (rectificatie);
• uw gegevens te laten verwijderen;
• de verwerking te laten beperken;
• gegevens die u ons heeft gegeven en die wij voor de overeenkomst verwerken, in een gangbaar formaat te ontvangen (overdraagbaarheid);
• bezwaar te maken tegen verwerking op basis van ons gerechtvaardigd belang.

Uw naam en wachtwoord kunt u zelf wijzigen in Instellingen. Voor alle andere verzoeken, zoals het wijzigen van uw e-mailadres, het ontvangen van een kopie van uw gegevens of het verwijderen van uw account, mailt u naar support@guardmycontract.com. Deze verzoeken handelen wij voorlopig handmatig af.

Wij reageren zonder onnodige vertraging en uiterlijk binnen een maand. Bij complexe verzoeken kan die termijn met twee maanden worden verlengd; dat laten wij u dan binnen de eerste maand weten. Een verzoek is kosteloos. Wij kunnen u vragen uw identiteit te bevestigen, bijvoorbeeld door het verzoek te sturen vanaf het e-mailadres van uw account.

Gaat uw verzoek over persoonsgegevens in een contract dat door een organisatie is geüpload, dan leggen wij het voor aan die organisatie of handelen wij het af volgens haar instructies.

U heeft ook het recht een klacht in te dienen bij de Autoriteit Persoonsgegevens.

12. Cookies

Wij gebruiken alleen de twee cookies die nodig zijn om de dienst te laten werken:

Wij gebruiken geen analytische, tracking- of marketingcookies en laden geen scripts van derden. Voor deze functionele cookies is geen toestemming nodig; wel informeren wij u erover.

13. Wijzigingen

Wij kunnen deze privacyverklaring aanpassen als de dienst of de wet verandert. Elke versie heeft een versienummer en een ingangsdatum, bovenaan deze pagina. Belangrijke wijzigingen kondigen wij vooraf aan in de dienst.

Zie ook onze algemene voorwaarden.