Versie 1.0 · Laatst bijgewerkt: mei 2026 · Juridisch ongetoetst.
Deze privacyverklaring legt uit welke persoonsgegevens C37 verwerkt, met welk doel, op welke grondslag, met wie wij gegevens delen, hoe lang we ze bewaren en welke rechten je hebt. C37 hecht aan transparantie en wil dat je begrijpt wat er met je gegevens gebeurt voordat je een Account aanmaakt of een gratis scan doet.
1. Wie zijn wij?
C37 wordt geleverd door Atthis Holding BV, gevestigd te Kennedyplein 246, 5611 ZT Eindhoven, KvK-nummer 64145646. Wij zijn de verwerkingsverantwoordelijke in de zin van de Algemene Verordening Gegevensbescherming (AVG).
- Contact: info@atthis.ai
- Functionaris voor de Gegevensbescherming: niet aangesteld (we zijn daartoe niet verplicht onder art. 37 AVG, maar je kunt rechtstreeks contact met ons opnemen via bovenstaand adres).
2. Welke gegevens verwerken wij?
2.1 Bij een gratis scan via /probeer (zonder account)
- Email-adres — om je het scan-rapport te kunnen toesturen.
- Tekst van het document of de URL die je laat scannen — om de analyse uit te voeren. Dit kan persoonsgegevens van derden bevatten als jouw document die noemt.
- Resultaten van de analyse (scores, gevonden punten, eventuele AI-detectie-signalen) — opgeslagen tegen je scan-ID.
- Technische gegevens — IP-adres, browsertype, tijdstip van het verzoek, voor rate-limiting en misbruikpreventie.
2.2 Bij een Account
Aanvullend op het bovenstaande:
- Naam (weergavenaam) en wachtwoord (versleuteld opgeslagen door onze authenticatie-provider Supabase).
- Email-bevestigingstatus en eventuele tweede-factor-instellingen.
- Documenten en versies die je opslaat, samen met scan-resultaten, herschrijfvoorstellen en goedkeuringsstatus.
- Audit-trail (welke actie wanneer, door wie) op je documenten, voor governance-doeleinden.
- Abonnementsgegevens en betaalstatus — beheerd door onze betaalprovider Stripe; wij ontvangen alleen de status en de factureerbare entiteit, niet je volledige kaartgegevens.
- Gebruiksstatistieken — aantal scans, gebruikte intents, gemiddelde scores — voor capacitaitsplanning en abonnementshandhaving.
3. Doeleinden en rechtsgrondslagen
| Doeleinde | Grondslag (AVG art. 6) |
|---|---|
| Leveren van de Dienst (account, scans, opslag, export) | Uitvoering van de overeenkomst (art. 6 lid 1 sub b) |
| Versturen van scan-rapport per email | Uitvoering van de overeenkomst (art. 6 lid 1 sub b) |
| Facturering, abonnementsbeheer | Uitvoering overeenkomst + wettelijke verplichting (boekhouding, art. 6 lid 1 sub b en c) |
| Beveiliging, fraudepreventie, misbruikbestrijding | Gerechtvaardigd belang (art. 6 lid 1 sub f) — wij hebben een rechtmatig belang in een stabiele en veilige dienst |
| Productverbetering via geaggregeerde, niet-herleidbare statistieken | Gerechtvaardigd belang (art. 6 lid 1 sub f) |
| Klantcommunicatie (productupdates, betalingsherinneringen) | Uitvoering overeenkomst |
| Nieuwsbrieven en productupdates per e-mail | Toestemming (art. 6 lid 1 sub a AVG) — opt-in; intrekken kan via elke e-mail of het voorkeurencentrum. |
Wij verzenden geen marketing-mails zonder afzonderlijke toestemming. Wij verkopen geen gegevens aan derden.
Nieuwsbrieven en updates: als je je hebt aangemeld voor onze e-mails (via de aanmeldcheckbox bij registratie, de in-app prompt of de nieuwsbrief-widget), verwerken wij je e-mailadres voor het verzenden van nieuwsbrieven en productupdates. Grondslag: toestemming (art. 6 lid 1 sub a AVG). E-mails worden verzonden via Resend (VS, doorgifte o.b.v. Standard Contractual Clauses). Je kunt je toestemming te allen tijde intrekken via de afmeldlink in elke e-mail of via Account → E-mailvoorkeuren.
4. Bewaartermijnen
| Categorie | Termijn |
|---|---|
| Gratis scan-resultaten en bijbehorend email-adres (anonymous_runs) | 30 dagen na de scan, daarna automatisch verwijderd |
| Account-gegevens (email, naam, wachtwoord-hash) | Tot je je Account verwijdert; vervolgens 30 dagen in onze backup-systemen, daarna definitief weg |
| Documenten en scan-historie binnen een Account | Tot Gebruiker het document of het Account verwijdert |
| Facturen en betaalgegevens | Wettelijke bewaartermijn van 7 jaar (art. 52 AWR) |
| Audit-trail van governance-acties | 7 jaar of zo veel langer als de Gebruiker zelf vereist via zijn eigen compliance-beleid |
| Server-logs (technisch) | 30 dagen |
5. Met wie delen wij je gegevens?
Wij delen je gegevens alleen met onderstaande verwerkers en uitsluitend voor de genoemde doeleinden. Met al deze partijen hebben wij een verwerkersovereenkomst.
| Verwerker | Doel | Vestiging | Doorgifte buiten EER |
|---|---|---|---|
| Supabase | Authenticatie, database, bestandsopslag | EU (Ierland) | Nee (EU-instantie) |
| Vercel | Hosting van de Dienst, Vercel Analytics (geaggregeerde pageviews) | EU/US | Ja, op grond van Standard Contractual Clauses (SCC) |
| Stripe | Verwerking van betalingen, abonnementsbeheer | Ierland (EU) en US | Ja, voor specifieke flows op grond van SCC |
| Resend | Versturen van transactionele e-mail (scan-rapport, account-mails) en nieuwsbrieven/productupdates (alleen met toestemming) | US | Ja, op grond van SCC |
| Anthropic | LLM-gebaseerde analyse en herschrijfvoorstellen | EU (AWS Bedrock, Frankfurt) | Nee — verwerking binnen de EU via AWS Bedrock (eu-central-1). Anthropic-personeel heeft geen toegang tot de inference-infrastructuur en gebruikt klantdata niet voor modeltraining. |
| OpenAI | LLM-gebaseerde analyse (waar Anthropic niet wordt gebruikt) | US | Ja, op grond van SCC. OpenAI gebruikt API-klantdata niet voor modeltraining. |
Wij doen geen automatische besluitvorming met rechtsgevolgen voor jou. De analyse-uitkomsten van C37 zijn een hulpmiddel, geen oordeel. C37 herkent signalen die onderbouwing nodig hebben, geeft confidence-banden en suggereert verbeteringen — maar het besluit om een document te versturen, te publiceren of aan te passen ligt altijd bij jou.
6. Internationale doorgifte
Sommige van onze verwerkers (Vercel, Stripe, Resend, Anthropic, OpenAI) zijn gevestigd in de Verenigde Staten. Voor de doorgifte van persoonsgegevens naar deze partijen baseren wij ons op de EU Standard Contractual Clauses (SCC) zoals goedgekeurd door de Europese Commissie, aangevuld met aanvullende waarborgen waar dat passend is (zoals encryptie tijdens transport en in rust).
Je hebt het recht om een kopie van de toegepaste waarborgen op te vragen via info@atthis.ai.
7. Je rechten als betrokkene
Onder de AVG heb je de volgende rechten:
- Inzage (art. 15) — opvragen welke gegevens wij van jou verwerken.
- Rectificatie (art. 16) — onjuiste of onvolledige gegevens laten corrigeren.
- Gegevenswissing / “vergetelheid” (art. 17) — vragen om verwijdering, voor zover wij niet langer een rechtsgrond hebben om de gegevens te bewaren.
- Beperking van verwerking (art. 18) — verwerking pauzeren in afwachting van bijvoorbeeld een correctieverzoek.
- Overdraagbaarheid (art. 20) — een export van je gegevens in een gangbaar formaat ontvangen.
- Bezwaar (art. 21) — bezwaar maken tegen verwerking op grond van gerechtvaardigd belang.
- Intrekking van toestemming (art. 7 lid 3) — wanneer een verwerking op toestemming berust.
Stuur een verzoek naar info@atthis.ai. Wij reageren binnen één maand. We kunnen vragen om je identiteit te verifiëren voordat we het verzoek behandelen.
8. Klachten
Als je vindt dat wij niet correct met je gegevens omgaan, neem dan eerst contact met ons op via info@atthis.ai. Je hebt daarnaast altijd het recht een klacht in te dienen bij de Autoriteit Persoonsgegevens in Den Haag. Zie autoriteitpersoonsgegevens.nl voor de procedure.
9. Cookies en tracking
C37 gebruikt:
- Functionele cookies — voor het beheer van je inlogsessie (Supabase auth). Deze zijn strikt noodzakelijk voor de werking van de Dienst en vragen geen toestemming.
- Vercel Analytics — geaggregeerde, niet-identificeerbare pageview-statistieken. Vercel Analytics gebruikt geen cookies en plaatst geen identifiers in de browser. Daarmee valt deze meting buiten de cookiewet-toestemmingsverplichting.
- Geen marketing- of tracking-cookies van derden — wij gebruiken geen Google Analytics, geen advertentienetwerken, geen social-media-pixels.
Als wij in de toekomst tracking introduceren waarvoor toestemming nodig is, vragen wij die toestemming expliciet via een cookiebanner. Tot die tijd is een banner niet wettelijk vereist.
10. Beveiliging
Wij nemen passende technische en organisatorische maatregelen om je gegevens te beschermen, waaronder:
- TLS-versleuteling voor al het verkeer tussen je browser en onze servers.
- Encryptie at rest bij alle verwerkers (Supabase, Stripe).
- Toegang tot productiesystemen alleen voor geautoriseerd personeel met multi-factor-authenticatie.
- Periodieke beveiligingsreviews van afhankelijkheden en infrastructuur.
- Wachtwoorden worden nooit in plain text opgeslagen; Supabase Auth gebruikt bcrypt of een gelijkwaardig algoritme.
Mocht er onverhoopt een datalek plaatsvinden, dan melden wij dat binnen 72 uur aan de Autoriteit Persoonsgegevens en, indien wettelijk vereist, aan jou.
11. Wijzigingen aan deze privacyverklaring
Wij kunnen deze privacyverklaring aanpassen. Materiële wijzigingen worden ten minste 30 dagen vooraf aangekondigd via email aan het Account-emailadres of via een banner in de Dienst. De versie bovenaan deze pagina geeft aan wanneer de huidige versie van kracht werd.
12. Contact
Vragen over deze privacyverklaring of over de verwerking van je gegevens? Stuur een email naar info@atthis.ai of schrijf naar Kennedyplein 246, 5611 ZT Eindhoven.