Privacyverklaring

1. Wie zijn wij?

C37 wordt geleverd door Atthis Holding BV, gevestigd te Kennedyplein 246, 5611 ZT Eindhoven, KvK-nummer 64145646. Wij zijn de verwerkingsverantwoordelijke in de zin van de Algemene Verordening Gegevensbescherming (AVG).

• Contact: info@atthis.ai
• Functionaris voor de Gegevensbescherming: niet aangesteld (we zijn daartoe niet verplicht onder art. 37 AVG, maar je kunt rechtstreeks contact met ons opnemen via bovenstaand adres).

2. Welke gegevens verwerken wij?

2.1 Bij een gratis scan via /probeer (zonder account)

• Email-adres — om je het scan-rapport te kunnen toesturen.
• Tekst van het document of de URL die je laat scannen — om de analyse uit te voeren. Dit kan persoonsgegevens van derden bevatten als jouw document die noemt.
• Resultaten van de analyse (scores, gevonden punten en eventuele experimentele stijlsignalen) — opgeslagen tegen je scan-ID.
• Technische gegevens — IP-adres, browsertype, tijdstip van het verzoek, voor rate-limiting en misbruikpreventie.

2.2 Bij een Account

Aanvullend op het bovenstaande:

• Naam (weergavenaam) en wachtwoord (versleuteld opgeslagen door onze authenticatie-provider Supabase).
• Email-bevestigingstatus en eventuele tweede-factor-instellingen.
• Documenten en versies die je opslaat, samen met scan-resultaten en herschrijfvoorstellen (elke herschrijving wordt een nieuwe versie). Bestanden (PDF, Word) worden in je browser naar tekst omgezet; wij slaan de tekst op, niet het bestand.
• Tekst tijdens het typen — terwijl je in het scanveld typt sturen wij de tekst al naar het taalmodel om het documenttype te herkennen en presets voor te stellen. Die tekst wordt bij die stap niet opgeslagen.
• Abonnementsgegevens en betaalstatus — beheerd door onze betaalprovider Stripe; wij ontvangen alleen de status en de factureerbare entiteit, niet je volledige kaartgegevens.
• Gebruiksstatistieken — aantal scans, gebruikte intents, gemiddelde scores — voor capacitaitsplanning en abonnementshandhaving.

3. Doeleinden en rechtsgrondslagen

Wij verzenden geen marketing-mails zonder afzonderlijke toestemming. Wij verkopen geen gegevens aan derden.

Nieuwsbrieven en updates: als je je hebt aangemeld voor onze e-mails (via de aanmeldcheckbox bij registratie, de in-app prompt of de nieuwsbrief-widget), verwerken wij je e-mailadres voor het verzenden van nieuwsbrieven en productupdates. Grondslag: toestemming (art. 6 lid 1 sub a AVG). E-mails worden verzonden via Resend (VS, doorgifte o.b.v. Standard Contractual Clauses). Je kunt je toestemming te allen tijde intrekken via de afmeldlink in elke e-mail of via Account → E-mailvoorkeuren.

4. Bewaartermijnen

5. Met wie delen wij je gegevens?

Wij delen je gegevens alleen met onderstaande verwerkers en uitsluitend voor de genoemde doeleinden. Met al deze partijen hebben wij een verwerkersovereenkomst.

Wij doen geen automatische besluitvorming met rechtsgevolgen voor jou. De analyse-uitkomsten van C37 zijn een hulpmiddel, geen oordeel. C37 herkent signalen die onderbouwing nodig hebben, geeft confidence-banden en suggereert verbeteringen — maar het besluit om een document te versturen, te publiceren of aan te passen ligt altijd bij jou.

6. Internationale doorgifte

Sommige van onze verwerkers (Vercel, Fly.io, Stripe, Resend, Cloudflare, Anthropic, OpenAI) zijn gevestigd in de Verenigde Staten. Je documenttekst wordt opgeslagen in de EU; voor de taalmodelanalyse en de fragmentvergelijking gaat (gemaskeerde) tekst naar Anthropic en OpenAI in de VS, tenzij de EU-verwerkingsmodus actief is (dan lopen de Anthropic-aanroepen via Frankfurt). Voor de doorgifte van persoonsgegevens naar deze partijen baseren wij ons op de EU Standard Contractual Clauses (SCC) zoals goedgekeurd door de Europese Commissie, aangevuld met aanvullende waarborgen waar dat passend is (zoals encryptie tijdens transport en in rust).

Je hebt het recht om een kopie van de toegepaste waarborgen op te vragen via info@atthis.ai.

7. Je rechten als betrokkene

Onder de AVG heb je de volgende rechten:

• Inzage (art. 15) — opvragen welke gegevens wij van jou verwerken.
• Rectificatie (art. 16) — onjuiste of onvolledige gegevens laten corrigeren.
• Gegevenswissing / “vergetelheid” (art. 17) — vragen om verwijdering, voor zover wij niet langer een rechtsgrond hebben om de gegevens te bewaren.
• Beperking van verwerking (art. 18) — verwerking pauzeren in afwachting van bijvoorbeeld een correctieverzoek.
• Overdraagbaarheid (art. 20) — een export van je gegevens in een gangbaar formaat ontvangen.
• Bezwaar (art. 21) — bezwaar maken tegen verwerking op grond van gerechtvaardigd belang.
• Intrekking van toestemming (art. 7 lid 3) — wanneer een verwerking op toestemming berust.

Stuur een verzoek naar info@atthis.ai. Wij reageren binnen één maand. We kunnen vragen om je identiteit te verifiëren voordat we het verzoek behandelen.

8. Klachten

Als je vindt dat wij niet correct met je gegevens omgaan, neem dan eerst contact met ons op via info@atthis.ai. Je hebt daarnaast altijd het recht een klacht in te dienen bij de Autoriteit Persoonsgegevens in Den Haag. Zie autoriteitpersoonsgegevens.nl voor de procedure.

9. Cookies en tracking

C37 gebruikt:

• Functionele cookies — voor het beheer van je inlogsessie (Supabase auth). Deze zijn strikt noodzakelijk voor de werking van de Dienst en vragen geen toestemming.
• Vercel Analytics — geaggregeerde, niet-identificeerbare pageview-statistieken. Vercel Analytics gebruikt geen cookies en plaatst geen identifiers in de browser. Daarmee valt deze meting buiten de cookiewet-toestemmingsverplichting.
• Bot-controle (Cloudflare Turnstile) — op de openbare formulieren. Turnstile plaatst geen tracking-cookie en volgt je niet over websites heen; tijdens een controle kan wél een tijdelijke, strikt technische cookie worden gebruikt om de uitkomst vast te houden. Deze controle is noodzakelijk om misbruik van onze formulieren tegen te gaan.
• Geen marketing- of tracking-cookies van derden — wij gebruiken geen Google Analytics, geen advertentienetwerken, geen social-media-pixels.

Als wij in de toekomst tracking introduceren waarvoor toestemming nodig is, vragen wij die toestemming expliciet via een cookiebanner. Tot die tijd is een banner niet wettelijk vereist.

10. Beveiliging

Wij nemen passende technische en organisatorische maatregelen om je gegevens te beschermen, waaronder:

• TLS-versleuteling voor al het verkeer tussen je browser en onze servers.
• Encryptie at rest bij alle verwerkers (Supabase, Stripe).
• Toegang tot productiesystemen alleen voor geautoriseerd personeel met multi-factor-authenticatie.
• Periodieke beveiligingsreviews van afhankelijkheden en infrastructuur.
• Wachtwoorden worden nooit in plain text opgeslagen; Supabase Auth gebruikt bcrypt of een gelijkwaardig algoritme.

Mocht er onverhoopt een datalek plaatsvinden, dan melden wij dat binnen 72 uur aan de Autoriteit Persoonsgegevens en, indien wettelijk vereist, aan jou.

11. Wijzigingen aan deze privacyverklaring

Wij kunnen deze privacyverklaring aanpassen. Materiële wijzigingen worden ten minste 30 dagen vooraf aangekondigd via email aan het Account-emailadres of via een banner in de Dienst. De versie bovenaan deze pagina geeft aan wanneer de huidige versie van kracht werd.

12. Contact

Vragen over deze privacyverklaring of over de verwerking van je gegevens? Stuur een email naar info@atthis.ai of schrijf naar Kennedyplein 246, 5611 ZT Eindhoven.