Beveiliging: wat we doen, en wat we niet claimen.
Geen keurmerken die we niet hebben. Hieronder staat hoe het systeem werkt, waar uw gegevens staan en wat de AI wel en niet te zien krijgt.
Waar uw gegevens staan
Het uitgangspunt: de workflow en uw gegevens staan bij u. Alleen de tekst die de AI moet lezen of schrijven gaat naar een AI-model. Bij crediteuren gaat die tekst eerst door een privacyfilter. Bij debiteuren draait het model in uw eigen Azure-account.
| Gegevens | Waar |
|---|---|
| Facturen, PDF's, database en auditlog | Op uw eigen server of in uw eigen cloudomgeving |
| Boekhouding | Blijft in uw eigen ERP, bijvoorbeeld Exact Online. Wij lezen en boeken via de officiële koppeling. |
| E-mail en concepten | In uw eigen Outlook of Microsoft 365 |
| Tekst die de AI verwerkt | Crediteuren: na het privacyfilter naar Claude (Anthropic), of op verzoek een ander model. Debiteuren: Azure OpenAI in uw eigen Azure-account, in een EU-regio. |
| Beheer door Spin Automation NL | Op afstand, via een versleutelde verbinding. Wij bewaren geen kopie van uw data. |
Wat de AI wel en niet ziet
Bij crediteuren worden persoonsgegevens uit de factuur gefilterd voordat de AI iets leest. Facturen van zzp'ers gaan helemaal niet naar de AI; die handelt een mens af.
Bij debiteuren moet de AI de naam van uw klant en de openstaande bedragen zien om een persoonlijke mail te schrijven. Meer krijgt hij niet.
Wat de AI niet doet
- Beslissen: dat doen vaste regels, en bij afwijkingen een mens
- Mails versturen: herinneringen staan als concept klaar
- Op internet zoeken of iets in uw ERP wijzigen
- De laatste aanmaning schrijven: die tekst ligt vast
Welk AI-model, en waar draait het?
Standaard gebruiken we Claude van Anthropic via de zakelijke API. Die verwerking vindt op dit moment niet gegarandeerd in de EU plaats. De doorgifte valt onder de verwerkersovereenkomst van Anthropic met standaardcontractbepalingen, en gegevens via de API worden niet gebruikt om modellen te trainen.
Moet alles binnen de EU blijven? Dan gebruiken we Azure OpenAI in een EU-regio, of Claude via een EU-regio bij AWS of Google Cloud. Voor debiteuren is Azure OpenAI in uw eigen Azure-account, in een EU-regio, al de standaard. De workflows blijven hetzelfde, alleen het model wisselt.
Vastleggen en controleren
Bij crediteuren wordt elke beslissing vastgelegd: wie, wat en wanneer. Zo ziet u achteraf waarom een factuur is geboekt of is blijven liggen.
Ingebouwde controles
- Leverancier, btw-nummer en IBAN worden gecontroleerd tegen uw bestand
- Dubbele facturen worden herkend
- Creditnota's gaan altijd langs een mens
- Goedkeuringslinks werken maar één keer
Toegang en techniek
U bepaalt wie toegang heeft tot uw omgeving. Wij loggen alleen in voor beheer en onderhoud.
- Koppelingen met Exact Online en Microsoft 365 via OAuth: u geeft toestemming en kunt die intrekken
- Wachtwoorden en sleutels versleuteld opgeslagen, nooit in de workflows zelf
- Alle verbindingen via HTTPS
- Back-ups van de database, ingericht op uw omgeving
AVG
U bent verwerkingsverantwoordelijke. Voor het beheer zijn wij verwerker, en daarvoor sluiten we een verwerkersovereenkomst met u. Daarin staat ook welk AI-model als subverwerker wordt gebruikt.
Merken we een beveiligingsincident, dan melden we dat direct aan u, zodat u binnen 72 uur kunt melden bij de Autoriteit Persoonsgegevens als dat nodig is.
Wat we niet claimen
Wat we niet claimen. We hebben geen ISO 27001- of NEN 7510-certificering en geven geen uptime-garantie. Werkt u in de zorg en is certificering een eis, bespreek het met ons. Dan kijken we samen wat uw eigen IT-omgeving al afdekt.
Veelgestelde vragen
Waar draait de AI?
Bij crediteuren is dat Claude van Anthropic, na het privacyfilter, en niet gegarandeerd in de EU. Bij debiteuren is het Azure OpenAI in uw eigen Azure-account, in een EU-regio. Moet alles in de EU blijven, dan kan dat ook voor crediteuren.
Wordt mijn data gebruikt om AI te trainen?
Gegevens die via de API van Anthropic gaan, worden niet gebruikt om modellen te trainen.
Hebben jullie toegang tot mijn systemen?
U bepaalt wie toegang heeft. Wij loggen alleen in voor beheer en onderhoud, via een versleutelde verbinding, en bewaren geen kopie van uw data.
Wat houd ik als ik stop?
Alles. De workflows exporteert u als JSON, de database als standaard SQL-export.
Zijn jullie ISO 27001-gecertificeerd?
Nee. Voor een klein bureau als het onze past een ISO 27001- of NEN 7510-certificaat niet. De automatisering draait op uw eigen server of in uw eigen cloudaccount, en valt daarmee onder uw eigen beveiligingsbeleid. Hoe wij met toegang, wachtwoorden en logging omgaan, leest u op deze pagina. Een uptime-garantie geven we niet, omdat de beschikbaarheid afhangt van uw eigen server of hostingpartij. Is certificering voor u een eis, bespreek het dan met ons.