Trust Center

Waar het om gaat

• Een verwerker mag persoonsgegevens alleen verwerken op instructie van de klant, vastgelegd in een verwerkersovereenkomst (art. 28).
• Sub-verwerkers alleen met toestemming van de klant en onder dezelfde afspraken.
• Passende beveiliging (art. 32), een datalek melden zonder onnodige vertraging (art. 33) en de klant helpen bij verzoeken van betrokkenen.
• Doorgifte buiten de EER alleen met een geldige grondslag, zoals standaardcontractbepalingen.

Hoe SUUS ervoor staat

• Verwerkersovereenkomst (VOK) als onderdeel van elke overeenkomst: beveiligingsmaatregelen, datalek uiterlijk binnen 24 uur gemeld, auditrecht, en teruggave of verwijdering van de gegevens bij het einde.
• Openbare lijst van sub-verwerkers met per leverancier doel, gegevens, locatie, doorgiftegrond en een gesloten DPA.
• Export en verwijdering van alle klantdata op verzoek. Audio van voice-gesprekken wordt uiterlijk 24 uur na opname verwijderd; transcripties en samenvattingen horen bij het CRM van de klant en gaan mee in export en verwijdering.
• Auditlog per organisatie en een incident-runbook: klanten binnen 24 uur bij een bevestigd datalek, de Autoriteit Persoonsgegevens binnen 72 uur, elk incident in een register (zie Incidenten en continuïteit).

AVG, officiële tekst (EUR-Lex)VerwerkersovereenkomstSub-processorsPrivacybeleid

Wat nog open staat

• Verwerkingsregister (art. 30 lid 2): wat wij voor welke klant verwerken, als apart document. De sub-verwerkerslijst en de VOK-bijlage dekken nu de helft.
• EU-verwerking voor het taalmodel: transcripties en notities gaan nu naar OpenAI in de VS onder standaardcontractbepalingen. Dat vereist een enterprise-contract bij OpenAI of een overstap naar Azure OpenAI in de EU; gepland zodra een klant het als voorwaarde stelt.
• Transfer impact assessment per leverancier buiten de EER die onder standaardcontractbepalingen valt (OpenAI, Cartesia, Apify, Higgsfield, Twilio).
• Standaardtekst voor de DPIA van klanten die de voice-assistent inzetten, zodat zij die niet zelf hoeven te schrijven.
• Geen functionaris gegevensbescherming; niet verplicht voor SUUS. Contactpunt voor privacy en beveiliging: info@suusiq.com.
• Een vaste reserve voor de incident lead aanwijzen en publiceren.
• Pseudonimiseren van de gespreksfragmenten die wij als testgevallen gebruiken.
• Schriftelijk beleid voor medewerkers en freelancers (geheimhouding, toegang, uitdiensttreding); de afspraken bestaan, het document nog niet.
• Jaarlijkse herbeoordeling van alle sub-verwerkers, eerste ronde april 2027.

Waar het om gaat

• Een klant moet kunnen overstappen naar een andere aanbieder of eigen systemen, met alle data in een open, machineleesbaar formaat.
• De exit-informatie (wat gaat mee, hoe, binnen welke termijn) hoort in de overeenkomst.
• Overstapkosten worden afgebouwd en zijn vanaf 12 januari 2027 verboden; een overgangsperiode van 30 dagen, één keer te verlengen, is de norm.

Hoe SUUS ervoor staat

• De pagina Overstappen en export is onderdeel van de overeenkomst (AV artikel 10): opzegtermijn één maand, overgangsperiode 30 dagen die de klant één keer kan verlengen, en een lijst van wat wel en niet meegaat.
• Export op verzoek, binnen vijf werkdagen, kosteloos, ook tijdens de looptijd. De geautomatiseerde export levert JSON van de kern van het CRM: organisatie, gebruikers, relaties, bezoeken, notities, taken, afspraken, kansen, gesprekken, verbruik en auditlog.
• Na opzegging blijft de data 30 dagen op te halen (bedenktijd met soft delete), daarna verwijdering; back-ups van de database lopen binnen zeven dagen af.
• Tussentijds overstappen kan altijd met één maand opzegtermijn; de abonnementsbedragen voor de rest van de lopende looptijd blijven dan verschuldigd. Andere kosten zijn er niet.

Data Act, officiële tekst (EUR-Lex)Overstappen en export

Wat nog open staat

• De geautomatiseerde export dekt nog niet alles wat de overstappen-pagina belooft: beursleads en aanvragen, projecten, veldinstellingen en bestanden ontbreken. Bij een verzoek vullen wij dat nu handmatig aan.
• De definitieve verwijdering na de 30 dagen is nu een handmatige stap door SUUS, nog geen automatische taak.
• Export in één klik door de beheerder zelf in het dashboard; nu loopt een export via een verzoek aan SUUS.
• Juridische toets of een vergoeding voor de resterende looptijd verenigbaar is met het volledige verbod op overstapkosten dat op 12 januari 2027 ingaat. Tot die toets houden wij de huidige regeling aan en benoemen wij haar overal.

Waar het om gaat

• Essentiële en belangrijke entiteiten moeten tien beveiligingsmaatregelen treffen (artikel 21): risicoanalyse en beleid, incidentafhandeling, continuïteit en back-up, beveiliging van de toeleveringsketen, veilige ontwikkeling en kwetsbaarheden, toetsing van de effectiviteit, cyberhygiëne en training, versleuteling, personeel en toegang, en multifactorauthenticatie.
• Zij moeten hun leveranciers op diezelfde punten beoordelen; daarom krijgt SUUS de vragen.
• Significante incidenten melden zij binnen 24 uur (eerste melding) en 72 uur (uitgebreid), dus zij hebben hun leveranciers snel nodig.
• In Nederland uitgewerkt in de Cyberbeveiligingswet; het bestuur van de entiteit is persoonlijk verantwoordelijk.

Hoe SUUS ervoor staat

• Per maatregel van artikel 21 staat hieronder wat SUUS doet en wat ontbreekt, in het formaat van een leveranciersvragenlijst. Een ingevulde vragenlijst van de klant zelf volgt binnen vijf werkdagen.
• Samengevat: incidentafhandeling, toeleveringsketen, veilige ontwikkeling, versleuteling en MFA zijn op orde; beleid op papier, continuïteit en onafhankelijke toetsing niet.

NIS2-richtlijn, officiële tekst (EUR-Lex)VerwerkersovereenkomstSub-processors

Wat nog open staat

• Schriftelijk beveiligingsbeleid en risicoanalyse, als document dat een auditor kan lezen (nu: runbooks en geautomatiseerde controles).
• Herstel uit back-up oefenen en vastleggen; point-in-time recovery; statuspagina; een continuïteitsplan voor uitval van sleutelpersonen.
• EU-verwerking voor het taalmodel: transcripties en notities gaan nu naar OpenAI in de VS onder standaardcontractbepalingen. Dat vereist een enterprise-contract bij OpenAI of een overstap naar Azure OpenAI in de EU; gepland zodra een klant het als voorwaarde stelt.
• Onafhankelijke toetsing: externe pentest, later certificering. Tot dan is alles op deze pagina zelfverklaard.
• Transfer impact assessments; een vooraf ingevulde NIS2-vragenlijst om te downloaden.

Waar het om gaat

• AI-systemen worden ingedeeld naar risico: verboden, hoog, beperkt of minimaal.
• Beperkt risico vraagt transparantie: een mens moet weten dat hij met AI te maken heeft (art. 50).
• Bijlage III is de lijst van hoog-risicotoepassingen: biometrie, kritieke infrastructuur, onderwijs, werk en personeel, essentiële diensten, rechtshandhaving, migratie en rechtspraak. Voor SUUS telt alleen "werk en personeel", waaronder AI die de prestaties of het gedrag van werknemers monitort of beoordeelt. Zulke AI vraagt een conformiteitsbeoordeling, tenzij zij alleen een beperkte procedurele taak doet en de menselijke beoordeling niet vervangt (art. 6 lid 3).
• Wie AI inzet, moet zorgen dat gebruikers er voldoende van begrijpen (art. 4) en houdt menselijk toezicht.

Hoe SUUS ervoor staat

• De voice-assistent stelt zich voor met haar naam, niet als AI. De algemene voorwaarden (artikel 5) verplichten de klant om zijn gebruikers te vertellen dat zij met AI-functionaliteit werken en er menselijk toezicht op te houden. In de chat is de assistent als assistent herkenbaar.
• De assistent schrijft niets in het CRM zonder bevestiging van de gebruiker; het vastleggen van een bezoek per telefoon is de opdracht zelf.
• Geen geautomatiseerde besluiten met rechtsgevolg over personen. Wel automatische scores: een A–D-ranking van relaties en een score van lead-aanvragen, als hulp bij prioriteren. Een mens beslist wat ermee gebeurt.
• Het Teamoverzicht en de managementvragen aan de assistent tonen werkactiviteit per medewerker (bezoeken, opvolging, invoer, taken), geen oordeel. De nachtelijke "management-coach" zet die feiten met een taalmodel om in voorstellen voor de manager, zoals een coachgesprek over opvolging. Dit is de functie die het dichtst bij bijlage III ligt; daarom zijn er drie waarborgen.
• Waarborg 1, in de code: de assistent weigert elke vraag om een oordeel of personele maatregel over een persoon (ontslag, wie is lui, salaris) met een vaste zin en biedt de werkcijfers aan; een voorstel van de coach dat een personele maatregel noemt, wordt automatisch weggefilterd. Beide zijn getest, de assistent tegen het echte model.
• Waarborg 2, in het contract: algemene voorwaarden artikel 5. SUUS toont over gebruikers alleen werkactiviteit en stelt hooguit een gesprek of hulp voor; de klant gebruikt de Dienst niet om met AI prestaties of emoties van medewerkers te beoordelen.
• Waarborg 3, op papier: de beoordeling van elke AI-functie aan de AI-verordening (artikel 6 lid 3) is vastgelegd en op verzoek beschikbaar.
• SUUS gebruikt transcripties wel om de eigen herkenning en assistent te verbeteren (kwaliteitscontrole, testgevallen), binnen de overeenkomst (AV artikel 5). Nooit om modellen van derden te trainen en nooit gedeeld met andere klanten; bij de modelleveranciers vastgelegd of uitgezet (opt-out).

AI Act, officiële tekst met bijlage III (EUR-Lex)

Wat nog open staat

• De voice-assistent zelf laten zeggen dat zij een AI-assistent is, in plaats van dat alleen aan de klant over te laten.
• Juridische toets van onze beoordeling van de management-coach aan bijlage III (werk en personeel) en van de vraag of artikel 49 lid 2 registratie in de EU-databank vraagt. Onze eigen conclusie: niet hoog-risico, op grond van artikel 6 lid 3; een jurist heeft daar nog niet naar gekeken.
• Korte gebruikersinstructie over wat de assistent wel en niet doet, als hulp bij de AI-geletterdheidsplicht van klanten.

Waar het om gaat

• Internationale norm voor een managementsysteem voor informatiebeveiliging (ISMS).
• Vraagt een risicobeoordeling, beleid, de maatregelen uit bijlage A en een jaarlijkse externe audit.
• Het certificaat bewijst dat een onafhankelijke auditor het systeem heeft getoetst.

Hoe SUUS ervoor staat

• Niet gecertificeerd.
• De maatregelen op deze pagina zijn gedocumenteerd in runbooks en worden afgedwongen door geautomatiseerde audits bij elke wijziging.
• Interne beveiligingsaudit in oktober 2026 (tenantscheiding, MFA, API-grenzen); bevindingen verholpen, samenvatting op verzoek.

ISO/IEC 27001 (iso.org)Sub-processors

Wat nog open staat

• Externe penetratietest door een onafhankelijk bureau, gepland bij de eerste enterprise-klant. Tot die tijd: geautomatiseerde beveiligingstests bij elke uitrol en een openbaar meldpunt voor kwetsbaarheden.
• Mapping van de maatregelen op bijlage A publiceren op deze pagina.
• Certificeringstraject zodra de klantbasis dat rechtvaardigt; ISO 27001 heeft voorrang op SOC 2 als Europese norm.

Waar het om gaat

• Amerikaans auditrapport (AICPA) over de beheersmaatregelen van een dienstverlener die relevant zijn voor de financiële verslaggeving van zijn klanten (ICFR), bijvoorbeeld salarisverwerking of betalingsverwerking.
• Type 1 toetst de opzet op één moment, Type 2 de werking over een periode.
• Wordt gevraagd door de accountant van de klant, niet door de inkoper.

Hoe SUUS ervoor staat

• Geen SOC 1-rapport. SUUS verwerkt geen betalingen, salarissen of boekingen namens de klant; het CRM levert geen cijfers aan de jaarrekening van de klant.
• Onze eigen facturatie loopt via Stripe (betalingen) en Moneybird (boekhouding). Stripe publiceert een SOC 1 Type 2-rapport; dat gaat over onze administratie, niet over die van de klant.

SOC 1 (AICPA)

Wat nog open staat

• Niet gepland en niet nodig voor een CRM. Verandert dit, bijvoorbeeld doordat SUUS orders of omzet van de klant gaat verwerken, dan beoordelen wij het opnieuw.

Waar het om gaat

• Amerikaans auditrapport (AICPA) over beveiliging, beschikbaarheid, verwerkingsintegriteit, vertrouwelijkheid en privacy.
• Type 1 toetst de opzet van de maatregelen op één moment, Type 2 de werking ervan over een periode van meestal een jaar.
• Het rapport is geen certificaat maar het oordeel van een auditor, en wordt meestal alleen onder geheimhouding gedeeld.

Hoe SUUS ervoor staat

• Geen SOC 2-rapport, Type 1 noch Type 2. Geen onafhankelijke auditor heeft tot nu toe naar SUUS gekeken.
• Wat een klant in plaats daarvan krijgt: het auditrecht uit de verwerkersovereenkomst (artikel 9): een eigen audit door een onafhankelijke auditor onder geheimhouding, eenmaal per jaar, op kosten van de klant. Dat artikel laat SUUS ook een certificaat overleggen; zolang dat er niet is, geldt het auditrecht zelf.
• Daarnaast: deze pagina, de maatregelen uit artikel 4 van de verwerkersovereenkomst, de samenvatting van de interne audit van oktober 2026, en een ingevulde leveranciersvragenlijst (uw eigen, SIG Lite of CAIQ) binnen vijf werkdagen.
• De infrastructuur waar de klantdata staat, heeft het rapport wel: zie het blok hieronder.

SOC 2 (AICPA)Verwerkersovereenkomst, artikel 9Sub-processors

Wat nog open staat

• Geen SOC 2-traject gepland. ISO 27001 gaat voor als Europese norm; SOC 2 volgt alleen als een klant het als voorwaarde stelt.
• Tot een certificering of extern rapport is al onze beveiliging zelfverklaard: gedocumenteerd en geautomatiseerd getest, maar niet door een derde beoordeeld.