Privacyverklaring — OR Assist

Versie 2.1 · 3 november 2026

OR Assist is een handelsnaam van Maayen Studio (eenmanszaak), KvK 42120477. Privacyvragen: privacy@orassist.nl · Algemeen: mail@orassist.nl

In het kort

Documenten die je uploadt, bewaren we niet. We wissen ze direct na de analyse.
Je chats en resultaten blijven in je account staan tot je ze zelf verwijdert of je account opheft.
Voor de analyse gaat de tekst naar een AI-leverancier (OpenAI, met Anthropic als reserve). Deze leveranciers verwerken buiten de EU en leggen zich niet vast op een vaste regio.
Wij gebruiken jouw inhoud nooit om AI te trainen.
Voer geen gevoelige gegevens in, zoals medische informatie of BSN's. Maak stukken zo anoniem mogelijk.
Je hebt recht op inzage, correctie en verwijdering. Mail naar privacy@orassist.nl; je krijgt binnen een maand antwoord.

1. Wie is verantwoordelijk

Wij zijn verantwoordelijk voor onze eigen verwerkingen: je account, klantcontact, abonnementsadministratie en beveiliging. Gebruik je OR Assist privé of als individueel OR-lid, dan zijn wij ook verantwoordelijk voor de verwerking van wat je invoert.

De organisatie is verantwoordelijk als ze ons via een Verwerkersovereenkomst inhoud laat verwerken in haar opdracht, bijvoorbeeld bij een OR-abonnement. Wij zijn dan "verwerker" en de Verwerkersovereenkomst bepaalt de afspraken.

Wij verzorgen de verkoop en facturatie zelf. Voor het maken en versturen van facturen en voor onze boekhouding gebruiken wij Moneybird. Een iDEAL-betaling verloopt via je eigen bank; wij zien alleen dat en wanneer er is betaald.

Door onze algemene voorwaarden te accepteren geef je geen toestemming voor gegevensverwerking; daar gaat deze verklaring over. Je rechten onder de privacywet (AVG) blijven altijd gelden.

2. Welke gegevens we gebruiken, en waarom

Waarvoor	Welke gegevens	Waarom mag dat
Je account en de dienst	Naam, e-mailadres, inloggegevens, abonnement, je vragen en de resultaten	Nodig om de overeenkomst met jou uit te voeren
Toegang voor medewerkers van een zakelijke klant	Naam, werk-e-mailadres, rol, toegangsgegevens	Gerechtvaardigd belang: de organisatie toegang geven en de klantrelatie beheren
Abonnement en betaling	Naam, organisatie, factuuradres, btw-id, eventueel inkoopnummer, factuur- en betaalgegevens, abonnementsstatus	Uitvoering van de overeenkomst; de belastingwet voor de administratie
Vragen, klachten en terugbetalingen	Contactgegevens, je bericht, ordergegevens	Uitvoering van de overeenkomst of gerechtvaardigd belang
Beveiliging en foutopsporing	Beperkte technische logs, IP-adres waar nodig, foutmeldingen	Gerechtvaardigd belang: een veilige en betrouwbare dienst
Gebruiksstatistiek	Aantallen en soorten analyses, geen inhoud	Gerechtvaardigd belang: capaciteit en werking verbeteren
Feedback op resultaten	Je beoordeling (duim omhoog of omlaag), of je een onjuiste uitkomst meldt, bij welk onderdeel (chat, documentanalyse, checker of brief), bij een documentanalyse welk resultaat het betreft, en de opmerking die je zelf typt	Gerechtvaardigd belang: fouten in de uitkomsten vinden en verhelpen
Wachtlijst	Je e-mailadres	Toestemming: je meldt je zelf aan om te horen wanneer er plek is in de bèta. Je kunt die toestemming altijd intrekken
Wettelijke plichten en geschillen	Alleen wat daarvoor nodig is	Wettelijke plicht of gerechtvaardigd belang

Waar we ons op een gerechtvaardigd belang baseren, wegen we jouw privacy af tegen ons belang. We gebruiken zo min mogelijk gegevens. Je kunt altijd bezwaar maken.

Zonder account- en factuurgegevens kunnen we de dienst niet leveren. Een document uploaden is vrijwillig. Betaalkaart- of rekeninggegevens bewaren wij niet: een iDEAL-betaling doe je in je eigen bankomgeving, en wij krijgen daarvan alleen de bevestiging.

3. Gegevens over andere mensen

In OR-stukken staan vaak namen van anderen, zoals collega's of bestuurders. Daarom zijn dit onze afspraken:

Anonimiseer waar het kan. Voor de meeste vragen zijn namen niet nodig.
Geen gevoelige gegevens. Voer geen medische gegevens, vakbondslidmaatschap, strafrechtelijke gegevens, BSN's of kopieën van identiteitsbewijzen in. Een organisatie kan hierover alleen vooraf in de Verwerkersovereenkomst andere afspraken maken. Voor privégebruik is dat niet mogelijk. Komen zulke gegevens toch binnen, dan beperken we de toegang en verwijderen we ze.
Waarom we andere mensen niet persoonlijk informeren: gegevens over anderen gebruiken we alleen om jouw vraag te beantwoorden. Het originele document wissen we direct na de analyse. Wij weten niet wie er in een document staat en kunnen die mensen dus niet bereiken. Hen allemaal apart informeren zou een onevenredige inspanning vragen (artikel 14 lid 5 onder b AVG). Daarom informeren we via deze openbare verklaring. Daarnaast beperken we het risico: we vragen om anonieme invoer, sluiten gevoelige gegevens uit, bewaren documenten zeer kort en trainen nooit met de inhoud.
Werk je via een organisatie met een Verwerkersovereenkomst, dan informeert die organisatie de betrokkenen. Wij helpen daarbij.

4. Documenten, chats en AI

Zo verloopt een analyse:

Je uploadt een document. Dat wordt tijdelijk opgeslagen in Frankfurt (EU).
We halen de tekst eruit.
De tekst die nodig is voor je vraag gaat naar OpenAI. Is OpenAI niet beschikbaar, dan gaat hij naar Anthropic.
Het resultaat verschijnt in je account.
Het originele document en de tijdelijk uitgelezen tekst wissen we direct na de analyse. Wordt een analyse onderbroken, dan wissen we het bestand uiterlijk binnen een uur.

Om te weten:

Het direct wissen geldt voor het originele bestand bij ons. Voor chats, resultaten, back-ups en de AI-leveranciers gelden de termijnen in artikel 5.
Een resultaat kan namen of andere gegevens uit je document bevatten. Dat resultaat blijft in je account tot je het verwijdert. Documentanalyses komen niet in je chatgeschiedenis terecht: dat zijn gescheiden onderdelen, elk met hun eigen opslag.
De analysegegevens die we bewaren (zoals type en tijdstip) bevatten geen bestandsnaam en geen documenttekst.
Geen training: wij gebruiken je inhoud niet om AI te trainen en geven leveranciers daar geen toestemming voor. Dat betekent niet automatisch dat een leverancier niets bewaart. Zie artikel 5.
Geen meelezers: wij lezen je documenten niet standaard mee. Alleen als het nodig is voor ondersteuning, een beveiligingsincident of een wettelijke plicht kijkt een bevoegd persoon mee, onder geheimhouding.
AI kan gegevens uit je document herhalen, afleiden of verkeerd weergeven. Controleer de uitkomst daarom altijd.

5. Hoe lang we gegevens bewaren

Opzeggen is iets anders dan je account verwijderen. Zeg je een betaald abonnement op, dan blijft je account bestaan als gratis account, met je geschiedenis.

Gegevens	Bewaartermijn
Geüploade documenten en uitgelezen tekst	Direct na de analyse gewist. Wordt een analyse onderbroken, dan wissen we het bestand uiterlijk binnen een uur.
Account en inloggegevens	Zolang je account bestaat; binnen 30 dagen na verwijdering gewist
Chats en resultaten	Tot je ze verwijdert of je account opheft; daarna binnen 30 dagen gewist
Analysegegevens (type, tijdstip)	Zolang je account bestaat; bij verwijdering van je account binnen 30 dagen
Technische en beveiligingslogs	Maximaal 90 dagen. Wij leggen vast wanneer er iets misging, in welk onderdeel, welk soort fout het was en welke foutcode wij terugkregen. De tekst van je vraag en de inhoud van je document staan daar niet in
Feedback die je zelf instuurt	Zolang je account bestaat; verwijder je je account, dan wordt je feedback meegewist
Wachtlijst (je e-mailadres)	Tot je een uitnodiging krijgt of je afmeldt, en uiterlijk 3 maanden na de lancering. Afmelden kan met een mail naar privacy@orassist.nl
Klantcontact en terugbetalingen	Maximaal 24 maanden na afhandeling
Financiële administratie	7 jaar (wettelijke plicht), alleen de gegevens waarvoor die plicht geldt
Back-ups	Onze databaseleverancier maakt elke dag een back-up en bewaart die 7 dagen. Verwijder je gegevens, dan kunnen ze tot 7 dagen daarna nog in een back-up staan; daarna zijn ze ook daar weg. Moeten we ooit een back-up terugzetten, dan passen we verwijderingen opnieuw toe
Bij OpenAI	Tekst en antwoorden worden tot 30 dagen bewaard voor controle op misbruik, en langer alleen als de wet dat eist
Bij Anthropic	Tekst en antwoorden worden binnen 30 dagen gewist. Slaat hun veiligheidssysteem aan op een gesprek, dan kunnen ze het tot 2 jaar bewaren

Moeten we iets langer bewaren door een wettelijke plicht of een concreet geschil, dan bewaren we alleen wat nodig is, zo kort mogelijk en afgeschermd.

6. Met wie we gegevens delen

Leverancier	Wat ze doen	Waar
Supabase	Database (ook de wachtlijst), inloggen, tijdelijke opslag van uploads	Frankfurt (EU)
Vercel	Hosting van de website en app; verwerking van documenten	Documentverwerking in Frankfurt (EU); Vercel Inc. is een Amerikaans bedrijf
OpenAI	AI-analyse en het maken van antwoorden	Buiten de EU; geen vaste regio
Anthropic	Reserve voor de AI-analyse	Wereldwijd; geen vaste regio
Sentry	Foutmeldingen, zonder documentinhoud	EU
Resend	Account- en systeemmails, en de bevestiging van je aanmelding voor de wachtlijst	Verzending vanuit Ierland (EU); Resend is een Amerikaans bedrijf
Moneybird	Facturen maken en versturen, en onze boekhouding	Verwerking binnen de EU

Verder delen we gegevens alleen als de wet dat vereist, of met adviseurs die tot geheimhouding verplicht zijn. We verkopen nooit gegevens en gebruiken ze niet voor advertenties.

7. Gegevens buiten de EU

Je upload blijft in Frankfurt, maar de uitgelezen tekst gaat voor de analyse naar een leverancier buiten de EU. We beloven dus niet dat al je gegevens in de EU blijven.

Onze AI-leveranciers leggen zich niet vast op één land. OpenAI en Anthropic laten in hun eigen opgave zien dat verwerking onder meer in de Verenigde Staten kan plaatsvinden, en bij Anthropic staat de cloudinfrastructuur zonder nadere aanduiding als "wereldwijd" vermeld. Wij kunnen dus niet beloven in welk land jouw tekst wordt verwerkt — alleen dat het buiten de EU kan zijn.

Markeert het controlesysteem van een leverancier een tekst, dan kan een deel ervan bij menselijke beoordelaars terechtkomen. Bij OpenAI gebeurt dat onder meer in de Verenigde Staten, Canada en de Filipijnen; bij Anthropic kan gebruikersondersteuning plaatsvinden in de Verenigde Staten, Canada en Zuid-Afrika.

Voor al deze landen gebruiken we de wettelijke waarborgen, meestal de standaardcontractbepalingen van de Europese Commissie (SCC's). Welke waarborg per leverancier geldt, staat in bijlage 3 van de Verwerkersovereenkomst. Wil je een kopie van die waarborgen? Mail dan naar privacy@orassist.nl.

8. Beveiliging

We beveiligen gegevens passend bij het risico. Zo versleutelen we verbindingen en beperken we de toegang. Klantgegevens houden we gescheiden, beheeraccounts beveiligen we extra, en we loggen geen documentinhoud. Voor incidenten hebben we een vaste aanpak. Volledige zekerheid kan niemand geven, maar we doen wat redelijkerwijs mogelijk is. De maatregelen staan in bijlage 2 van de Verwerkersovereenkomst.

9. Cookies

We gebruiken alleen de cookies die nodig zijn om in te loggen en ingelogd te blijven. Voor bezoekersstatistieken en het meten van de laadsnelheid gebruiken we Vercel Analytics en Vercel Speed Insights, zonder cookies. Voor foutmeldingen gebruiken we Sentry, zonder identificerende inhoud. Tracking- of advertentiecookies gebruiken we niet. Gaan we ooit andere technieken gebruiken, dan vragen we eerst je toestemming als dat nodig is.

Dit zijn de cookies die we zetten:

sb-izukdfsxixbvibdehhab-auth-token: houdt je ingelogd. Is de waarde lang, dan wordt hij verdeeld over cookies met dezelfde naam en .0, .1 erachter. Blijft maximaal 400 dagen staan, of tot je uitlogt.
sb-izukdfsxixbvibdehhab-auth-token-code-verifier: tijdelijk, alleen als je je wachtwoord herstelt of je e-mailadres bevestigt.

In local storage, session storage of IndexedDB zetten we niets.

10. Jouw rechten

Je mag:

je gegevens inzien;
je gegevens laten corrigeren of verwijderen;
de verwerking laten beperken;
je gegevens meenemen (overdraagbaarheid);
bezwaar maken tegen verwerking op basis van gerechtvaardigd belang;
een gegeven toestemming altijd intrekken.

Stuur je verzoek naar privacy@orassist.nl. Je krijgt binnen één maand antwoord. Is je verzoek ingewikkeld, dan kan dat twee maanden langer duren; dat laten we je dan binnen de eerste maand weten. We vragen alleen wat nodig is om te controleren wie je bent, en nooit standaard een kopie van je identiteitsbewijs. Een verzoek is gratis.

Verwerken we de gegevens in opdracht van een organisatie, dan sturen we je verzoek door naar die organisatie en helpen we haar.

Ben je het niet eens met hoe we met je gegevens omgaan? Dan kun je een klacht indienen bij de Autoriteit Persoonsgegevens.

OR Assist neemt geen automatische beslissingen over jou. De uitkomsten zijn bedoeld als hulp voor jouw eigen afweging.

11. Wijzigingen

Veranderen we iets belangrijks aan deze verklaring, dan laten we dat vooraf weten. Een nieuwe versie verandert niets aan de afspraken in een Verwerkersovereenkomst. Voor terugbetalingen geldt het Restitutiebeleid.