Privacybeleid Rechtswijs
Versie 2.2, 15 mei 2026
Bij Rechtswijs nemen wij uw privacy zeer serieus. Dit privacybeleid beschrijft hoe wij uw persoonsgegevens verzamelen, gebruiken, delen en beschermen wanneer u onze diensten gebruikt.
1. Wie zijn wij
Rechtswijs is ingeschreven bij de Kamer van Koophandel onder nummer 61970530. Wij zijn de verwerkingsverantwoordelijke voor uw persoonsgegevens in de zin van de Algemene Verordening Gegevensbescherming (AVG).
Contact: [email protected], onze volledige bedrijfsgegevens staan onderaan deze pagina (sectie 13).
2. Welke gegevens verzamelen wij
2.1 Accountgegevens
Wanneer u een account aanmaakt, verzamelen wij:
- E-mailadres
- Naam (indien verstrekt, via OAuth-login of handmatig)
2.2 Betalingsgegevens
Wanneer u een betaald abonnement afsluit:
- Factuurgegevens (naam, adres)
- Betalingsmethode (verwerkt via Stripe, wij slaan geen volledige creditcardgegevens op)
2.3 Dossiergegevens
Wanneer u Rechtswijs gebruikt voor juridische orientatie:
- Chatberichten waarin u uw situatie beschrijft
- Door de AI gegenereerde analyses, feiten en actieplannen
- Door u geuploade documenten (PDF, Word, tekstbestanden)
- Door de AI gegenereerde documenten (bezwaarschriften, klachtbrieven)
- Juridische bronverwijzingen die bij uw dossier worden opgeslagen
2.4 Gebruiksgegevens
- IP-adres
- Browsertype en -versie
- Apparaatinformatie
- Datum en tijd van toegang
2.5 Communicatie
- E-mails en berichten die u naar ons stuurt
- Feedback en supportverzoeken
3. Waarom verzamelen wij deze gegevens
| Doel | Rechtsgrond (AVG) |
|---|---|
| Leveren van juridische AI-assistentie | Uitvoering van de overeenkomst (Art. 6(1)(b)) |
| Aanmaken en beheren van uw account | Uitvoering van de overeenkomst (Art. 6(1)(b)) |
| Verwerken van betalingen | Uitvoering van de overeenkomst (Art. 6(1)(b)) |
| Klantenservice en support | Uitvoering van de overeenkomst (Art. 6(1)(b)) |
| Beveiliging en fraudepreventie | Gerechtvaardigd belang (Art. 6(1)(f)) |
| Audit logging | Gerechtvaardigd belang (Art. 6(1)(f)) |
| Voldoen aan wettelijke verplichtingen | Wettelijke verplichting (Art. 6(1)(c)) |
| Verwerking bijzondere persoonsgegevens | Uitdrukkelijke toestemming (Art. 9(2)(a)) |
4. Hoe wij uw gegevens beschermen
4.1 Encryptie
- At rest: Alle sensitieve tekstvelden in de database zijn versleuteld met XSalsa20-Poly1305 (256-bit) via libsodium. Dit omvat chatberichten, dossiernamen, feiten, analyses, documenten en persoonsgegevens.
- In transit: Al het dataverkeer is versleuteld via TLS 1.3
- Bestanden: Geuploade bestanden worden versleuteld opgeslagen in Cloudflare R2
4.2 PII-redactie richting AI
Voordat uw tekst naar het AI-model wordt gestuurd, worden de volgende identificatoren automatisch vervangen door anonieme tokens ({BSN_1}, {IBAN_1}, etc.):
- Burgerservicenummers (BSN), met elfproef-validatie
- IBAN-nummers
- E-mailadressen
- Telefoonnummers (Nederlands formaat)
- Postcodes
- Creditcardnummers
- BIG-registratienummers (zorgverleners)
- V-nummers (vreemdelingennummer IND, voor asiel- en vreemdelingrecht-cases)
- KVK-nummers (Kamer van Koophandel, voor MKB-cases)
Aandachtspunt: wij adviseren u terughoudend te zijn met het uploaden van documenten die direct identificerende nummers bevatten (zoals BSN, IBAN, V-nummer of BIG-nummer) wanneer dat voor uw juridische vraag niet strikt nodig is. Voor wat toch wordt aangeleverd werkt onze redactie-laag op patroon-detectie: in de meeste gevallen worden deze identificatoren onderschept en vervangen door anonieme tokens vóór doorgifte aan het AI-model. Bij weergave aan u worden de tokens weer omgezet naar de oorspronkelijke waarden.
Patroon-detectie is niet onfeilbaar bij ongebruikelijke notaties (bijvoorbeeld een BSN met spaties, in een gescande bijlage, of in een afwijkende layout). Mocht een identificator alsnog doorglippen, dan blijft de tweede laag van bescherming actief: column-encryption op opslag, EU-region-pinning van de AI-verwerking, en de contractuele garantie dat de AI-provider uw data niet gebruikt voor het trainen of finetunen van modellen (Cloud DPA en Standard Contractual Clauses).
Wat NIET wordt geredacteerd: inhoudelijke beschrijvingen (bv. “mijn moeder is behandeld voor borstkanker stadium 3” of “klacht tegen werkgever over discriminatie”). Deze inhoud is nodig voor zinvolle juridische analyse en gaat dus wél naar het AI-model. Zie sectie 9 voor de doorgifte-implicaties.
4.3 Toegangscontrole
- Passwordless authenticatie via een eenmalige verificatiecode per e-mail, óf via OAuth-login bij een externe identity-provider (Google of Microsoft). Er worden geen wachtwoorden bij Rechtswijs opgeslagen.
- Beveiligde cookies (httpOnly, SameSite=Lax, Secure, __Host- prefix)
- Ownership checks: u kunt alleen uw eigen dossiers inzien
- Rate limiting op alle API-endpoints
4.4 Audit logging
Alle toegang tot uw gegevens wordt gelogd op basis van design-principes die zijn geïnspireerd op NEN 7510/7513. Deze logs registreren wie, wat, wanneer en vanwaar uw gegevens zijn benaderd. De logs zijn onwijzigbaar (immutable) door een tamper-proof database-trigger die UPDATE en DELETE op de audit-tabel blokkeert.
4.5 Virusscanning
Alle geuploade bestanden worden gescand op malware met ClamAV voordat ze worden verwerkt.
4.6 AI-training
Door Rechtswijs: wij gebruiken uw content (chatberichten, documenten, dossiers) nooit voor het trainen van eigen AI-modellen. Wij hebben ook geen eigen modellen, wij gebruiken Google Gemini.
Door Google (de AI-leverancier): wij gebruiken Google Cloud Vertex AI voor Gemini 3 Flash, via het global endpoint. Vertex AI valt onder Google’s enterprise-Cloud Data Processing Addendum (Cloud DPA) inclusief Standard Contractual Clauses, no-training-garantie en compliance-attestaties (SOC 2, ISO 27001). Het Gemini 3 Flash-model is nog niet beschikbaar in Vertex AI EU-regions; tot die beschikbaar komt loopt onze data via Vertex’s global endpoint (compensatie: SCC’s + EU-US DPF, zie §9.3).
Mitigatie: alle identificatoren (zie 4.2) worden vóór elke verzending vervangen, zodat aan Google verstrekte data niet aan u of derden te koppelen is op basis van deze identificatoren. Voor inhoudelijke beschrijvingen geldt deze mitigatie niet, die gaan in volle vorm naar Google.
Zodra Gemini 3 Flash beschikbaar wordt in Vertex AI EU-regions (zoals europe-west4), migreren wij naar die omgeving voor strikte EU-residency bovenop de huidige Cloud-DPA-bescherming. Sectie 9 bevat de volledige Transfer Impact Assessment.
5. Met wie delen wij uw gegevens
5.1 Sub-verwerkers
| Sub-verwerker | Dienst | Locatie | Gegevens |
|---|---|---|---|
| Hetzner Online GmbH | Compute + opslag (Talos k8s cluster) | Falkenstein, Duitsland | Alle dossier-data (versleuteld at-rest) |
| Cloudflare Inc. | R2 object-storage, CDN, edge AI | EU | Audio, geuploade documenten, gegenereerde DOCX-bestanden |
| Google Cloud (Vertex AI) | AI-model voor juridische analyse (Gemini 3 Flash) | Globaal endpoint (zie §9.3) | Chatberichten en dossier-context (na PII-redactie), gedekt door Cloud DPA + SCC’s |
| Deepgram Inc. | Speech-to-text | EU (api.eu.deepgram.com) | Audio van opnames (geen retentie bij Deepgram) |
| Stripe Inc. | Betalingsverwerking | EU + VS (SCCs) | Betalingsgegevens |
| AWS (Cognito) | Managed identity-provider (passwordless + OAuth-relay) | eu-central-1 (Frankfurt) | E-mail, user-ID, eenmalige verificatiecode-flow-metadata, OAuth-claims indien gebruikt |
| Google LLC (OAuth) | Optionele “Sign in with Google” | Global | E-mailadres, naam (alleen identity-claim, geen dossier-data) |
| Microsoft Corp. (OAuth) | Optionele “Sign in with Microsoft” | Global | E-mailadres, naam (alleen identity-claim, geen dossier-data) |
| Resend Inc. | Transactionele e-mail (uitsluitend generieke content) | VS-bedrijf met EU-routing onder SCCs + EU-US DPF | E-mail-adres + verificatie-code (nooit dossier-inhoud) |
| Sentry | Error-monitoring | EU (de.sentry.io, Frankfurt) | Error-stack-traces (PII gestripped in productie) |
| PostHog Inc. | Product-analytics | EU (eu.i.posthog.com) | Pageviews, feature-flags |
Met al deze partijen hebben wij verwerkersovereenkomsten afgesloten die voldoen aan de AVG. Voor doorgiftes naar non-EU regions (Vertex AI global endpoint, Stripe, Sentry, Resend) gelden Standard Contractual Clauses (SCC’s) en/of het EU-US Data Privacy Framework.
Een actueel sub-verwerkersregister is beschikbaar via [email protected]. Wij kondigen wijzigingen 14 dagen vooraf aan; bij bezwaar kunt u uw account beëindigen.
5.2 Geen verkoop van gegevens
Wij verkopen uw persoonsgegevens nooit aan derden.
5.3 Wettelijke verplichtingen
Wij kunnen gegevens delen indien wij hiertoe wettelijk verplicht zijn, bijvoorbeeld op basis van een gerechtelijk bevel.
6. Hoelang bewaren wij uw gegevens
| Type gegevens | Bewaartermijn |
|---|---|
| Accountgegevens | Zolang uw account actief is |
| Dossiergegevens (chats, feiten, documenten) | Zolang uw account actief is, of totdat u deze verwijdert |
| Betalingsgegevens | 7 jaar na de transactie (wettelijke verplichting) |
| Audit logs | 5 jaar (interne bewaartermijn, aansluitend op NEN 7513-richtlijn) |
| Gebruiksgegevens | Maximaal 26 maanden |
| Communicatie met support | 3 jaar na laatste contact |
Na beeindiging van uw account:
- U heeft 30 dagen om uw gegevens te exporteren
- Na 30 dagen worden uw gegevens permanent verwijderd
- Uitgezonderd: audit logs (5 jaar) en gegevens die wij wettelijk verplicht zijn te bewaren
7. Uw rechten
Onder de AVG heeft u de volgende rechten:
| Recht | Toelichting |
|---|---|
| Inzage (Art. 15) | U kunt al uw dossiers en gegevens inzien via de applicatie |
| Rectificatie (Art. 16) | U kunt onjuiste feiten en gegevens corrigeren |
| Vergetelheid (Art. 17) | U kunt uw account en alle gegevens laten verwijderen |
| Beperking (Art. 18) | U kunt verzoeken de verwerking te beperken |
| Overdraagbaarheid (Art. 20) | U kunt uw gegevens exporteren |
| Bezwaar (Art. 21) | U kunt bezwaar maken tegen verwerking op basis van gerechtvaardigd belang |
| Toestemming intrekken | Waar verwerking gebaseerd is op toestemming, kunt u deze te allen tijde intrekken |
Hoe oefent u deze rechten uit? Stuur een e-mail naar [email protected] met uw verzoek. Wij reageren binnen 30 dagen.
8. Cookies
8.1 Essentiele cookies
Wij gebruiken essentiele cookies die noodzakelijk zijn voor het functioneren van de dienst:
- Authenticatiecookies (om u ingelogd te houden)
- Beveiligingscookies
8.2 Analytische cookies
Naast essentiele cookies plaatsen wij analytische cookies via PostHog (EU-cluster, eu.i.posthog.com) voor product-analytics en feature-flag-evaluatie. Wij anonimiseren waar mogelijk en delen geen individuele user-data met derden. Zie onze Cookieverklaring voor details en voor instructies om deze cookies via uw browser te weigeren.
8.3 Geen advertentie-tracking
Wij plaatsen geen cookies voor advertentiedoeleinden en volgen u niet over andere websites.
9. Internationale doorgifte
9.1 Hoofdregel: EU-opslag
Uw dossier-data, documenten en transcripten worden opgeslagen binnen de Europese Unie (Hetzner Falkenstein, DE; Cloudflare R2 EU-region).
9.2 Doorgiftes naar de VS, Stripe, Sentry, Resend
- Stripe (betalingen): EU + VS via SCCs in Stripe DPA en EU-US Data Privacy Framework
- Sentry (error-monitoring): regio afhankelijk van DSN-configuratie, in productie wordt gebruikersinformatie gestripped vóór verzending
- Resend (e-mail): VS-bedrijf met EU-routing, doorgifte gedekt door SCCs in Resend DPA en EU-US Data Privacy Framework
9.3 ⚠️ Doorgifte aan Google voor AI-verwerking, belangrijke transparency
Wij gebruiken Google Cloud Vertex AI voor Gemini 3 Flash, via het global endpoint. Vertex is Google’s enterprise-AI-platform en valt onder de Google Cloud Data Processing Addendum inclusief Standard Contractual Clauses (SCC’s) voor doorgiftes naar non-EU regions. Belangrijke nuances:
- Cloud DPA actief. Wij hebben de Google Cloud DPA geaccepteerd; deze functioneert als verwerkersovereenkomst onder AVG art. 28 met Google Cloud als verwerker.
- No-training-garantie. Onder Vertex AI’s data-governance policy worden foundation models niet getraind op customer-data, noch gebruikt voor verbetering van non-customer-facing services. Bron: Vertex AI Data Governance.
- Geen EU-region pinning (huidig). Gemini 3 Flash is op dit moment alleen beschikbaar via Vertex’s global endpoint, niet in EU-regions zoals
europe-west4. ML-processing kan dus buiten de EU plaatsvinden. Compensatie: SCC’s + EU-US Data Privacy Framework. - Compliance-attestaties. Vertex AI is opgenomen in Google Cloud’s SOC 2 Type II, ISO 27001, ISO 27018 en ISO 27701 audited services. Rapporten beschikbaar via Compliance Reports Manager.
Wat wij wel doen ter mitigatie:
- Wij adviseren gebruikers terughoudend te zijn met het uploaden van documenten die direct identificerende nummers bevatten (BSN, IBAN, V-nummer, BIG-nummer) wanneer dat voor de juridische vraag niet strikt nodig is. Voor wat alsnog wordt aangeleverd, draait een patroon-detectie-laag die deze identificatoren in de meeste gevallen onderschept en vervangt door anonieme tokens vóór doorgifte aan Google (zie §4.2), ook over de gehele chat-history heen.
- Patroon-detectie is niet onfeilbaar bij ongebruikelijke notaties. Mocht een identificator toch doorglippen, dan blijft Google contractueel verplicht (Cloud DPA + SCC’s + Vertex no-training-policy) deze data niet voor model-training of voor non-customer-facing-services te gebruiken.
- Geen audio naar Google: onze speech-to-text loopt via Deepgram’s EU-only endpoint.
- System-prompts zijn statisch en bevatten geen klant-data.
Wat wij niet kunnen mitigeren: inhoudelijke beschrijvingen van uw situatie (“klacht tegen arts X over behandeling Y”) gaan in tekstvorm naar Google. Identificatoren zijn weg, maar de inhoudelijke context blijft.
Migratiepad naar EU-region: zodra Gemini 3 Flash GA wordt in Vertex AI europe-west4, schakelen wij over (één configuratie-wijziging). Dat voegt aan de huidige Cloud-DPA-bescherming ook EU-region-pinning toe (data verlaat EU niet meer voor ML-processing).
Uw keuzes:
- Door deze dienst te gebruiken accepteert u expliciet de doorgifte via Vertex AI’s global endpoint.
- Wenst u dit niet: gebruik Rechtswijs niet, of wacht op de EU-region-migratie. U kunt te allen tijde uw account verwijderen onder §7.
Een uitgebreide Transfer Impact Assessment (TIA) is op verzoek beschikbaar via [email protected].
10. Kinderen
Onze diensten zijn niet bedoeld voor personen jonger dan 18 jaar. Wij verzamelen niet bewust persoonsgegevens van minderjarigen.
11. Wijzigingen
Wij kunnen dit privacybeleid van tijd tot tijd wijzigen. Bij wezenlijke wijzigingen informeren wij u via e-mail, minimaal 30 dagen voordat de wijzigingen van kracht worden.
12. Klachten
Heeft u een klacht? Neem eerst contact met ons op via [email protected].
U heeft ook het recht een klacht in te dienen bij de Autoriteit Persoonsgegevens:
Autoriteit Persoonsgegevens Postbus 93374 2509 AJ Den Haag www.autoriteitpersoonsgegevens.nl
13. Contact
Rechtswijs KvK-nummer: 61970530
E-mail: [email protected]
Dit privacybeleid is voor het laatst bijgewerkt op 15 mei 2026.