Privacyverklaring Norwin AI Platform

Voor gebruikers van het platform, contactpersonen van (potentiële) klanten, ontvangers van een persoonlijke link, partners (organisaties die op het platform reageren) en hun gebruikers, makers van sjablonen, en bezoekers van app.norwin.ai. Ook voor wie met onze tool "Maak je AI-kansenkaart" een concept laat maken, en voor bedrijven en personen over wie zo'n concept gaat.

Wat een bedrijf in zijn eigen workspace vastlegt, verwerken wij namens dat bedrijf. Dat bedrijf is daarvoor verantwoordelijk. Met vragen daarover kun je bij dat bedrijf terecht. Wij helpen het bedrijf daarbij.

Onderdeel van onze dienst is proactieve begeleiding. Onze medewerkers kijken dan mee in de workspace, om het bedrijf te helpen bij het gebruik van het platform en bij zijn AI-transformatie. Dat staat standaard aan. Een admin van het bedrijf kan het uitzetten onder Instellingen. Dan kijken wij alleen mee op verzoek van het bedrijf, bij support of bij een beveiligingsincident. Wij gebruiken wat we zien alleen om het bedrijf te helpen. Wij kopiëren geen inhoud buiten het platform, beoordelen geen individuele gebruikers en doen geen aanbod voor betaalde diensten op grond van wat we zagen, tenzij het bedrijf daarom vraagt. Via het platform leggen wij per medewerker per workspace één keer per 30 minuten vast dat hij meekijkt, met een reden. Dat uitzetten door de admin is een organisatorische maatregel: onze medewerkers kunnen technisch alle workspace-inhoud lezen, behalve chat, je persoonlijke instructies voor de AI en geletterdheidsgegevens per persoon. Wij controleren de gekozen redenen wanneer er een vermoeden of aanleiding voor is. Een lopende offerte of adviesopdracht van het bedrijf geldt als verzoek van het bedrijf; zonder lopende offerte of opdracht gebruiken onze medewerkers die reden niet. Doet een medewerker toch een aanbod op grond van wat hij zag, dan volgt een interne disciplinaire maatregel. Zie de verwerkersovereenkomst, artikel 3.2.

Voor chat tussen collega's geldt dat niet. Onze medewerkers zien dat een gesprek bestaat (workspace, aanmaker, aantal deelnemers), maar nooit de inhoud. Die verwerken wij namens het bedrijf. Wij lezen hem alleen in de uitzonderingen die de verwerkersovereenkomst (art. 3.3 en 3.4) noemt.

Een admin van je bedrijf kan chat met AI inschakelen. Dat staat standaard uit. Voer je dan een gesprek met de AI-assistent, dan verwerken wij je berichten en de antwoorden namens je bedrijf. Een gesprek is persoonlijk: alleen jij kunt het in het platform lezen, jouw collega's, de admin en onze medewerkers niet. Wij bewaren je gesprekken zolang de workspace van je bedrijf bestaat, zodat je ze kunt terugvinden. Je kunt een gesprek zelf verwijderen.

Om een antwoord te maken, sturen wij je berichten naar Amazon Web Services (Amazon Bedrock), dat een Claude-model van Anthropic draait. Dat gebeurt alleen in de EU (zie Ontvangers, AWS). Gebruikt je bedrijf een eigen AI-koppeling, dan sturen wij ze naar die aanbieder, alleen naar een Europees eindpunt. Die aanbieder is dan niet onze subverwerker maar die van je bedrijf. Wat hij met je berichten doet, volgt de overeenkomst die je bedrijf met hem heeft.

Bij elk gesprek stuurt het platform drie dingen mee, zodra je bedrijf de nieuwe module heeft geaccepteerd. (1) Het organisatieprofiel: een tekst van maximaal 2.000 tekens die een admin schrijft en die je collega's en onze medewerkers kunnen lezen. (2) Jouw persoonlijke instructies, maximaal 1.000 tekens over toon, taal en opmaak: alleen jij kunt ze lezen, de admin en onze medewerkers niet. (3) Kansen en projecten van je workspace, alleen als jij dat voor dat gesprek aanzet. Dan gaan titel, fase, verwachte uitwerking, beschrijving en het aantal taken mee, zonder namen van personen. Titels en beschrijvingen zijn vrije tekst; staan er namen in, dan gaan die mee.

De AI kan een kans of taak voorstellen. Dat is alleen een tekst; er wordt niets aangemaakt tot jij het in het gewone formulier opslaat. Volgens hun voorwaarden gebruiken AWS en Anthropic je berichten niet om modellen te trainen. Je bedrijf bepaalt wat jullie in een gesprek, het profiel en de instructies invoeren; voer geen bijzondere persoonsgegevens (zoals gezondheidsgegevens) in. Een antwoord kan onjuist zijn: controleer het voor je het gebruikt.

Ook gegevens over AI-geletterdheid verwerken wij namens het bedrijf: welke e-learnings aan je zijn toegewezen en of je ze hebt afgerond, met de datum (geen score), en je niveau. Onze medewerkers hebben geen leesrechten op geletterdheidsgegevens zonder zichzelf eerst toe te voegen als lid van de workspace; dat toevoegen zelf wordt vastgelegd en gemeld aan de admin. Dat geldt ook als een medewerker zich met de rol admin toevoegt (verwerkersovereenkomst, artikel 3.2).

• Nodigt een collega je uit voor het platform, dan krijgen wij je e-mailadres (en naam) van die collega.

• Sluit je aan via het maildomein van je bedrijf, dan hebben wij je e-mailadres van jou zelf. Dat je bij het bedrijf kunt aansluiten, volgt uit de instelling die de admin van je bedrijf koos.

• Meld je je aan, log je in of koppel je je account met een Microsoft-werk- of schoolaccount of met een Google-account, dan ontvangen wij van die provider je e-mailadres, je naam en een vaste identificatie van jouw account bij die provider, en bij Microsoft ook het ID van je organisatie (de tenant). Dat kies je zelf; inloggen met een e-maillink blijft mogelijk.

• Laat je via het formulier "Laat je gegevens achter" je gegevens achter, dan hebben wij ze van jou zelf.

• Voor contactgegevens van (potentiële) klanten die wij zelf opvolgen: die krijgen wij van de persoon zelf, via een introductie, of uit openbare bronnen zoals de website van het bedrijf of LinkedIn.

• Laat iemand met "Maak je AI-kansenkaart" een concept over een bedrijf maken, dan halen wij de gegevens over dat bedrijf uit openbare bronnen: de eigen website van het bedrijf en het Handelsregister van KVK. Zie hieronder.

Op app.norwin.ai kun je zonder account een AI-concept van een kansenkaart laten maken voor een bedrijf. Voor deze verwerking zijn wij zelf verantwoordelijk. Wij werken hier niet namens een bedrijf.

Zo werkt het. Je vult een website of een KvK-nummer in, eventueel met de bedrijfsnaam. Wij zoeken het bedrijf op en vragen je te bevestigen dat het het juiste is ("Bedoel je …?"). Daarbij tonen wij alleen bedrijven die bij de ingevulde website of het ingevulde KvK-nummer horen. Wij zoeken niet los op een naam: zoeken wij bij KVK op de bedrijfsnaam die bij de ingevulde website hoort, dan tonen wij alleen bedrijven waarvan het KVK-profiel die website noemt. Daarna beantwoord je twee keuzevragen: je rol, en waar de meeste tijd naartoe gaat. Wij lezen een beperkt aantal openbare pagina's van de website van het bedrijf, en een AI-model maakt daaruit een concept. Je ziet drie kansen. De rest krijg je met een account. Het concept is door AI gemaakt, niet vooraf door ons gecontroleerd en geen advies.

Waar de gegevens vandaan komen:

• van jou: wat je invult en kiest;

• de eigen website van het bedrijf: alleen pagina's op hetzelfde domein, hooguit 10, en alleen als robots.txt dat toelaat. Onze crawler maakt zich bekend; op /crawler staat hoe je hem blokkeert;

• het Handelsregister van KVK (via de KVK-API): handelsnaam, vestigingsplaats, rechtsvorm, hoofdactiviteit en KvK-nummer. De naam van de eigenaar uit het register gebruiken wij niet;

• sectorbeschrijvingen die wij zelf bijhouden, zonder persoonsgegevens.

Wij gebruiken geen zoekmachine en geen andere bronnen.

Wat er in het concept komt. De handelsnaam van het bedrijf staat altijd in het concept. Bij een eenmanszaak is dat vaak de naam van de eigenaar. Namen van personen die op de eigen website van het bedrijf staan, kunnen in het concept komen, bijvoorbeeld als korte aanhaling. E-mailadressen, telefoonnummers en postcodes halen wij uit de bronnen voordat het AI-model ze ziet. E-mailadressen, links, bedragen en percentages controleren wij daarna ook in het concept zelf. De volledige tekst van de pagina's bewaren wij niet. Wij bewaren alleen korte aanhalingen als bronvermelding bij het concept. De server houdt opgehaalde pagina's en registergegevens hooguit 1 dag in zijn werkgeheugen, zodat hij ze niet opnieuw hoeft op te halen. Een concept geven wij nooit aan een andere bezoeker: elke aanvraag krijgt een eigen concept.

Belangenafweging (art. 6 lid 1 onder f AVG). Ons belang: een bezoeker met een zakelijk belang een eerste concept geven, en laten zien wat wij doen. Zonder de openbare bronnen over het bedrijf kan er geen concept zijn. Wat wij lezen, heeft het bedrijf zelf openbaar gemaakt, op de eigen website of in het Handelsregister. Een ondernemer verwacht misschien niet dat een ander zijn website door een AI laat lezen. Daarom beperken wij de verwerking: geen contactgegevens, bedragen of percentages in het concept, geen volledige paginatekst bewaard, korte bewaartermijnen, geen besluiten over personen, en geen concept voor een andere bezoeker. Wij sturen het concept niet naar het bedrijf zelf. Een bedrijf kan onze crawler blokkeren en een concept laten verwijderen.

Mededeling aan bedrijven en personen over wie een concept gaat (art. 14 AVG). Deze tekst is onze mededeling. Wij hebben geen contactgegevens van die bedrijven en vragen ze niet, dus wij benaderen hen niet apart. De bronnen zijn de eigen website van het bedrijf en het Handelsregister.

Klopt er iets niet in een concept over jou of je bedrijf, of wil je dat het wordt verwijderd? Mail info@norwin.ai. Wij handelen dat af binnen 5 werkdagen.

De generator slaat niets in je browser op. Wij nemen met het concept geen besluiten over jou of over personen (art. 22 AVG).

Wij controleren de verklaring over de EU en het zakelijk handelen niet bij het aanmelden. Land, KvK-nummer en btw-id vragen wij later: voor een betaald abonnement en voor handelingen op de marktplaats met gevolgen voor anderen (zie de regel "Bedrijfsprofiel en facturatie" in deze tabel). Zonder deze gegevens kun je het platform gebruiken, maar niet de marktplaats en geen betaald abonnement. Alleen een admin van je bedrijf kan ze opgeven. Bij het scherm waar je ze invult, staat een korte tekst met een link naar deze privacyverklaring. Wij controleren een btw-id bij het opgeven op de vorm. Voordat wij je een factuur zonder Nederlandse btw sturen (btw verlegd), raadplegen wij je btw-id in VIES, het systeem van de Europese Commissie, en bewaren wij de uitkomst met het bewijsnummer. Blijken de gegevens onjuist, dan kunnen wij de marktplaatshandelingen weigeren (zie de algemene voorwaarden, artikel 2.8). Voor partners geldt hetzelfde, vóórdat zij reageren op een aanvraag.

Bij een nieuwe aanmelding krijgt ons team een melding via n8n (Duitsland) in Slack (Salesforce, VS, op basis van standaardcontractbepalingen). Die bevat het tijdstip, de aanmeldmethode en een link naar ons beheerscherm, geen naam of e-mailadres. Grondslag: gerechtvaardigd belang (beveiliging en dienstverlening). Bewaartermijn: 90 dagen.

Onze subverwerkers staan op de pagina "Datalocatie en toegang door overheden" (/datalocatie). Dit zijn ze:

• Supabase (database en inloggen, Frankfurt): Supabase Pte. Ltd. (Singapore), onderdeel van het Amerikaanse Supabase-concern. Voor Supabase hebben wij een eigen doorgiftetoets opgesteld; zie de pagina Datalocatie. Supabase staat niet op de DPF-lijst; de doorgifte rust op de SCC's.

• Exact (boekhouding en facturatie van Norwin AI; entiteit en hostinglocatie vullen wij in vóór de eerste factuur): wij gebruiken Exact als onze verwerker voor onze eigen administratie. Daar staan de gegevens die op een factuur staan: bedrijfsnaam, factuuradres, btw-id, e-mailadres voor facturen en de naam van een contactpersoon. Wij sluiten met Exact een verwerkersovereenkomst vóór de eerste factuur.

• n8n en Slack (een melding aan ons team bij een nieuwe aanmelding): wij gebruiken n8n (Duitsland) en Slack (Salesforce, VS) als onze verwerkers voor ons eigen doel, niet voor gegevens in je workspace. De melding bevat geen naam en geen e-mailadres; zie "Melding bij een nieuwe aanmelding".

• Vercel (hosting): de applicatiefuncties draaien in Frankfurt; gegevens slaan wij op bij Supabase in Frankfurt. Verkeer loopt via het wereldwijde netwerk van Vercel, en Vercel kan verwerking uitvoeren in de VS en elders. Vercel verwerkt gebruiksdata zoals IP-adressen in logs deels als zelfstandig verantwoordelijke, onder zijn eigen privacyverklaring.

• GitHub (GitHub, Inc., VS), voor twee doelen. (1) Bij een inzage- of verwijderverzoek over chatinhoud, of bij een incident: wij voeren de procedure daar uit. De uitvoer is versleuteld en verloopt na één dag. In de metadata staan het workspace-ID, het ID van de betrokkene, het dossiernummer, de reden, het staff-ID van onze medewerker en zijn GitHub-login, geen chatinhoud. De databaseverbinding staat als geheim bij GitHub; de runner in de VS verbindt met de database in Frankfurt en er komt alleen versleutelde uitvoer terug. Run-metadata en logs blijven standaard 90 dagen bij GitHub. (2) Monitoring zonder persoonsgegevens: de opruimwachtrij en de uptimecheck van de publieke /api/health (antwoord zonder persoonsgegevens: een statuscode en een vaste statuswaarde, ok, degraded of rate_limited). Bij de opruimwachtrij zien wij alleen een URL, een statuscode en drie getallen. De workflows waarmee wij vroeger via GitHub functies uitrolden en de Vercel-configuratie beheerden, zijn met hun Supabase- en Vercel-token uit GitHub verwijderd; de tokens zijn ingetrokken en ook het databasewachtwoord is uit GitHub verwijderd en vervangen. Dit werk doen wij zelf, buiten GitHub. Bij GitHub staat geen geheim met toegang tot je gegevens of tot onze hosting, behalve de databaseverbinding met minimale rechten voor doel (1), waarmee alleen versleutelde uitvoer terugkomt. Productiemigraties lopen via de koppeling tussen Supabase en GitHub in Frankfurt; er komen geen persoonsgegevens naar GitHub. Zie de verwerkersovereenkomst, bijlage 3.

• Brevo/Sendinblue SAS (alle transactionele e-mail van het platform: inlog-, bevestigings-, uitnodigings- en documentmails): opslag in de EU. Wij hebben klik- en opentracking voor al deze e-mails uitgezet voor zover Brevo dat toelaat, ook voor de inlog- en bevestigingsmail. Brevo's eigen subverwerkers kunnen van buiten de EER toegang hebben, onder DPF of SCC's. Zie de verwerkersovereenkomst, bijlage 3.

• Amazon Web Services EMEA SARL (Amazon Bedrock, met een Claude-model van Anthropic; nooit de AI-dienst van Anthropic zelf): voor chat met AI, als je bedrijf die inschakelt en de AI van Norwin AI gebruikt, en voor "Maak je AI-kansenkaart". Wij sturen elk verzoek naar de regio Frankfurt. AWS kan het binnen zijn Europese netwerk laten uitvoeren in Frankfurt, Stockholm, Milaan, Spanje, Ierland of Parijs, nooit buiten de EU. AWS bewaart je invoer en de antwoorden niet, en wij hebben het vastleggen van aanroepen bij AWS uitgezet. De enige uitzondering is een wettelijke meldplicht van AWS bij materiaal van seksueel misbruik van kinderen. AWS hoort bij een Amerikaans concern. Zie de verwerkersovereenkomst, bijlage 3 en 4.

• ALTCHA (zelf gehoste captcha): geen externe partij, geen gegevensdeling.

• Een AI-aanbieder die je bedrijf zelf koos (eigen AI-koppeling): onze subverwerker is hij niet. Wij sturen alleen naar een Europees eindpunt.

Bij "Maak je AI-kansenkaart" zien ook twee partijen iets die geen verwerker van ons zijn. De website die wij lezen, ziet het IP-adres van onze server en de naam van onze crawler, niet jouw IP-adres. KVK ontvangt het KvK-nummer, of de bedrijfsnaam (eventueel met plaats) waarmee wij het bedrijf van de ingevulde website opzoeken; die naam gebruiken wij alleen om het bedrijf bij die website te vinden. Onze medewerkers lezen concepten voor de kwaliteitscontrole.

Je kunt je aanmelden en inloggen met een Microsoft-werk- of schoolaccount (Entra ID; een persoonlijk Microsoft-account, zoals een outlook.com-adres, werkt daarvoor niet) of met een Google-account (van Google Workspace of een persoonlijk Google-account). Microsoft en Google zijn dan geen subverwerker van ons: Microsoft en Google zijn zelf verantwoordelijk voor hoe zij jouw account en je inlog bij hen verwerken, onder hun eigen privacyverklaring, of zij verwerken die gegevens namens de organisatie die je account beheert, bijvoorbeeld je werkgever. Zij verwerken onder meer dat jij inlogt bij ons platform, op plekken die wij niet bepalen, ook buiten de EER; wij kunnen niet beloven dat zij alleen in de EU verwerken. Wij vragen alleen de gegevens openid, e-mail en profiel (naam). Wij vragen geen toegang tot je mail, agenda, bestanden of contacten, geven de provider geen gegevens van jou of uit je workspace mee en bewaren geen toegangstoken van de provider. Je profielfoto bij de provider nemen wij niet over: die halen wij weg voordat de inloggegevens worden opgeslagen. Wij slaan alleen op: de naam van de provider, je vaste account-ID bij de provider, je e-mailadres, je naam en, bij Microsoft, het ID van je organisatie (de tenant). Andere gegevens die de provider meestuurt, bewaren wij niet. Die gegevens slaan wij op bij Supabase in Frankfurt, net zo lang als je account. Ook na inloggen via Microsoft of Google krijg je eerst een bevestigingsmail van ons; pas als je die bevestigt, kun je lid worden van een workspace. Wie lid is van een workspace, beheert de admin van die workspace; de inlogroute verandert daar niets aan. Gebruik je een account van je werkgever, dan kan je werkgever als beheerder van dat account, afhankelijk van zijn instellingen, zien dat je bij ons inlogt. Wil je niet inloggen via Microsoft of Google? Gebruik dan de e-maillink.

Wij slaan je gegevens op in de EU. Dat geldt voor wat wij zelf opslaan; voor wat Microsoft en Google als identiteitsprovider zelf verwerken, zie hierboven. Verwerking en toegang van buiten de EER vinden plaats voor ondersteunende functies, onder de waarborgen in de verwerkersovereenkomst, bijlage 3. Supabase, Vercel, GitHub en AWS zijn Amerikaans of horen bij een Amerikaans concern. Amerikaanse en, voor Supabase, ook Singaporese wetgeving kan zo'n partij verplichten om gegevens te verstrekken. Daarvoor gelden standaardcontractbepalingen (SCC's) en, waar van toepassing, het EU-VS Data Privacy Framework (DPF), met aanvullende maatregelen. Vervalt het DPF, dan gelden de SCC's. Zie de verwerkersovereenkomst, bijlage 3. Wil je een kopie van deze waarborgen? Mail ons via info@norwin.ai. Wij verkopen geen gegevens.

Wij trainen geen generatieve AI-modellen met jouw gegevens en onze leveranciers, waaronder AWS, doen dat ook niet. Dat geldt niet voor een AI-aanbieder die je bedrijf zelf koos. Een uitzondering zijn de beveiligings- en spamfilters van onze e-maildienst. Die gebruiken alleen gebruiksdata van het verzenden en geen workspace-inhoud (zie de verwerkersovereenkomst, bijlage 3).

Wij gebruiken alleen cookies en vergelijkbare opslag die nodig zijn om in te loggen, om de dienst die je vraagt te laten werken en het platform veilig te houden, of die je zelf instelt. Daarvoor is geen toestemming nodig (art. 11.7a lid 3 Telecommunicatiewet). Het platform zelf plaatst geen analyse-, tracking- of advertentiecookies en laadt geen scripts van derden die cookies zetten. De zelf gehoste captcha (ALTCHA) slaat niets in je browser op, en "Maak je AI-kansenkaart" ook niet. Dit zijn de cookies en opslag die wij wel gebruiken:

Of je het zijpaneel hebt ingeklapt, onthouden wij in je account (bij je accountgegevens), niet in een cookie.

Kies je geen taal, dan volgt het platform de taalinstelling van je browser (Accept-Language). Die slaan wij niet op.

Voor de e-mails van het platform (inloglinks, bevestigingen, uitnodigingen en documenten) hebben wij klik- en opentracking uitgezet voor zover Brevo dat toelaat, en wij gebruiken geen gegevens over het openen of aanklikken ervan (art. 11.7a Telecommunicatiewet). Sturen wij later een nieuwsbrief met tracking, dan alleen met jouw toestemming.

Wij nemen geen besluiten met rechtsgevolgen die uitsluitend geautomatiseerd tot stand komen (art. 22 AVG).

Moet je gegevens verstrekken? Er is geen wettelijke plicht. Een e-mailadres is wel nodig voor een account: zonder kun je het platform niet gebruiken. Het formulier "Laat je gegevens achter" is vrijwillig. Een organisatie buiten de EU kan het platform niet gebruiken; het formulier meldt alleen dat je interesse hebt en geeft geen toegang. Land, KvK-nummer en btw-id vragen wij niet bij het aanmelden; ze zijn nodig voor handelingen op de marktplaats met gevolgen voor anderen en voor een betaald abonnement. Wat je verder invult, zoals een profielfoto, is niet verplicht. Voor "Maak je AI-kansenkaart" heb je geen account nodig en vragen wij geen e-mailadres. Voor een partner zijn de gegevens voor de fiscale identificatie verplicht.

Verwerken wij je gegevens op grond van gerechtvaardigd belang (grondslag f in de tabel), dan kun je daartegen altijd bezwaar maken, om redenen die met jouw situatie te maken hebben (art. 21 AVG). Wij stoppen dan met die verwerking, tenzij wij dwingende gerechtvaardigde gronden hebben die zwaarder wegen dan jouw belangen, of de verwerking nodig is voor een rechtsvordering. Mail je bezwaar naar info@norwin.ai.

• Inzage, rectificatie, verwijdering, beperking, bezwaar en overdraagbaarheid (art. 15–21 AVG).

• Gaat je verzoek over gegevens die het bedrijf waarvoor je werkt in zijn workspace heeft vastgelegd, waaronder chatinhoud, gesprekken met de AI-assistent en je persoonlijke instructies voor de AI, dan behandelen wij dat namens dat bedrijf. Voor chatinhoud gebeurt dat via een gelogde procedure bij GitHub (zie Ontvangers), omdat wij die inhoud niet uit onszelf inzien (zie hierboven, "Waar wij verwerker zijn"). Profielfoto's en bedrijfslogo's vallen ook onder je verzoek.

• Na het einde van de overeenkomst met je bedrijf vervangen wij je gebruikers-ID in de wijzigingshistorie door een willekeurig ID per workspace. Er is dan geen koppeling meer met je inlogaccount. De inhoud van de wijzigingen legen wij 30 dagen na het einde. De gebeurtenis zelf blijft maximaal 5 jaar bewaard, behalve gebeurtenissen over bedrijfsgegevens: die verwijderen wij uiterlijk 30 dagen na het einde.

• Gaat je verzoek over een concept van "Maak je AI-kansenkaart" over jou of je bedrijf, mail dan info@norwin.ai. Wij handelen een verzoek om correctie of verwijdering af binnen 5 werkdagen.

• Je kunt een klacht indienen bij de Autoriteit Persoonsgegevens (autoriteitpersoonsgegevens.nl).

Versie 2.0, 21 oktober 2026: "Maak je AI-kansenkaart" toegevoegd, waarmee je zonder account een AI-concept van een kansenkaart laat maken, met de bronnen, de doelen, de grondslagen, de belangenafweging, de mededeling aan bedrijven over wie een concept gaat, de bewaartermijnen en de ontvangers; de generator toegevoegd aan de openbare routes met een limiet; bij AWS de EU-regio's en het niet bewaren van invoer en antwoorden beschreven, en AWS ook genoemd voor de kansenkaart-generator. Versie 1.9, 12 oktober 2026: de melding aan ons team bij een nieuwe aanmelding via n8n en Slack toegevoegd, met n8n en Slack als ontvangers; de bewaartermijn van DAC7-gegevens verduidelijkt (zolang de wet dat vereist, niet langer dan 10 jaar na het rapportagejaar). Versie 1.8, 10 oktober 2026: Exact toegevoegd als onze verwerker voor facturatie; partners, DAC7-gegevens, meldingen over illegale inhoud en de bibliotheek met makers toegevoegd; de platformfee en kortingen bij facturatie; de aanvraag "Vraag het platform om mee te denken"; de doorgiftetoets voor Supabase verwezen; het cookie social_link als tijdelijk cookie omschreven. Versie 1.7, 10 oktober 2026: het cookie voor je taalkeuze is als functioneel beschreven; de bewaartermijnen van bedrijfsgegevens verduidelijkt (7 jaar alleen voor facturatiegegevens en het bewijs voor de btw-behandeling, de overige bedrijfsgegevens en hun wijzigingshistorie tot 30 dagen na het einde van de overeenkomst); de uptimecheck gelijkgetrokken met de verwerkersovereenkomst; twee dubbele alinea's over bedrijfsgegevens samengevoegd. Versie 1.6, 10 oktober 2026: het cookie social_link wordt ook gebruikt bij inloggen met Microsoft of Google. Versie 1.5, 10 oktober 2026: cookie voor je taalkeuze toegevoegd. Versie 1.4, 10 oktober 2026: de bedrijfsgegevens van je organisatie (land, KvK-nummer, btw-id) en facturatie toegevoegd; het KvK-nummer wordt niet meer bij het aanmelden gevraagd; het formulier "Laat je gegevens achter" toegevoegd; het onboardingveld "Anders" beschreven; de cookies per stuk beschreven; AI-context (organisatieprofiel, persoonlijke instructies, kansen en projecten, voorstellen) en eigen AI-koppelingen toegevoegd; de uptimecheck bij GitHub toegevoegd. Versie 1.3, 5 oktober 2026: optionele chat met AI en Amazon Web Services (Amazon Bedrock) als ontvanger toegevoegd. Versie 1.2, 3 oktober 2026: inloggen met een Google-account als identiteitsprovider toegevoegd. Versie 1.1, 3 oktober 2026: inloggen met een Microsoft-werk- of schoolaccount als identiteitsprovider toegevoegd. Versie 1.0, 2 oktober 2026. Eerdere versies zijn op te vragen.

• 2.0 · huidig30 sep 2026Toegevoegd: "Maak je AI-kansenkaart", waarmee je zonder account een AI-concept van een kansenkaart laat maken, met de bronnen, het doel, de grondslagen, de bewaartermijnen en de ontvangers, en de mededeling aan bedrijven over wie een concept gaat. Bij AWS staan de EU-regio's en dat wij invoer en antwoorden niet bewaren. Wij gebruiken een concept niet om je commercieel te benaderen.
• Versie 1.930 sep 2026Toegevoegd: bij een nieuwe aanmelding krijgt ons team een melding via n8n en Slack, zonder naam of e-mailadres (bewaartermijn 90 dagen). Verduidelijkt: DAC7-gegevens van partners bewaren wij zolang de wet dat vereist en niet langer dan 10 jaar na het rapportagejaar.
• Versie 1.830 sep 2026Toegevoegd: partners, gegevens voor de DAC7-rapportage, meldingen over illegale inhoud, de bibliotheek met makers, de platformfee en kortingen, Exact als onze verwerker voor facturatie, de aanvraag "Vraag het platform om mee te denken" en een verwijzing naar de doorgiftetoets voor Supabase.
• Versie 1.730 sep 2026Het cookie voor je taalkeuze is beschreven als functioneel (alleen na jouw keuze, 12 maanden, niet verlengd). Duidelijker bewaartermijnen voor bedrijfsgegevens: 7 jaar alleen voor facturatie en het bewijs voor de btw, de rest tot 30 dagen na het einde van de overeenkomst. De uptimecheck is gelijkgetrokken met de verwerkersovereenkomst.
• Versie 1.630 sep 2026Het cookie social_link wordt ook gebruikt als je inlogt met Microsoft of Google, niet alleen als je een account koppelt (10 minuten, geen persoonsgegevens).
• Versie 1.530 sep 2026Toegevoegd: het cookie norwin_locale voor je taalkeuze (alleen na een eigen keuze, 12 maanden) en de opmerking dat wij de taalinstelling van je browser niet opslaan.
• Versie 1.430 sep 2026Toegevoegd: bedrijfsgegevens en facturatie, het formulier "Laat je gegevens achter", het veld "Anders" bij onboarding, een overzicht van de cookies, AI-context en eigen AI-koppelingen, en de uptimecheck. Het KvK-nummer wordt niet meer bij het aanmelden gevraagd. Lees de wijzigingen via de link bij deze melding.
• Versie 1.330 sep 2026Optionele chat met AI en Amazon Web Services (Amazon Bedrock) als nieuwe ontvanger, alleen als je bedrijf chat met AI inschakelt. Een gesprek is persoonlijk en blijft bewaard zolang de workspace bestaat; je kunt het zelf verwijderen. Lees de wijzigingen via de link bij deze melding.
• Versie 1.230 sep 2026Extra, optionele inlogroute: inloggen met een Google-account. Voor wie zo inlogt slaan wij de naam van de provider en het vaste account-ID op; andere gegevens van de provider bewaren wij niet. Er gaan geen gegevens uit jullie Workspace naar Google. Lees de wijzigingen via de link bij deze melding. Past dit niet bij jullie, mail info@norwin.ai; je kunt de overeenkomst dan kosteloos opzeggen.
• Versie 1.130 sep 2026Extra, optionele inlogroute: inloggen met een Microsoft-werk- of schoolaccount. Voor wie zo inlogt slaan wij de naam van de provider, het vaste account-ID en het ID van de organisatie (tenant) op; andere gegevens van de provider bewaren wij niet. Er gaan geen gegevens uit jullie Workspace naar de provider.
• Versie 1.030 sep 2026Eerste definitieve versie: bewaring van IP-adressen per route, e-mailtracking, GitHub.