Compliance center

In het juridische onderdeel vind je alles waar teams voor inkoop, security en compliance om vragen. Je vindt er onze algemene voorwaarden, ons privacybeleid, de verwerkersovereenkomst, onze lijst met subverwerkers, het beveiligingsoverzicht, onze gedragscode en aanvullende toelichting op EU-residentie, cookies en audittrails. Wat een klant of auditor nodig heeft om UNLESS op papier te beoordelen, hoort hier te staan.

Alle persoonsgegevens op het Unless-platform staan binnen de Europese Unie. Onze kerninfrastructuur draait op AWS in Ierland, met aanvullende cloud workloads in EU-regio's van Microsoft Azure en Google Cloud. Alleen onze financiële administratie gebruikt tools die deels buiten de EU gehost kunnen zijn, en daar staan geen persoonsgegevens van eindgebruikers in.

Persoonsgegevens van eindgebruikers die het Unless-platform verwerkt, blijven by design binnen de EU/EER, en daarvoor gebruiken we geen doorgiftemechanismen. Een klein aantal tools voor facturatie en klantadministratie draait in de Verenigde Staten en verwerkt alleen accountgegevens van klanten; die staan met hun regio op onze pagina met subverwerkers, en doorgifte daarnaartoe valt onder de standaardcontractbepalingen, zoals beschreven in onze verwerkersovereenkomst.

De volledige lijst met subverwerkers staat op onze pagina met subverwerkers, die integraal onderdeel is van onze verwerkersovereenkomst. De subverwerkers van het platform zijn EU-entiteiten, die de data allemaal binnen de EU verwerken. Een paar zakelijke tools voor onze eigen administratie staan buiten de EU, maar die komen nooit in contact met persoonsgegevens van eindgebruikers uit het platform.

Unless heeft als rechtspersoon geen eigen ISO 27001-certificaat. Onze cloudinfrastructuur is gecertificeerd via onze leveranciers: AWS is gecertificeerd voor ISO/IEC 27001, 27017 en 27018, en onze authenticatiediensten en ondersteunende diensten draaien bij leveranciers met dezelfde certificering. We hanteren een managementsysteem voor informatiebeveiliging naar het model van ISO 27001 en 27002:2022, en we werken toe naar ISO 42001 voor AI-managementsystemen.

Unless is gebouwd voor de AVG, DORA en de EU AI Act, met een ISMS naar het model van ISO 27001 en 27002:2022. We volgen ISO/IEC TR 24028 over betrouwbaarheid van AI en bereiden ons voor op ISO/IEC 42001-certificering. Klanten in gereguleerde sectoren kunnen Unless gebruiken binnen hun eigen toezichtregimes, waaronder instellingen onder toezicht van AFM en DNB.

Unless is de aanbieder van het AI-systeem. Wij bouwen, configureren en beheren het platform, inclusief de RAG-laag, de Privacy Vault, het agentische raamwerk en de koppelingen met foundation-modellen. De foundation-modellen zelf komen van aanbieders verderop in de keten, zoals AWS Bedrock en Azure OpenAI, gehost in EU-regio's. Klanten treden binnen hun eigen context op als gebruiksverantwoordelijke.

Nee. We trainen geen modellen op content van klanten, interacties met eindgebruikers of welke andere klantdata dan ook. Living Knowledge verbetert via goedgekeurde content en feedback van teams, nooit door ruwe interacties als trainingsdata te gebruiken.

Persoonsgegevens worden gefilterd bij het inlezen en tijdens gebruik: identificatoren worden verwijderd of gemaskeerd voordat ze bij een generatief model van derden terechtkomen. Is persoonlijke context nodig, dan zet onze Privacy Vault die om in tokens en krijgt het model alleen die tokens te zien, nooit de identificatoren zelf. De-tokenization gebeurt in een omgeving die we zelf beheren, zodat het model dat het antwoord formuleert nooit een herleidbare identificator ontvangt.

Nee. Unless heeft de afgelopen drie jaar geen noemenswaardig datalek gehad, en geen enkel beveiligingsincident heeft geleid tot wezenlijke blootstelling van klantdata. Ook hebben we van overheden buiten de EU geen verzoeken om toegang tot data ontvangen. Krijgen we ooit een rechtmatig verzoek, dan is ons beleid om niet meer te verstrekken dan strikt vereist en de betrokken klant te informeren waar de wet dat toestaat.

Ja. Unless heeft een aansprakelijkheidsverzekering die de aansprakelijkheid uit onze klantcontracten dekt, met verzekerde bedragen die in verhouding staan tot de contractuele aansprakelijkheidslimieten in onze overeenkomsten.

Nee. Unless is niet gevestigd in een land waartegen sancties gelden, en is zelf geen gesanctioneerde entiteit. Onze toeleveringsketen, inclusief onderaannemers en partners, wordt daar ook op getoetst.

Ja. Onze gedragscode gaat over naleving van wet- en regelgeving, non-discriminatie, eerlijke beloning, welzijn van medewerkers, ethisch inkopen, verantwoordelijkheid voor het milieu en de normen die we van onze leveranciers verwachten. De gedragscode staat gepubliceerd in het juridische onderdeel.

Onze reductiedoelen voor uitstoot sluiten aan op het 1,5°C-pad en zijn vastgelegd bij het Science Based Targets initiative. Het grootste deel van onze voetafdruk zit in ons cloudgebruik, dus we beperken het aantal modelaanroepen en draaien in EU-regio's waar aanbieders openbaar rapporteren over CO2. Als klein bedrijf zijn we nog niet verplicht om onder de EU CSRD een apart duurzaamheidsverslag te publiceren.

Onze standaardbewaartermijn voor beveiligingsrelevante logs is één jaar, tenzij in het klantcontract een kortere termijn is afgesproken. Logs zijn beveiligd tegen manipulatie, worden doorlopend gemonitord en blijven doorzoekbaar voor onderzoek of audits.

Onze CEO is het aangewezen aanspreekpunt voor zaken rond persoonsgegevens, en onze CTO is verantwoordelijk voor de technische werking en beveiliging van het platform. Het senior management houdt toezicht op het ISMS en op de AI-governance.

Klanten handelen via ons dashboard de verzoeken van hun eindgebruikers af: inzage, rectificatie, verwijdering en overdraagbaarheid. De verwerkingsverantwoordelijke start het verzoek en ons team verifieert het, altijd met een mens die meekijkt. Is een persoonsgegeven via de Privacy Vault omgezet in een token, dan vervalt dat token automatisch zodra de onderliggende waarde verandert of wordt verwijderd. Oude verwijzingen zijn daarmee niet meer te misbruiken.