Beveiliging en techniek

Het Assessment werkt met het gesprek, de documenten die u zelf meestuurt en, bij de Nulmeting en Compleet, korte vragenlijsten die uw medewerkers op telefoon of computer invullen. Er is geen koppeling met uw ERP-systeem (uw software voor orders, voorraad en financiën), uw e-mail of andere systemen, en wij vragen geen inloggegevens. Van een document dat u meestuurt, bewaren wij alleen de tekst, niet het bestand.

Het platform en de database draaien bij Hetzner in Duitsland, in een datacenter met een ISO 27001-certificaat. De database en de back-ups staan versleuteld opgeslagen, de database op een aparte schijf met AES-256 (de gangbare standaard voor sterke versleuteling). Al het verkeer van en naar het platform is versleuteld met TLS (Transport Layer Security).

Elke nacht maken wij een versleutelde back-up van de database; de laatste 14 bewaren wij op de server. Een kopie daarvan gaat mee in de dagelijkse back-up die Hetzner van de server maakt en 7 dagen bewaart. Die kopie is alleen te openen met een sleutel die niet op de server staat. Het terugzetten van een back-up hebben wij in oktober 2026 met succes getest.

De AI is een Claude-model van Anthropic dat wij gebruiken via Amazon Bedrock, de AI-dienst van Amazon Web Services (AWS), uitsluitend in datacenters binnen de EU. Volgens de voorwaarden van AWS gebruikt Bedrock uw gegevens niet om modellen te trainen, deelt het ze niet met Anthropic en slaat het in- en uitvoer niet op; het vastleggen van onze aanroepen bij AWS staat uit. Met AWS hebben wij een verwerkersovereenkomst. Het platform dwingt de EU-route technisch af: een AI-aanroep buiten de EU wordt geweigerd.

Onze privacyfilter vervangt automatisch uw bedrijfsnaam, uw websiteadres, de gegevens van uw contactpersoon en de namen van medewerkers die bij een vragenlijst voor hun afdeling zijn vastgelegd. Andere namen vervangt de filter niet. Wilt u die niet delen, haal ze dan gerust uit een document voordat u het meestuurt.

Wij leggen elke AI-stap met uw gegevens vast: hoe vaak, via welke route en hoeveel er vooraf is vervangen. Een overzicht daarvan vindt u als bijlage bij uw rapport.

De AI schrijft de analyse en levert aannames, zoals de uren handmatig werk. De kerncijfers (besparing, investering, terugverdientijd en rendement) rekent onze software uit met vaste rekenregels, met bij elk cijfer de herkomst. Automatische controles kijken of de bedragen in de tekst kloppen met die som. Niets gaat automatisch naar u: de consultant beoordeelt het rapport en verstuurt het zelf.

• Alleen de consultant van uw traject en de beheerders van Forgewise. Een consultant ziet alleen de trajecten en bedrijven waar die zelf bij betrokken is.
• Tweefactorauthenticatie (2FA) is voor elke gebruiker van het platform verplicht.
• Een sessie verloopt na 8 uur. Een account dat wij uitschakelen, is binnen een minuut overal uitgelogd.
• Wachtwoorden bewaren wij alleen als hash (bcrypt), sleutels voor externe diensten versleuteld (AES-256-GCM).
• Wie wat doet in het platform, leggen wij vast in een audit-log.

U ontvangt het rapport ook als deellink voor uw managementteam. Zo'n link heeft een vervaldatum en een pincode, en is op elk moment in te trekken. Wij zien hoe vaak een link is geopend.

Wat medewerkers in de vragenlijsten invullen, tonen wij in de rapportage zonder naam. Letterlijke citaten en het AI-gebruik van medewerkers tonen wij alleen per afdeling vanaf drie invullers. Forgewise geeft de directie geen namen door, ook niet wie de vragenlijst wel of niet heeft ingevuld.

• Antwoorden van medewerkers: 12 maanden na afronding van het traject, daarna verwijderd.
• Audit-log: 12 maanden, daarna gepseudonimiseerd.
• Toegangslogs van de webserver: 30 dagen.
• De inhoud van een traject: tot 12 maanden na de laatste meting. Staat er een hermeting gepland, dan tot 12 maanden na die hermeting.

Alle termijnen staan in de privacyverklaring.

• Hetzner Online GmbH: hosting van het platform en de database (Duitsland).
• Amazon Web Services (AWS): de AI via Amazon Bedrock (alleen regio's binnen de EU).
• Scaleway SAS: e-mail vanuit het platform (Frankrijk).

Met alle drie hebben wij een verwerkersovereenkomst.

Een meldplichtig datalek melden wij binnen 72 uur aan de Autoriteit Persoonsgegevens. Verwerken wij gegevens namens uw organisatie, dan melden wij het binnen 24 uur aan u.

Een kwetsbaarheid gevonden? Meld die via het adres in onze security.txt. Vragen over uw gegevens: privacy@forgewise.ai.