Beveiliging, privacy en compliance

01Compliance als vast onderdeel van Orbecta

Inkoopdata vertelt veel over een bedrijf: leveranciers, prijzen, contractvoorwaarden en waar het onder druk staat. Wie zulke informatie aan een platform toevertrouwt, wil weten waar die blijft en wie erbij kan. Daarom is compliance bij Orbecta geen bijlage, maar onderdeel van het product. We hebben Orbecta zo gebouwd dat toegang de uitzondering is, niet de regel.

Uw gegevens volgens de AVG

Voor elke klant geldt onze verwerkersovereenkomst, en onze subverwerkers staan op een vaste lijst. Logs en chatgeschiedenis worden automatisch opgeschoond volgens vaste bewaartermijnen. Verwijdert u uw account, dan gaan uw gegevens en bijlagen mee. Meer over hoe we persoonsgegevens verwerken leest u in onze privacyverklaring.

AI met verantwoordelijkheid

Orbecta gebruikt AI om claims, contracten en leveranciersgesprekken te analyseren. We volgen de EU AI Act en leggen vast hoe we AI inzetten: zie AI-transparantie.

02Beveiliging

• Afgeschermd per gebruiker. Elke claim, elk contract en elke Warroom-sessie is in de database afgeschermd: alleen u ziet uw eigen gegevens. Werkt u in een team, dan bepaalt uw beheerder per onderdeel wat collega's zien. Wijzigen en verwijderen kan alleen degene die iets heeft aangemaakt. AI-chatgesprekken blijven altijd persoonlijk.
• Versleuteld. Database en bestanden staan versleuteld opgeslagen (AES-256); al het verkeer loopt via versleutelde verbindingen (TLS/HTTPS).
• Afgeschermde bestandsopslag. Bijlagen staan in privé-opslag, per gebruiker gescheiden, en zijn alleen te openen via tijdelijke links.
• Tweestapsverificatie. Verplicht voor beheerders van Orbecta; u kunt het voor uw eigen account aanzetten in uw profiel.
• Gecontroleerde AI-aanvragen. Elke AI-functie controleert of u bent ingelogd en of het record van u is. Documenten worden behandeld als gegevens, nooit als instructie aan de AI.
• Limieten die niet te omzeilen zijn. Pakketten en maandlimieten worden in de database bewaakt; gebruikers kunnen hun eigen pakket of limiet niet aanpassen.
• Webbeveiliging. HTTPS afgedwongen met HSTS, een Content Security Policy en bescherming tegen het invoegen van kwaadaardige code (XSS).

Inloggen via het bedrijfsaccount van uw organisatie (SSO, bijvoorbeeld Microsoft of Google) is op aanvraag mogelijk.

03AI-transparantie

Orbecta gebruikt Claude van Anthropic voor de analyses. De AI ondersteunt uw werk; de beslissing blijft altijd bij u.

Wat de AI doet

• Claim Check beoordeelt elke soort claim tussen u en een leverancier, zoals prijsverhogingen, toeslagen en kwaliteitsclaims (NCR), met marktdata en eerdere claims als onderbouwing, en geeft een onderbouwd advies.
• Supplier Warroom stelt een briefing, agenda en vragen op voor een leveranciersgesprek.
• Contract Intelligence analyseert contracten op risico's, verplichtingen en deadlines.
• Orbecta AI-chat beantwoordt vragen over markten, leveranciers en uw eigen gegevens.

Wat de AI niet doet

• Zelf beslissingen nemen, contact opnemen met leveranciers of iets namens u versturen.
• Uw gegevens gebruiken om modellen te trainen: Anthropic doet dat standaard niet voor zakelijke klanten (bron).
• Gegevens van andere klanten meenemen. Per aanvraag gaat alleen de inhoud van die ene claim, sessie of dat contract mee. Een anonieme benchmark met andere klanten staat standaard uit en kan alleen per gebruiker worden aangezet.

Toezicht en controle

• Elke AI-analyse wordt vastgelegd in een auditlog: wanneer, welke functie, welk model en hoeveel tokens. Er worden geen prompts of AI-teksten in dat logboek bewaard.
• U ziet uw eigen AI-activiteit in uw profiel en kunt die als CSV downloaden.
• Scores en uitkomsten worden in de code gecontroleerd, zodat een afwijkend AI-antwoord niet ongemerkt doorkomt.

Orbecta gebruikt standaard de Claude API van Anthropic zelf, omdat nieuwe Claude-modellen daar het eerst beschikbaar zijn en de functies waar de analyses op leunen er direct en volledig werken. De verwerking vindt dan plaats in de VS. Wat dit betekent voor uw gegevens:

• Kort bewaard. Anthropic verwijdert invoer en uitvoer automatisch binnen 30 dagen (bron).
• Juridisch geregeld. De doorgifte naar de VS valt onder de standaardcontractbepalingen van de EU.
• Gecertificeerd. Anthropic heeft ISO 27001:2022, ISO/IEC 42001:2023 (AI-management) en SOC 2 Type II (bron); de rapporten zijn op te vragen via de Trust Portal van Anthropic.

AI-verwerking binnen de EU (Claude via AWS Bedrock of Google Cloud in een EU-regio) is op aanvraag mogelijk.

04Subverwerkers

Orbecta schakelt de volgende partijen in. Komt er een nieuwe subverwerker bij, dan melden we dat vooraf aan onze zakelijke klanten, met de mogelijkheid om bezwaar te maken.

Doorgifte buiten de EU gebeurt op basis van de standaardcontractbepalingen van de EU of het EU-VS Data Privacy Framework.

05Bewaartermijnen

Klantdata blijft staan zolang u die bewaart. Logs en chats worden elke nacht automatisch opgeschoond.

Wordt een account verwijderd, dan gaan alle persoonlijke gegevens mee: contracten, claims, Warroom-sessies, bijlagen, AI-chats, verbruik en teamlidmaatschap. Alleen het AI-auditlog en het e-maillog blijven tot hun bewaartermijn verloopt. Een export van uw eigen gegevens krijgt u op verzoek.

06Verwerkersovereenkomst

Voor elke klant geldt onze verwerkersovereenkomst volgens de AVG. U blijft eigenaar van uw gegevens; Orbecta verwerkt ze alleen in uw opdracht. Daarin leggen we vast:

• Doel. We gebruiken uw gegevens alleen om de modules te leveren die u afneemt: analyse, monitoring en rapportage.
• Welke gegevens. Contactgegevens van gebruikers, contract-, claim- en leveranciersgegevens, bijlagen en AI-resultaten.
• Geen training. Uw gegevens worden niet gebruikt om AI-modellen te trainen, niet door Orbecta en niet door onze AI-leverancier.
• Subverwerkers. De lijst hierboven; nieuwe subverwerkers melden we vooraf, met recht van bezwaar.
• Doorgifte buiten de EU. Op basis van de standaardcontractbepalingen van de EU.
• Beveiliging. De maatregelen op deze pagina.
• Datalekken. We informeren u binnen 48 uur.
• Bewaren en verwijderen. Volgens de bewaartermijnen hierboven; export van uw eigen gegevens op verzoek.
• Controle. U mag onze beveiliging laten toetsen; wij leveren het Security en Privacy Pack en de rapporten van onze gecertificeerde leveranciers.

De volledige tekst staat op de pagina verwerkersovereenkomst. Die is onderdeel van onze voorwaarden en geldt automatisch zodra u een account aanmaakt. Wilt u een ondertekend exemplaar, of werkt uw organisatie met een eigen model, mail ons dan.

07Incidenten en datalekken

Gaat er iets mis, dan hoort u het van ons, snel en volledig. Bij een (vermoedelijk) beveiligingsincident handelen we zo:

1. Vaststellen. Wat is er gebeurd, welke gegevens en welke klanten zijn geraakt, en sinds wanneer?
2. Indammen. We dichten het lek: sleutels vervangen, toegang intrekken en waar nodig een functie of pagina offline halen.
3. U informeren, binnen 48 uur. Wat er is gebeurd, welke gegevens betrokken zijn, welke maatregelen we hebben genomen en wie uw contactpersoon is. Zo kunt u als verwerkingsverantwoordelijke binnen de wettelijke termijn melden waar dat nodig is.
4. Herstellen. We lossen de oorzaak op, controleren dat het lek echt dicht is en zetten waar nodig gegevens terug uit een back-up.
5. Vastleggen. Elk incident komt in ons incidentregister, ook als er geen melding nodig was.
6. Evalueren. Binnen twee weken bepalen we wat herhaling voorkomt.

Een beveiligingsprobleem melden

Ziet u iets wat niet klopt, of heeft u een kwetsbaarheid gevonden? Mail ons met een korte omschrijving. We reageren zo snel mogelijk en houden u op de hoogte van de afhandeling.

08Documenten en contact

Ons Security en Privacy Pack geeft uw IT-, security- en privacyteam alle details: architectuur, subverwerkers, AI-gebruik, beveiligingsmaatregelen, bewaartermijnen en de incidentprocedure.