Privacy Statement Prudai

Versie: 14 oktober 2026

Welkom bij Prudai! Wij vinden het belangrijk dat je precies weet wat er met je gegevens gebeurt als je onze website bezoekt, een SaaS-abonnement afsluit of onze applicatie gebruikt. In dit document leggen we dit op een heldere, transparante en juridisch sluitende manier uit. Dit statement sluit nauw aan bij onze algemene voorwaarden, de NLdigital Voorwaarden 2025, en het Data Pro Statement.

1. Wie zijn wij en wat zijn onze rollen?

Wij zijn Prudai B.V., gevestigd in Enschede en ingeschreven bij de Kamer van Koophandel onder nummer 99876868. Vragen over privacy kun je altijd sturen naar: privacy@prudai.com.

Op basis van de AVG (Algemene Verordening Gegevensbescherming) hebben wij twee verschillende rollen:

• Verwerkingsverantwoordelijke: Wij zijn de verantwoordelijke voor de persoonsgegevens die we verzamelen via onze website, marketingactiviteiten, salesgesprekken en voor jouw account- en abonnementsbeheer.
• Verwerker: Wanneer jij onze SaaS-applicatie gebruikt om documenten te analyseren en teksten te genereren, treden wij uitsluitend op als 'verwerker' namens jouw organisatie (de Cliënt), die in dat geval de 'verwerkingsverantwoordelijke' is. De afspraken hierover staan in ons Data Pro Statement.

2. Welke gegevens gebruiken we en waarom?

Om onze website en SaaS-diensten goed te laten werken, verwerken we gegevens die in de markt gebruikelijk zijn voor cloud-oplossingen:

• Account- en contactgegevens: Naam, e-mailadres, bedrijfsnaam en inloggegevens om je toegang te verlenen tot het platform.
• Financiële gegevens: Factuuradres en betaalgegevens (veilig verwerkt via onze payment provider Stripe) voor abonnementsbeheer.
• Gebruiksdata en prompts: Alle teksten, documenten en metadata die via de applicatie worden ingediend, alsmede de door AI gegenereerde resultaten.

Interesse-indicatie uit marketingmail en websitebezoek

Als je op een link in onze marketingmail klikt, ontvangen wij van de verzenddienst het e-mailadres van de ontvanger, de campagne en link, het kliktijdstip, het IP-adres en technische browsergegevens. Wij vergelijken dat klik-IP-adres met de bezoekerslog van onze eigen websites: bezoeken vanaf hetzelfde adres in de vijf minuten vóór tot dertig dagen na de klik kunnen meetellen. Ook een mailklik zonder gekoppeld bezoek kan meetellen. Hiervoor gebruiken wij serverlogs, geen marketingcookie. We vergelijken klik-IP-adressen op onze eigen server met een lokaal opgeslagen openbare lijst van netwerkbeheerders om bekende automatische scanners te filteren; de aanbieder van de lijst ontvangt hiervoor geen individuele klik-IP-adressen. We filteren ook eigen verkeer en bekende bezwaren uit.

Hieruit berekenen wij bij de ontvanger in ons CRM een interesse-indicatie om zakelijke opvolging te prioriteren. Medewerkers met toegang tot dit CRM-object kunnen de indicatie zien. Omdat meerdere mensen één IP-adres kunnen delen, bewijst een gekoppeld bezoek niet wie de website heeft bekeken; de indicatie kan dus verkeerd worden toegeschreven. Ze leidt niet zelfstandig tot een geautomatiseerd besluit met rechtsgevolgen of vergelijkbare gevolgen voor jou.

Wij baseren deze direct-marketingverwerking op ons gerechtvaardigd belang om relevante zakelijke contacten gericht op te volgen (artikel 6 lid 1 onder f AVG). Het ruwe klik-IP-adres bewaren wij maximaal 365 dagen na de klik; een automatische opruimtaak wist het daarna uit het klikrecord en de opgeslagen ruwe eventgegevens. De interesse-indicatie bij de contactkaart heeft geen automatische vervaldatum en kan door nieuwe signalen veranderen. Na het wissen van het onderliggende klik-IP-adres kan de indicatie als historisch gemarkeerd blijven staan. Je kunt zonder reden bezwaar maken tegen dit gebruik voor direct marketing via privacy@prudai.com. Wij stoppen dat gebruik dan; je kunt ook inzage, correctie of verwijdering vragen. Vermeld zo mogelijk het e-mailadres waarop je onze mail kreeg, zodat wij je gegevens kunnen vinden.

Inloggen met Microsoft of Google

Je kunt bij Prudai inloggen met je e-mailadres en wachtwoord, of met een bestaand Microsoft- of Google-account. Inloggen met Microsoft of Google werkt alleen voor een Prudai-account dat al bestaat; via deze route maken wij geen nieuw account aan.

• Welke gegevens ontvangen wij? Bij inloggen met Google ontvangen wij van Google je naam, je e-mailadres, of Google dat e-mailadres heeft geverifieerd, een link naar je profielfoto en een unieke code van je Google-account. Bij inloggen met Microsoft ontvangen wij vergelijkbare profielgegevens van Microsoft. Bij het inloggen met Google vragen wij geen toegang tot je e-mail, bestanden of agenda.
• Wat bewaren wij? De koppeling tussen je Microsoft- of Google-account en je Prudai-account: de unieke accountcode en het e-mailadres. Je wachtwoord bij Microsoft of Google zien en bewaren wij nooit. Bij inloggen met Microsoft bewaren wij daarnaast de toegangssleutels die Microsoft afgeeft, zodat Prudai op jouw verzoek bestanden uit SharePoint die je in Prudai kiest kan ophalen en, als je de Outlook-invoegtoepassing gebruikt, e-mails die je zelf selecteert. Bij inloggen met Google bewaren wij geen toegangssleutels.
• Waar en waarom? Het inloggen loopt via onze eigen inlogdienst op onze eigen servers in EU-datacenters. Wij gebruiken deze gegevens om je veilig toegang te geven tot je account, ter uitvoering van de overeenkomst (artikel 6 lid 1 onder b AVG).
• Ontkoppelen: Je kunt de koppeling verbreken via de accountinstellingen van je Prudai-account of via privacy@prudai.com. Je Prudai-account blijft dan bestaan.

Gegevens uit Google-diensten (Google Drive, Gmail en Google Agenda)

Sommige onderdelen van Prudai kunnen gegevens uit je Google-account gebruiken, maar alleen als jij daar zelf toestemming voor geeft. Denk aan een bestand uit Google Drive dat je in Prudai wilt gebruiken, e-mails uit Gmail die je aan een dossier koppelt, of afspraken in Google Agenda. Google vraagt je per koppeling apart om toestemming en laat daarbij zien welke toegang Prudai krijgt.

• Gebruik: Wij gebruiken deze gegevens alleen om de functie te leveren die jij in Prudai gebruikt, zoals het analyseren van een document dat je kiest. Daarvoor kunnen de gegevens worden verwerkt door de subverwerkers uit hoofdstuk 4, onder dezelfde voorwaarden als andere documenten in de applicatie.
• Geen advertenties, geen verkoop: Wij gebruiken deze gegevens niet voor advertenties en verkopen ze niet. Wij geven ze alleen door als dat nodig is om de functie te leveren die jij gebruikt, voor beveiliging, of om aan de wet te voldoen.
• Geen menselijke inzage: Medewerkers van Prudai lezen deze gegevens niet, tenzij jij daar voor een specifiek geval toestemming voor geeft, het nodig is voor beveiliging (zoals het onderzoeken van misbruik), het nodig is om aan de wet te voldoen, of het gaat om samengevoegde en geanonimiseerde gegevens voor de interne werking van de dienst.
• Geen modeltraining: Gegevens uit Google-diensten worden niet gebruikt om AI-modellen te ontwikkelen, te trainen, te verbeteren of te fijntunen, ook geen algemene AI-modellen (zie ook hoofdstuk 3).
• Opslag en intrekken: De toegangssleutels voor een Google-koppeling bewaren wij op onze eigen servers in EU-datacenters. Je kunt de toegang altijd intrekken in Prudai of via https://myaccount.google.com/permissions. Daarna halen wij geen nieuwe gegevens meer op en verwijderen wij de toegangssleutels. Documenten die je eerder zelf in Prudai hebt opgeslagen, blijven in je dossier tot je ze verwijdert.

Het gebruik en de doorgifte door Prudai van informatie die wij via Google API's ontvangen, aan welke andere app dan ook, voldoet aan de Google API Services User Data Policy, inclusief de Limited Use-vereisten.

3. Strikte AI-Privacygaranties (EU-verwerking & Geen Modeltraining)

Wanneer gegevens via onze enterprise-API's naar onderliggende Large Language Models (LLM's) of vertaaldiensten worden gestuurd, gelden de volgende harde privacygaranties:

• Opslag op eigen infrastructuur in de EU: De documenten, prompts en resultaten uit de applicatie staan opgeslagen op servers die wij zelf beheren, in datacenters binnen de Europese Unie (Duitsland en Finland). Die opslag draait niet bij een hyperscaler.
• AI-verwerking via Europese endpoints: De AI-modellen en vertaaldiensten worden uitsluitend aangeroepen via de Europese endpoints van de subverwerkers die in artikel 5 van het Data Pro Statement zijn opgenomen. Voor die verwerking is geen route naar de Verenigde Staten of naar een ander land buiten de Europese Unie geconfigureerd, en wij zullen die ook niet configureren.
• Uitsluiting van modeltraining: Gegevens (prompts en completions) worden contractueel en technisch nooit gebruikt voor het trainen, verbeteren of fijntunen van publieke of private AI-modellen van ons of van onze subverwerkers.
• Bewaring en misbruikbewaking bij AI-subverwerkers: Prompts en antwoorden worden verwerkt om een antwoord te genereren. Afhankelijk van de aanbieder, gebruikte functie en instellingen kunnen zij gegevens daarna tijdelijk bewaren voor beveiliging en misbruikbewaking. Daarbij kan in specifieke gevallen inzage door bevoegde medewerkers van een subverwerker plaatsvinden. Wij garanderen daarom geen algemene Zero Data Retention, uitsluitend verwerking in vluchtig werkgeheugen of technische uitsluiting van menselijke inzage.

4. Subverwerkers en Data-Residency

De documenten, prompts en resultaten die je in de SaaS-applicatie invoert, worden verwerkt door de volgende subverwerkers. Zij doen dat uitsluitend op Europese locaties en via Europese endpoints:

• Hetzner Online GmbH: Onderliggende server- en cloudinfrastructuur, fysiek gelokaliseerd in Duitsland en Finland (EU).
• DeepL SE: Vertaalfunctionaliteiten via API, uitsluitend verwerkt in Duitsland (EU).
• Azure OpenAI (Microsoft): AI-modellen, uitsluitend aangeroepen binnen de regio Zweden (EU).
• Vertex AI (Google): AI-modellen (waaronder Gemini-modellen en Claude-modellen via Vertex AI), uitsluitend aangeroepen via Europese endpoints (EU).

Voor onze eigen bedrijfsvoering gebruiken wij daarnaast twee dienstverleners die persoonsgegevens buiten de Europese Unie kunnen verwerken. Zij krijgen geen inhoud uit jouw dossiers: de documenten, prompts en resultaten uit de SaaS-applicatie lopen niet via deze diensten.

• Vercel Inc.: Hosting en uitlevering van onze websites. De uitlevering gebeurt vanaf Europese edge-locaties, de onderliggende runtime staat in de Verenigde Staten. Verwerkt frontenddata en technische metadata. Doorgifte op grond van het EU-US Data Privacy Framework.
• Twilio SendGrid: Verzending van transactionele e-mail vanuit de Verenigde Staten. Verwerkt e-mailadressen en operationele mailmetadata. Doorgifte op grond van het EU-US Data Privacy Framework.

De volledige, actuele opsomming van de subverwerkers die persoonsgegevens uit de SaaS-applicatie verwerken, met per subverwerker de regio en de borging daarvan, staat in artikel 5 van het Data Pro Statement.

5. Beveiliging en Bewaartermijnen

Veiligheid staat bij ons voorop (Security-by-Design). Wij nemen passende technische en organisatorische maatregelen om je gegevens te beschermen tegen verlies en misbruik (zie https://trust.prudai.com). We bewaren accountgegevens niet langer dan noodzakelijk voor de uitvoering van de overeenkomst, met uitzondering van gegevens die we op basis van wettelijke plichten (zoals de fiscale bewaarplicht van 7 jaar voor facturen) langer moeten bewaren.

6. Jouw Rechten

Op basis van de AVG blijf je de baas over je eigen gegevens. Je hebt onder andere het recht op inzage, correctie, dataportabiliteit en verwijdering van je persoonsgegevens. Voor zover wij optreden als verwerkingsverantwoordelijke (bijvoorbeeld bij jouw accountgegevens), kun je een verzoek indienen via privacy@prudai.com. Indien het gegevens betreft die binnen de SaaS-applicatie vallen, dient het verzoek via de Cliënt (jouw organisatie) te lopen.

7. Wijzigingen

De wereld van tech en AI staat nooit stil. Daarom kunnen we dit privacy statement af en toe aanpassen om te blijven voldoen aan de nieuwste wetgeving en technische inrichting. De nieuwste versie is altijd direct beschikbaar op onze website.