Veiligheid en AVG

Waar je gegevens staan

Alles staat in een beheerde database bij Supabase, in de Europese Unie. De foto's en bijlagen die je uploadt staan in diezelfde omgeving. Buiten de EU slaan we niets op. De database is versleuteld opgeslagen en er wordt elke dag een back-up gemaakt.

De website en het dashboard zelf draaien bij Netlify. Daar staat alleen de code van de applicatie, geen enkel klantgegeven.

Wie kan bij jouw gegevens

Elk bureau heeft een eigen afgeschermde omgeving, en die scheiding zit in de database zelf en niet alleen in wat je op je scherm ziet. Bij elke regel die wordt opgevraagd, controleert de database of die bij jouw bureau hoort. Zonder een geldige sessie van jouw bureau komt er dus niets uit, ook niet buiten het scherm om.

Binnen je eigen bureau werk je met rollen. Je bent eigenaar, medewerker of meekijker. Alleen de eigenaar en een medewerker kunnen de instellingen en de huisstijl aanpassen.

Verder staat er gewoon wat je van een verwerker mag verwachten. Versleuteling onderweg en in opslag, bestandsopslag die per bureau is afgeschermd, en beheerde back-ups binnen de EU.

Inloggen

Je logt in met je e-mailadres en een wachtwoord. Dat wachtwoord staat versleuteld opgeslagen, dus ook wij kunnen het niet zien. Ben je het vergeten, dan stuurt het systeem je een herstelmail.

Tweestapsverificatie met een app op je telefoon kan op elk account, en we raden het aan, zeker als je met collega's werkt. Je zet het zelf aan bij je accountinstellingen. Let wel op: er zijn geen herstelcodes. Raak je je telefoon kwijt, dan zetten wij het voor je uit zodra we zeker weten dat jij het bent.

Hoe lang we bewaren

Een jaar na de reisdatum worden de gegevens van je reizigers automatisch geanonimiseerd. De reis zelf blijft bestaan voor je statistieken en rapporten, dus de route, de datum en de bedragen blijven staan. Maar de namen, e-mailadressen, telefoonnummers en boekingscodes worden gewist, en dat kan niet ongedaan gemaakt worden.

Voor reacties op een offerte geldt hetzelfde. Dat er akkoord is en wanneer blijft staan als bewijs, de contactgegevens verdwijnen. Afgeronde taken ruimen we na een jaar op, openstaande nooit. Facturen bewaren we zeven jaar, dat moet van de belastingdienst.

AI en je documenten

Het inlezen van bevestigingen, mails en pdf's gebeurt met het Claude-model van Anthropic, dat voor ons draait op Amazon Bedrock in Europese regio's. Je gegevens verlaten de Europese Unie dus niet, ook niet voor de AI.

• Zero data retention. De tekst wordt alleen verwerkt om het antwoord te maken en daarna niet opgeslagen.
• Geen training. De gegevens worden nooit gebruikt om modellen te trainen, en Anthropic zelf heeft geen toegang tot de aanvragen.
• Niet vanuit je browser. De AI wordt aangeroepen via onze eigen server, die vast in Frankfurt draait, ook als jij vanuit het buitenland werkt. Er staat geen sleutel in het scherm.
• Alleen wat jij aanlevert. Alleen de bevestiging die je erin zet. Verder niets uit je dashboard.

De blijvende kopie van je gegevens staat alleen in de EU-database.

Wat de AI eruit haalt is altijd een voorstel dat jij controleert. Een datum, een naam of een prijs kan verkeerd worden overgenomen. Daarom zie je eerst een controlescherm, en blijft de bevestiging van de maatschappij of de touroperator leidend.

Reisplannen die je deelt

Een gepubliceerd reisplan is bewust openbaar, want je klant opent hem zonder inloggen. De link is niet te raden, en alleen wie jij hem stuurt heeft hem. Maar iedereen die hem heeft, kan de pagina zien. Zet er dus niets in wat niet gedeeld mag worden. Concepten blijven privé.

Wie er nog meer bij betrokken is

We werken met een klein aantal leveranciers. Hieronder staat precies wat zij verwerken.

Alles wat met je reizigers te maken heeft blijft binnen de Europese Unie. Drie partijen zitten in de Verenigde Staten, en die raken je reizigers niet. Resend verstuurt een meldingsmail als je klant op een voorstel reageert. Netlify host de site en neemt de demo-aanvragen aan. Stripe int je abonnement. Die doorgiftes gebeuren op basis van de standaardbepalingen van de Europese Commissie (artikel 46 AVG). De lettertypen op deze site staan op onze eigen server. We tellen wel hoeveel mensen deze website bezoeken, met Plausible in Duitsland: zonder cookies, zonder je te herkennen en zonder je over bezoeken heen te volgen. Het dashboard zelf wordt niet gemeten.

Verwerkersovereenkomst

Jij bent verwerkingsverantwoordelijke, Bottleneck AI is verwerker. De volledige overeenkomst (versie 2.0, september 2026) staat online, met alles erin over beveiliging, datalekken en wat er gebeurt als je stopt. Bij je eerste keer inloggen ga je er eenmalig mee akkoord.

Lees de verwerkersovereenkomst Lees de gebruiksvoorwaarden

Iets gezien dat niet klopt?

Zie je een lek of een zwakke plek, mail dan naar info@reisregie.nl. We reageren snel en laten weten wat we ermee doen. Een datalek melden we direct aan jou, zodat jij je eigen melding kunt doen.