AVG, AI Act en NIS2 bij Synomi

1. Twee rollen — wie beheert wat?

Volgens de AVG (in Europa: GDPR) heeft Synomi twee rollen:

• Verwerkingsverantwoordelijke — voor de gegevens van je account (naam, e-mail, bedrijfsgegevens, betaalgegevens, systeemlogs). Die gegevens verzamelen, verwerken en versleutelen we om je überhaupt onze diensten te kunnen leveren.
• Verwerker — voor alles wat je in Synomi zet voor je eigen bedrijf (gegevens van je klanten, facturen, documenten, gps-ritten). Van die gegevens ben jij de verwerkingsverantwoordelijke — wij verwerken ze uitsluitend in jouw opdracht. We passen erop namens jou en versleutelen ze óók, maar jij beheert ze zelf.

De verwerkersovereenkomst zit ingebouwd in de Algemene voorwaarden van Synomi (artikel 9) — je hoeft geen apart document te ondertekenen.

2. Waar wonen je gegevens?

• Op onze eigen server in een Nederlands datacenter — niet in een anonieme cloud
• Bedrijfsgegevens zijn versleuteld (encrypted at rest), met een aparte sleutel per bedrijf; verbindingen zijn beveiligd met SSL/TLS
• Regelmatige back-ups en beveiligingsupdates
• Geen advertenties, geen trackers, geen handel in data — niet op de website en niet in de mobiele app

3. Jouw rechten

Volgens de AVG heb je recht op: inzage in je gegevens, rectificatie, verwijdering (“het recht om vergeten te worden”), beperking van de verwerking, dataportabiliteit, bezwaar en het intrekken van je toestemming — op elk moment.

Hoe maak je er gebruik van? Mail naar hello@synomi.ai — meer is niet nodig. Je hebt ook het recht een klacht in te dienen bij de Nederlandse toezichthouder: de Autoriteit Persoonsgegevens.

4. Je account verwijderen

Je verwijdert je account zelf in de app (Profiel → Account verwijderen). Je kunt de verwijdering ook per e-mail aanvragen: mail naar support@synomi.ai vanaf het e-mailadres dat aan je account is gekoppeld — voordat we de procedure starten, bevestigen we je verzoek per antwoordmail.

Vanaf dat moment loopt een bedenktermijn van 30 dagen — in die tijd kun je je bedenken door gewoon opnieuw in te loggen. Na 30 dagen worden je gegevens definitief en onomkeerbaar verwijderd.

Download vóór het verwijderen je gegevens (pdf-, xml- en Excel-exports) — de plicht om je eigen administratie 7 jaar te bewaren ligt bij jou. Details: Privacybeleid, artikel 9.

5. Met wie delen we gegevens — en welke?

Alleen met vertrouwde subverwerkers, alleen voor de functies die je echt gebruikt — en alleen de gegevens zonder welke zo’n functie simpelweg niet werkt:

• Mollie (betalingen) — de gegevens die nodig zijn om jouw betaling te verwerken. Kaartgegevens slaan we helemaal niet op — die verwerkt uitsluitend Mollie.
• Anthropic (AI-functies) — foto’s van bonnetjes en facturen bij het OCR-scannen, de tekst van spraakopdrachten (alleen het transcript — nooit de audio-opname; spraak wordt op je eigen toestel herkend) en alleen de vragen aan Daisy die externe verwerking nodig hebben. Verzoeken zijn niet gekoppeld aan een specifieke gebruiker en Anthropic traint geen modellen op jouw gegevens.
• Google — alleen als je het aanzet: bij inloggen met Google krijgen we van Google je e-mail en basisprofielgegevens; bij synchronisatie met Google Agenda zetten we Synomi-gebeurtenissen (betaaltermijnen, afspraken) in je agenda en lezen we gebeurtenissen om ze te kunnen tonen.
• Apple — alleen als je het aanzet: bij Sign in with Apple krijgen we een identifier en — als jij daarvoor kiest — je e-mail (die Apple kan anonimiseren); synchronisatie met de iCloud-agenda werkt net als bij Google.

Doorgifte buiten de Europese Economische Ruimte gebeurt op basis van Standard Contractual Clauses (SCC). We verkopen geen gegevens. De volledige lijst en details: Privacybeleid, artikel 6.

6. Cookies

We gebruiken uitsluitend noodzakelijke technische cookies (inloggen, beveiliging, voorkeuren) — geen analytische en geen advertentiecookies. Details: Privacybeleid, artikel 5.

7. Kunstmatige intelligentie bij Synomi (AI Act)

Vanaf 2 augustus 2026 gaan in de hele EU de transparantieregels voor AI (de AI Act) gelden — Synomi voldoet nu al aan deze eisen. Bij Synomi werkt kunstmatige intelligentie op een paar plekken: Daisy beantwoordt vragen en stelt kostencategorieën voor, Voice-to-Invoice maakt van je stem een factuur en OCR leest bonnetjes en facturen van een foto.

Ons leidende principe in elk proces is human in the loop — het laatste woord is altijd aan een mens en alles vraagt om jouw bewuste akkoord. In de praktijk:

• AI stelt voor — jij beslist. Geen enkele AI-functie neemt beslissingen voor je of maakt zelf documenten aan. OCR vult een formulier in dat jij controleert; Daisy suggereert maar blokkeert nooit; een spraakfactuur is een concept dat jij goedkeurt.
• Je weet altijd dat het AI is. Daisy doet zich niet voor als mens — ze is openlijk een AI-assistent en stelt zich ook zo voor.
• Een suggestie is geen advies. De hints van Daisy (bijv. "deze kosten zijn misschien niet aftrekbaar") zijn aanwijzingen, geen belastingadvies. Onthoud: alle bindende beslissingen over je bedrijf neem je zelf — alleen of samen met je boekhouder.

Volgens de classificatie van de AI Act zijn de functies van Synomi systemen met beperkt risico — geen enkele beoordeelt mensen of beslist over krediet, werk of iets dergelijks. Welke gegevens voor AI-functies extern worden verwerkt (en dat ze nooit aan jou gekoppeld zijn) lees je in artikel 5.

8. Cyberbeveiliging (NIS2 / Cyberbeveiligingswet)

NIS2 is de Europese cyberbeveiligingsrichtlijn — in Nederland ingevoerd als de Cyberbeveiligingswet, die op 15 augustus 2026 van kracht wordt. Die geldt rechtstreeks voor middelgrote en grote organisaties in cruciale sectoren. Synomi valt er als klein bedrijf niet rechtstreeks onder — en dat zeggen we gewoon eerlijk, in plaats van onszelf een modieus etiket op te plakken.

Er is wel een andere kant: organisaties die onder NIS2 vallen, moeten de beveiliging van hun leveranciers bewaken. Val jij of je klant onder NIS2 en zoek je een leverancier die niet de zwakke schakel is — dit vind je bij Synomi:

• Een eigen server in Nederland — je gegevens zwerven niet door andermans clouds.
• Versleuteling met een aparte sleutel per bedrijf — één sleutel opent nooit de gegevens van iemand anders.
• Tweestapsverificatie (2FA) en back-ups.
• Nul trackers en een korte lijst subverwerkers (artikel 5).

Vragen over beveiliging in de keten? Mail ons: support@synomi.ai.

9. Contact