Cuego Trust

Beveiliging, privacy en subverwerkers

Je vertrouwt Cuego met het klantcontact van je organisatie. Op deze pagina lees je in begrijpelijke taal hoe we met die data omgaan, welke maatregelen we nemen en welke partijen we inschakelen. Dit overzicht hoort bij de verwerkersovereenkomst (AVG, artikel 28).

Laatst bijgewerkt: 6 augustus 2026

Compliance & privacy

AVG / GDPR

Als verwerker sluiten we een verwerkersovereenkomst (artikel 28 AVG) met je af. Daarin staan de verwerking, de beveiligingsmaatregelen en de ingeschakelde subverwerkers.

EU-dataresidentie

De opslag van je gegevens (database en bestanden) vindt plaats binnen de Europese Economische Ruimte (Ierland). Doorgifte buiten de EER gebeurt alleen met een geldig mechanisme.

Subverwerker-transparantie

Onze volledige subverwerkerslijst staat op deze pagina. Wijzigingen kondigen we minimaal 14 dagen vooraf aan, met een recht op bezwaar.

AI Act (transparantie)

Onze AI-chat maakt bij het eerste bericht kenbaar dat de bezoeker met een AI-assistent praat, conform de transparantieplicht van de EU AI Act (artikel 50).

Beveiligingsmaatregelen

De technische en organisatorische maatregelen (AVG, artikel 32), per categorie.

Data & isolatie

Multi-tenant isolatie via Row Level Security: op databaseniveau wordt per rij afgedwongen dat je alleen bij je eigen gegevens kunt.
Elke klant heeft een volledig gescheiden dataruimte.
Gegevens worden versleuteld opgeslagen (encryptie in rust) bij de infrastructuurprovider.
Gevoelige documenten (facturen, bijlagen, opnamen) staan in privé-buckets, alleen bereikbaar via kortlevende, ondertekende links.

Toegang & authenticatie

Rolgebaseerde toegang via persoonlijke accounts.
Wachtwoorden worden versleuteld (gehasht) opgeslagen via de identity-provider.
Tweestapsverificatie (MFA) is per bedrijf beschikbaar.

Transport & netwerk

Alle verbindingen lopen versleuteld via TLS/HTTPS.
Afgeschermde API; inkomende webhooks worden geverifieerd met een handtekening.
Bescherming tegen SSRF op externe fetches.

Logging & monitoring

PII-maskering in applicatielogs: persoonsgegevens worden niet leesbaar weggeschreven.

Incident response

Interne meldroute voor beveiligingsincidenten.
Bij een datalek informeren we je zonder onnodige vertraging, uiterlijk binnen 48 uur na ontdekking, met de informatie die je nodig hebt voor je eigen meldplicht.

Verwerkersketen

Subverwerkers zijn contractueel gebonden aan gelijkwaardige beveiligings- en vertrouwelijkheidsmaatregelen.

Data & privacy

Jouw data blijft van jou

We verwerken klantgegevens uitsluitend om de dienst aan jou te leveren, in jouw opdracht. Cuego wordt geen eigenaar van je data en gebruikt die niet voor eigen doeleinden.

Bewaren en verwijderen

Bij opzegging krijg je je data terug of verwijderen we die, naar keuze. Het platform ondersteunt het verwijderen van een contact met alle bijbehorende gegevens (recht op vergetelheid).

Rechten van betrokkenen

Onder de AVG heb je recht op inzage, rectificatie, verwijdering, beperking en overdraagbaarheid. Het platform ondersteunt het afhandelen van zulke verzoeken per contact.

AI & jouw data

Cuego gebruikt AI om klantcontact te helpen afhandelen. We trainen geen AI-modellen op de inhoud van jouw klantcontact. Verwerking loopt via de zakelijke API’s van onze AI-subverwerkers, waarbij invoer en uitvoer niet worden gebruikt voor modeltraining en de bewaartermijn tot een minimum is beperkt. In de chat maken we bij het eerste bericht kenbaar dat de bezoeker met een AI-assistent praat.

Subverwerkers

De partijen die persoonsgegevens namens jou verwerken, met verwerkingslocatie en doorgiftemechanisme. Wijzigingen kondigen we minimaal 14 dagen vooraf aan.

Subverwerker	Functie	Locatie	Doorgifte
Supabase Inc.	Database en bestandsopslag (multi-tenant, per bedrijf gescheiden)	Ierland	SCC (Supabase DPA)
Hetzner Online GmbH	Applicatiehosting (server)	Duitsland	n.v.t. binnen EER
Telnyx LLC	Telefonie, SMS en spraaktranscriptie	VS / EU	SCC (Telnyx DPA)
OpenAI, L.L.C.	AI-tekstverwerking en embeddings	Verenigde Staten	SCC (OpenAI DPA); geen training op API-data
Anthropic PBC	AI-tekstverwerking (Claude)	Verenigde Staten	SCC (Anthropic Commercial DPA); geen training op API-data
Microsoft Corporation	E-mail- en agendakoppeling (Microsoft 365), indien geactiveerd	EU / VS	SCC (Microsoft DPA)
Google LLC	E-mail- en agendakoppeling (Google Workspace), indien geactiveerd	EU / VS	SCC (Google DPA)

Uitgaande e-mail naar je eindklanten wordt verzonden via het door jou gekoppelde e-mailaccount (Microsoft 365 of Google Workspace). Cuego zet hiervoor geen aparte e-mailverzenddienst als subverwerker in. Koppelingen die je niet activeert, verwerken geen gegevens.

Veelgestelde vragen

Worden onze gegevens gebruikt om AI-modellen te trainen?

Nee. AI-verwerking loopt uitsluitend via zakelijke API-koppelingen. De invoer en uitvoer worden niet gebruikt om modellen te trainen en de bewaartermijn bij de AI-subverwerkers is tot een minimum beperkt.

Waar staan onze gegevens opgeslagen?

De opslag van je gegevens (database en bestanden) vindt plaats binnen de Europese Economische Ruimte (Ierland). Waar voor AI-verwerking, telefonie of e-mailkoppeling gegevens buiten de EER worden verwerkt, gebeurt dat met een geldig doorgiftemechanisme (Standard Contractual Clauses).

Kan een andere klant onze gegevens zien?

Nee. Elke klant heeft een volledig gescheiden dataruimte. Op databaseniveau dwingen we per rij af dat je alleen bij je eigen gegevens kunt (Row Level Security).

Zijn jullie SOC 2- of ISO 27001-gecertificeerd?

Nee, die certificeringen hebben we (nog) niet. We werken AVG-conform, met EU-dataresidentie, een verwerkersovereenkomst en de beveiligingsmaatregelen die op deze pagina staan. Grotere audits kunnen we op aanvraag bespreken.

Wat gebeurt er als jullie een subverwerker wijzigen?

We informeren je vooraf, minimaal 14 dagen voor de inschakeling, via e-mail of een melding in het platform. Je kunt binnen die termijn gemotiveerd bezwaar maken (DPA, art. 6.3 en 6.4).

Sluiten jullie een verwerkersovereenkomst af?

Ja. Als verwerker sluiten we een verwerkersovereenkomst (AVG, artikel 28) met je af. Dit overzicht van subverwerkers hoort bij art. 6.2 van die overeenkomst.

Documenten op aanvraag

Verwerkersovereenkomst (DPA) · AVG artikel 28, per klant ingevuld
Beveiligingsoverzicht · de maatregelen van deze pagina, als document

Vraag deze op, of stel je vraag over beveiliging of een verwerkersovereenkomst, via privacy@cuego.io. Lees ook onze databeveiliging & privacy en ons privacybeleid.