Cuego Trust
Beveiliging, privacy en subverwerkers
Je vertrouwt Cuego met het klantcontact van je organisatie. Op deze pagina lees je in begrijpelijke taal hoe we met die data omgaan, welke maatregelen we nemen en welke partijen we inschakelen. Dit overzicht hoort bij de verwerkersovereenkomst (AVG, artikel 28).
Laatst bijgewerkt: 6 augustus 2026
Compliance & privacy
AVG / GDPR
Als verwerker sluiten we een verwerkersovereenkomst (artikel 28 AVG) met je af. Daarin staan de verwerking, de beveiligingsmaatregelen en de ingeschakelde subverwerkers.
EU-dataresidentie
De opslag van je gegevens (database en bestanden) vindt plaats binnen de Europese Economische Ruimte (Ierland). Doorgifte buiten de EER gebeurt alleen met een geldig mechanisme.
Subverwerker-transparantie
Onze volledige subverwerkerslijst staat op deze pagina. Wijzigingen kondigen we minimaal 14 dagen vooraf aan, met een recht op bezwaar.
AI Act (transparantie)
Onze AI-chat maakt bij het eerste bericht kenbaar dat de bezoeker met een AI-assistent praat, conform de transparantieplicht van de EU AI Act (artikel 50).
Beveiligingsmaatregelen
De technische en organisatorische maatregelen (AVG, artikel 32), per categorie.
Data & isolatie
- Multi-tenant isolatie via Row Level Security: op databaseniveau wordt per rij afgedwongen dat je alleen bij je eigen gegevens kunt.
- Elke klant heeft een volledig gescheiden dataruimte.
- Gegevens worden versleuteld opgeslagen (encryptie in rust) bij de infrastructuurprovider.
- Gevoelige documenten (facturen, bijlagen, opnamen) staan in privé-buckets, alleen bereikbaar via kortlevende, ondertekende links.
Toegang & authenticatie
- Rolgebaseerde toegang via persoonlijke accounts.
- Wachtwoorden worden versleuteld (gehasht) opgeslagen via de identity-provider.
- Tweestapsverificatie (MFA) is per bedrijf beschikbaar.
Transport & netwerk
- Alle verbindingen lopen versleuteld via TLS/HTTPS.
- Afgeschermde API; inkomende webhooks worden geverifieerd met een handtekening.
- Bescherming tegen SSRF op externe fetches.
Logging & monitoring
- PII-maskering in applicatielogs: persoonsgegevens worden niet leesbaar weggeschreven.
Incident response
- Interne meldroute voor beveiligingsincidenten.
- Bij een datalek informeren we je zonder onnodige vertraging, uiterlijk binnen 48 uur na ontdekking, met de informatie die je nodig hebt voor je eigen meldplicht.
Verwerkersketen
- Subverwerkers zijn contractueel gebonden aan gelijkwaardige beveiligings- en vertrouwelijkheidsmaatregelen.
Data & privacy
Jouw data blijft van jou
We verwerken klantgegevens uitsluitend om de dienst aan jou te leveren, in jouw opdracht. Cuego wordt geen eigenaar van je data en gebruikt die niet voor eigen doeleinden.
Bewaren en verwijderen
Bij opzegging krijg je je data terug of verwijderen we die, naar keuze. Het platform ondersteunt het verwijderen van een contact met alle bijbehorende gegevens (recht op vergetelheid).
Rechten van betrokkenen
Onder de AVG heb je recht op inzage, rectificatie, verwijdering, beperking en overdraagbaarheid. Het platform ondersteunt het afhandelen van zulke verzoeken per contact.
AI & jouw data
Cuego gebruikt AI om klantcontact te helpen afhandelen. We trainen geen AI-modellen op de inhoud van jouw klantcontact. Verwerking loopt via de zakelijke API’s van onze AI-subverwerkers, waarbij invoer en uitvoer niet worden gebruikt voor modeltraining en de bewaartermijn tot een minimum is beperkt. In de chat maken we bij het eerste bericht kenbaar dat de bezoeker met een AI-assistent praat.
Subverwerkers
De partijen die persoonsgegevens namens jou verwerken, met verwerkingslocatie en doorgiftemechanisme. Wijzigingen kondigen we minimaal 14 dagen vooraf aan.
| Subverwerker | Functie | Locatie | Doorgifte |
|---|---|---|---|
| Supabase Inc. | Database en bestandsopslag (multi-tenant, per bedrijf gescheiden) | Ierland | SCC (Supabase DPA) |
| Hetzner Online GmbH | Applicatiehosting (server) | Duitsland | n.v.t. binnen EER |
| Telnyx LLC | Telefonie, SMS en spraaktranscriptie | VS / EU | SCC (Telnyx DPA) |
| OpenAI, L.L.C. | AI-tekstverwerking en embeddings | Verenigde Staten | SCC (OpenAI DPA); geen training op API-data |
| Anthropic PBC | AI-tekstverwerking (Claude) | Verenigde Staten | SCC (Anthropic Commercial DPA); geen training op API-data |
| Microsoft Corporation | E-mail- en agendakoppeling (Microsoft 365), indien geactiveerd | EU / VS | SCC (Microsoft DPA) |
| Google LLC | E-mail- en agendakoppeling (Google Workspace), indien geactiveerd | EU / VS | SCC (Google DPA) |
Uitgaande e-mail naar je eindklanten wordt verzonden via het door jou gekoppelde e-mailaccount (Microsoft 365 of Google Workspace). Cuego zet hiervoor geen aparte e-mailverzenddienst als subverwerker in. Koppelingen die je niet activeert, verwerken geen gegevens.
Veelgestelde vragen
Worden onze gegevens gebruikt om AI-modellen te trainen?
Nee. AI-verwerking loopt uitsluitend via zakelijke API-koppelingen. De invoer en uitvoer worden niet gebruikt om modellen te trainen en de bewaartermijn bij de AI-subverwerkers is tot een minimum beperkt.
Waar staan onze gegevens opgeslagen?
De opslag van je gegevens (database en bestanden) vindt plaats binnen de Europese Economische Ruimte (Ierland). Waar voor AI-verwerking, telefonie of e-mailkoppeling gegevens buiten de EER worden verwerkt, gebeurt dat met een geldig doorgiftemechanisme (Standard Contractual Clauses).
Kan een andere klant onze gegevens zien?
Nee. Elke klant heeft een volledig gescheiden dataruimte. Op databaseniveau dwingen we per rij af dat je alleen bij je eigen gegevens kunt (Row Level Security).
Zijn jullie SOC 2- of ISO 27001-gecertificeerd?
Nee, die certificeringen hebben we (nog) niet. We werken AVG-conform, met EU-dataresidentie, een verwerkersovereenkomst en de beveiligingsmaatregelen die op deze pagina staan. Grotere audits kunnen we op aanvraag bespreken.
Wat gebeurt er als jullie een subverwerker wijzigen?
We informeren je vooraf, minimaal 14 dagen voor de inschakeling, via e-mail of een melding in het platform. Je kunt binnen die termijn gemotiveerd bezwaar maken (DPA, art. 6.3 en 6.4).
Sluiten jullie een verwerkersovereenkomst af?
Ja. Als verwerker sluiten we een verwerkersovereenkomst (AVG, artikel 28) met je af. Dit overzicht van subverwerkers hoort bij art. 6.2 van die overeenkomst.
Documenten op aanvraag
- Verwerkersovereenkomst (DPA) · AVG artikel 28, per klant ingevuld
- Beveiligingsoverzicht · de maatregelen van deze pagina, als document
Vraag deze op, of stel je vraag over beveiliging of een verwerkersovereenkomst, via privacy@cuego.io. Lees ook onze databeveiliging & privacy en ons privacybeleid.
Meer over privacy en beveiliging