Versie: 22 juli 2026
Dit Privacybeleid maakt deel uit van de Algemene Voorwaarden (“AV”) en is van toepassing op elke Bestelling en op elke Overeenkomst met ST-SCAN, met uitsluiting van eventuele eigen voorwaarden van de Klant, ook indien deze op enig document van de Klant zouden voorkomen, tenzij ST-SCAN hiermee voorafgaand en schriftelijk uitdrukkelijk heeft ingestemd. In geval van tegenstrijdigheid met een bepaling uit de AV, zijn de bepalingen van dit document overheersend.
ST Consult bv, met maatschappelijke zetel te Boskouterstraat 48, 3370 Boutersem (België), KBO-nummer BE0821.500.324, handelend onder de geregistreerde merknaam ST-SCAN (hierna: “ST-SCAN” of “wij”), is de verwerkingsverantwoordelijke in de zin van artikel 4, lid 7 AVG voor de verwerking van persoonsgegevens die plaatsvindt in het kader van haar dienstverlening.
Privacy Officer
Voor vragen over de verwerking van uw persoonsgegevens kunt u contact opnemen met de Privacy Officer op volgend e-mailadres: 📧 privacy@st-scan.be. Er is geen plicht noch aanstelling van een Functionaris Gegevensbescherming / DPO in de zin van artikel 37 AVG.
Dit privacybeleid is van toepassing op alle verwerkingen van persoonsgegevens die ST-SCAN uitvoert in het kader van haar Dienst, met name de AI-geassisteerde juridische analyse, herziening en opstelling van commerciële en bijzondere contracten naar Belgisch recht, aangeboden via het Platform.
ST-SCAN richt haar diensten uitsluitend op ondernemers die handelen in het kader van hun beroeps- of bedrijfsactiviteit. Dit Privacybeleid is dan ook niet gericht op consumenten.
3.1 Categorie 1 — Identiteitsverificatiegegevens (antiwitwaswetgeving)
ST Consult bv is als erkende dienstverlener aan vennootschappen geregistreerd bij de FOD Economie en is als dusdanig wettelijk verplicht de identiteit van haar klanten te verifiëren in het kader van de wet van 18 september 2017 tot voorkoming van het witwassen van geld en de financiering van terrorisme.
Verwerkte gegevens: naam, voornaam, geboortedatum, adres, documenttype, een unieke verificatie-ID en het tijdstip van verificatie.
Rechtsgrond: wettelijke verplichting (artikel 6, lid 1, c) AVG). De verstrekking van deze gegevens is een wettelijke verplichting (AML-wet 18 september 2017). Niet-verstrekking verhindert de totstandkoming van de contractuele zakelijke relatie.
Bewaartermijn: wettelijk tot maximaal 10 jaar na het einde van de zakelijke relatie, conform de AML-wetgeving . Na het verstrijken van deze termijn worden de gegevens verplicht vernietigd. De verificatie (via itsme®) is eenmalig per Klant en niet per Bestelling.
3.2 Categorie 2 — Overige identiteitsgegevens van de Klant (administratie en facturatie)
Verwerkte gegevens: naam, voornaam, adres, btw-nummer, e-mailadres, ondernemingsgegevens, facturatiegegevens.
Rechtsgrond: uitvoering van de Overeenkomst (artkel 6, lid 1, b) AVG).
Bewaartermijn: de volgende wettelijke termijnen zijn van toepassing:
ST-SCAN hanteert als algemene standaard een bewaartermijn van 10 jaar voor alle boekhoudkundige en contractuele documenten. Voor documenten met betrekking tot onroerende bedrijfsmiddelen waarop btw-aftrek werd toegepast, wordt de wettelijke termijn van 15 jaar (of 25 jaar) gerespecteerd
3.3 Categorie 3 — Persoonsgegevens van derden, aangeleverd door de Klant
De inhoud van de door u aangeleverde Documenten en gegevens wordt verwerkt met het oog op de uitvoering van de bestelde Dienst. Deze documenten kunnen persoonsgegevens bevatten van derden (contractpartijen, contactpersonen).
Rolverdeling: voor de persoonsgegevens van de Klant zelf en van zijn tegenpartijen die voorkomen in de aangeleverde Documenten, treedt de Klant op als verwerkingsverantwoordelijke en is ST-SCAN de verwerker in de zin van artikel 4, lid 8 AVG. ST-SCAN verwerkt deze gegevens uitsluitend in opdracht van en volgens de instructies van de Klant, met het oog op de uitvoering van de Dienst. De Klant, als verwerkingsverantwoordelijke voor de persoonsgegevens vervat in de aangeleverde documenten, is zelf verantwoordelijk voor het beschikken over een geldige rechtsgrond in de zin van artikel 6 AVG voor de verwerking van die gegevens, alsook voor de naleving van zijn informatieverplichtingen jegens de betrokkenen wiens persoonsgegevens in de aangeleverde documenten voorkomen, conform artikel 14 AVG.
Rechtsgrond: ST-SCAN treedt voor deze categorie op als verwerker in de zin van artikel 4, lid 8 AVG en handelt uitsluitend op basis van de instructies van de Klant als verwerkingsverantwoordelijke.
Bewaartermijn: conform het opslagbeperkingsbeginsel van artikel 5, lid 1, e) AVG worden de aangeleverde Documenten niet langer bewaard dan strikt noodzakelijk voor de uitvoering van de Dienst. De Documenten worden definitief van het Platform verwijderd zodra de Klant deze zelf uit zijn klantenportaal verwijdert, of, ten laatste, bij de beëindiging van de Overeenkomst. ST-SCAN bewaart geen kopieën van de aangeleverde Documenten na voltooiing van de opdracht.
Bij beëindiging: bij beëindiging van de Overeenkomst zal ST-SCAN, alle betrokken persoonsgegevens hetzij wissen, hetzij aan de Klant teruggeven op diens uitdrukkelijke voorafgaande verzoek, tenzij ST-SCAN krachtens de wet verplicht is deze gegevens te bewaren.
Auditrecht: ST-SCAN stelt de Klant als verwerkingsverantwoordelijke en tegen een redelijke vergoeding alle informatie ter beschikking die nodig is om de naleving van de verplichtingen uit artikel 28 AVG aan te tonen, en maakt audits, waaronder inspecties, door de Klant of een door de Klant gemandateerde auditor mogelijk en draagt daaraan bij, overeenkomstig artikel 28, lid 3, h) AVG en artikel 13.2(g) van de AV.
Bij een datalek: indien zich een inbreuk in verband met persoonsgegevens voordoet met betrekking tot de in dit punt 3.3 bedoelde gegevens, stelt ST-SCAN de Klant hiervan op de hoogte binnen achtenveertig (48) uur na kennisname van de inbreuk, zodat de Klant als verwerkingsverantwoordelijke zijn eigen meldingsverplichtingen binnen de wettelijke termijn van 72 uur kan nakomen.
Aansprakelijkheid en verhaalrecht (artikel 82 AVG): indien een datalek of inbreuk op de AVG in het kader van de in dit punt 3.3 bedoelde verwerkingen te wijten is aan een fout of nalatigheid van ST-SCAN als verwerker, draagt ST-SCAN de kosten van incident response en kennisgeving aan betrokkenen, voor zover deze kosten rechtstreeks voortvloeien uit de aan ST-SCAN toerekenbare fout. De Klant, als verwerkingsverantwoordelijke, beschikt over een uitdrukkelijk verhaalrecht jegens ST-SCAN voor de directe schade die hij geleden heeft wegens een aan ST-SCAN toerekenbare inbreuk op de AVG, conform artikel 82 lid 5 AVG.
ST-SCAN is niet aansprakelijk voor boetes of schadevergoedingen die voortvloeien uit instructies van de Klant als verwerkingsverantwoordelijke, mits ST-SCAN de Klant tijdig heeft geïnformeerd over de strijdigheid van dergelijke instructies met de AVG.
3.4 Audit trail
In het kader van de orderverwerking wordt een verplichte audit trail bijgehouden die onder meer registreert: het tijdstip van de bevestiging, de (itsme®)-verificatie-ID, het IP-adres van de Klant en de versie van de AV en het Privacybeleid die van toepassing waren op het moment van de Bestelling.
Rechtsgrond: gerechtvaardigd belang van ST-SCAN (artikel 6, lid 1, f) AVG) — bewijsvoering en contractuele zekerheid.
Bewaartermijn: 10 jaar, dit is de langste van de volgende toepasselijke termijnen: - De contractuele verjaringstermijn van 10 jaar conform het nieuw Burgerlijk Wetboek voor vorderingen uit overeenkomsten - De AML-bewaarplicht van 10 jaar voor de daarin vervatte verificatiegegevens - De fiscale bewaartermijn van 7 tot 10 jaar voor verantwoordingsstukken.
3.5 Betaalgegevens
Betalingen worden verwerkt door de externe betaalprovider. ST-SCAN ontvangt uitsluitend een betalingsbevestiging en heeft geen toegang tot en bewaart geen andere betaalgegevens.
Bewaartermijn betalingsbevestiging: 7 jaar als boekhoudkundig verantwoordingsstuk, of 10 jaar voor betalingen opeisbaar vanaf 1 januari 2022.
ST-SCAN schakelt voor de uitvoering van haar diensten de subverwerkers vermeld in bijlage 1. Alle subverwerkers zijn contractueel gebonden aan verwerkersovereenkomsten conform artikel 28 AVG en zijn verplicht dezelfde verplichtingen na te komen als ST-SCAN.
Wijzigingen in de lijst van subverwerkers: indien ST-SCAN een nieuwe subverwerker wenst in te schakelen of een bestaande subverwerker wenst te vervangen, stelt ST-SCAN de Klant hiervan voorafgaand op de hoogte. De Klant heeft vanaf deze kennisgeving dertig (30) dagen de tijd om hiertegen schriftelijk en gemotiveerd bezwaar te maken. Indien de Klant tijdig bezwaar maakt, levert ST-SCAN redelijke inspanningen om de dienstverlening zo aan te passen dat de verwerking door de nieuwe subverwerker wordt vermeden. Indien een aanpassing technisch of economisch niet haalbaar is, heeft de Klant het recht de Overeenkomst te beëindigen.
Aansprakelijkheid voor subverwerkers: ST-SCAN blijft ten aanzien van de Klant aansprakelijk voor elke tekortkoming van een subverwerker bij de nakoming van zijn verplichtingen inzake gegevensbescherming.
Doorgifte buiten de EER: alle verwerkingen door ST-SCAN en haar subverwerkers vinden plaats binnen de Europese Economische Ruimte (EER). Mocht een doorgifte van persoonsgegevens naar een land buiten de EER in de toekomst toch noodzakelijk worden, dan gebeurt dit uitsluitend op een geldige grondslag conform hoofdstuk V AVG — hetzij op grond van een adequaatheidsbesluit van de Europese Commissie, hetzij met passende waarborgen zoals de standaardcontractbepalingen (SCC’s) — en, waar vereist, na een voorafgaande doorgifte-effectbeoordeling. ST-SCAN informeert de Klant hierover voorafgaand, overeenkomstig de hierboven beschreven procedure voor wijziging van subverwerkers.
Artikel 5 — Rechten van de betrokkenen
Conform de artikelen 15 tot en met 22 AVG beschikt u over de volgende rechten:
Recht op gegevensoverdraagbaarheid — formaat: bij uitoefening van het recht op gegevensoverdraagbaarheid (artikel 20 AVG) verstrekt ST-SCAN de gegevens in een gestructureerd, gangbaar en machineleesbaar formaat (JSON of CSV), tenzij een ander formaat uitdrukkelijk wordt verzocht en technisch uitvoerbaar is. Dit recht geldt voor zover van toepassing op de gegevens die u ons heeft verstrekt en die wij verwerken op basis van de overeenkomst. Gegevens die wij verwerken op grond van een wettelijke verplichting (identiteitsverificatie/AML) of gerechtvaardigd belang (audit trail) vallen buiten dit recht; het juridisch rapport stellen wij ter beschikking via uw klantenportaal.
Uitoefening van rechten — expliciete kennisgeving: U kunt uw rechten uitoefenen door een aanvraag te richten aan privacy@st-scan.be. Wij behandelen uw verzoek binnen de wettelijke termijn van één maand.
Klachtenprocedure : Indien uw vragen niet worden beantwoord of indien er een conflict ontstaat, heeft U tevens het recht een klacht in te dienen bij de Gegevensbeschermingsautoriteit (GBA): 📍 Drukpersstraat 35, 1000 Brussel 🌐 www.gegevensbeschermingsautoriteit.be
Artikel 6 — Geautomatiseerde besluitvorming en AI
ST-SCAN maakt gebruik van AI-ondersteunde juridische analyse voor de beoordeling, herziening en opstelling van contracten en documenten. De output wordt steeds geverifieerd door een gekwalificeerde jurist en vormt geen volledig geautomatiseerde besluitvorming in de zin van artikel 22 AVG: elke analyse is onderworpen aan menselijke controle.
Informatie over de AI-logica: Voor de juridische inhoudelijke analyse wordt uitsluitend gebruik gemaakt van Belgische gesloten databanken aangestuurd met AI die worden ingezet voor semantische analyse, risico-identificatie en contractuele kwalificatie. Voor de rapportage wordt gebruik gemaakt van een eigen ontworpen template manager interface zonder dat de inhoudelijke gegevens Europa verlaten. Het belang van deze verwerking bestaat in het verhogen van de nauwkeurigheid en consistentie van juridische analyses. De verwachte gevolgen voor betrokkenen zijn beperkt tot de analyse van het door de Klant aangeleverde Document; er worden geen beslissingen met rechtsgevolgen genomen zonder menselijke tussenkomst.
AI Act — gebruiksverantwoordelijke: conform de EU AI-Verordening (Verordening (EU) 2024/1689) treedt ST-SCAN op als gebruiksverantwoordelijke (deployer). ST-SCAN is uitsluitend gebruiker van een door een derde aangeboden AI-systeem en ontwikkelt, vervaardigt of levert zelf geen AI-systeem. ST-SCAN neemt de daartoe vereiste maatregelen inzake AI-geletterdheid (artikel 4 AI Act), transparantie (artikel 50 AI Act) en menselijk toezicht (artikel 26.2 AI Act). Het gebruik van het AI-systeem binnen de dienstverlening valt niet onder de hoog-risico-use-cases van Bijlage III AI Act en wordt dan ook niet als hoog-risico AI-systeem aangemerkt (artikel 6 juncto Bijlage III AI Act). ST-SCAN documenteert deze beoordeling, mede op basis van de informatie van de aanbieder, en houdt ze ter beschikking van de bevoegde autoriteiten.
Artikel 7 — Technische en organisatorische maatregelen (TOM’s)
ST-SCAN en haar subverwerkers nemen passende technische en organisatorische maatregelen conform artikel 32 AVG , waaronder:
Een gedetailleerde beschrijving van de hierboven samengevatte technische en organisatorische maatregelen, met inbegrip van de concrete implementatie per maatregel, is opgenomen in Bijlage 2 bij dit privacybeleid. Bijlage 2 maakt integraal deel uit van dit privacybeleid en wordt periodiek geactualiseerd.
ST-SCAN hanteert als algemene standaard een bewaartermijn van 10 jaar voor alle boekhoudkundige en contractuele documenten. Voor documenten met betrekking tot onroerende bedrijfsmiddelen waarop btw-aftrek werd toegepast, wordt de wettelijke termijn van 15 jaar gerespecteerd.
Artikel 9 — Wijzigingen aan dit privacybeleid
ST-SCAN behoudt zich het recht voor dit privacybeleid te wijzigen om rekening te houden met technologische ontwikkelingen, wetswijzigingen of aanpassingen aan de dienstverlening. De versie die van toepassing was op het moment van uw bestelling is te allen tijde reconstrueerbaar via de verplichte audit trail die ST-SCAN bijhoudt.
De actuele versie is steeds raadpleegbaar op www.st-scan.be/privacybeleid.
Artikel 10 — Gegevensbeschermingseffectbeoordeling (DPIA)
ST-SCAN heeft een gedocumenteerde drempelanalyse uitgevoerd om te beoordelen of een gegevensbeschermingseffectbeoordeling (DPIA) verplicht is conform artikel 35 AVG. Deze analyse toetst de verwerking aan de Belgische lijst van hoog-risicoverwerkingen (Beslissing AS 01/2019), aan artikel 35.3 AVG en aan de criteria van de EDPB-richtsnoeren, en bevat tevens een noodzakelijkheids- en minimalisatietoets. Op basis daarvan besluit ST-SCAN dat de verwerking, gelet op haar aard, omvang, context en doeleinden, geen hoog risico inhoudt voor de rechten en vrijheden van natuurlijke personen, en dat bijgevolg geen verplichte DPIA vereist is.
Deze conclusie steunt mede op het uitgangspunt dat de dienst gericht is op de analyse van documenten en niet op de beoordeling van personen. De AI-analyse verwerkt uitsluitend de inhoud van het aangeleverde Document; de persoonsgegevens die de Klant in het Platform invult (account, contact- en facturatiegegevens) en de wettelijke identiteitsverificatie verlopen gescheiden en maken geen deel uit van de AI-analyse.
Waar de Dienst identificeerbare gegevens vereist, wordt de verwerking tot het noodzakelijke beperkt, is de output geminimaliseerd, en wordt het residuele risico opgevangen door verwerking binnen de EER, een verwerkersovereenkomst (artikel 28 AVG) met de betrokken verwerkers, het achterwege blijven van AI-training op klantdata, en de verplichte validatie en overzicht door een jurist.
Deze beoordeling wordt periodiek herzien, in het bijzonder bij significante wijzigingen aan het Platform, de gebruikte AI-technologie of de subverwerkersketen. Indien de beoordeling aantoont dat de residuele risico's ondanks de genomen maatregelen hoog blijven, raadpleegt ST-SCAN voorafgaand de Gegevensbeschermingsautoriteit conform artikel 36 AVG.
De Klant, als verwerkingsverantwoordelijke voor de persoonsgegevens vervat in de door hem aangeleverde documenten, is zelf verantwoordelijk voor het uitvoeren van een DPIA indien de verwerking van die gegevens in het kader van zijn eigen bedrijfsactiviteiten een hoog risico inhoudt in de zin van artikel 35 AVG. ST-SCAN stelt de Klant op diens verzoek en diens kosten de relevante informatie ter beschikking die noodzakelijk is voor de uitvoering van een dergelijke DPIA door de Klant.
Artikel 11 — Contactgegevens
ST Consult bv / ST-SCAN Boskouterstraat 48 3370 Boutersem België KBO: BE0821.500.324 📧 privacy@st-scan.be
Dit privacybeleid is opgesteld conform Verordening (EU) 2016/679 (AVG), de Belgische wet van 30 juli 2018 betreffende de bescherming van natuurlijke personen met betrekking tot de verwerking van persoonsgegevens, en de wet van 18 september 2017 tot voorkoming van het witwassen van geld en de financiering van terrorisme.
|
Subverwerker |
Rol |
Vestiging |
Data buiten EER? |
|
Okappi |
Ontwikkelaar en technisch beheerder van het ST-SCAN
platform |
België |
NEEN |
|
Level 27 |
Hosting van de website en het platform |
België |
NEEN |
|
E-ID Easy |
Technische provider voor identiteitsverificatie via
eIDAS High |
Estland |
NEEN |
|
Wolters Kluwer Belgium NV |
AI-geassisteerde juridische analyse via Libra AI —
verificatie door gekwalificeerde jurist |
België |
NEEN |
|
Libra Technology GmbH |
Levering van het AI-platform Libra AI |
Duitsland |
NEEN |
|
Amazon
Web Services EMEA SARL |
Cloud-infrastructuur voor AI-aansturing via AWS
Bedrock EU (regio eu-central-1, Frankfurt) |
Luxemburg |
NEEN |
|
Anthropic / Claude |
Onderliggend AI-taalmodel — aangestuurd uitsluitend
via AWS Bedrock EU; data gaat niet naar Anthropic US-servers |
Via AWS EU |
NEEN |
Geen doorgifte buiten de EER: alle verwerkingen vinden plaats binnen de Europese Economische Ruimte. De AI-aansturing via AWS Bedrock is uitdrukkelijk geconfigureerd op de EU-regio eu-central-1 (Frankfurt), waardoor EU-dataresidentie gegarandeerd is conform artikel 44-46 AVG .
Onafhankelijke verwerkingsverantwoordelijken. Deze partijen verwerken persoonsgegevens voor eigen doeleinden en eigen wettelijke verplichtingen, en zijn geen subverwerkers van ST-SCAN:
Mollie BV — betalingsverkeer — Nederland — geen doorgifte buiten de EER. Mollie bepaalt als vergunde betaalinstelling zelf doel en middelen van de verwerking van betaalgegevens en treedt daarvoor op als zelfstandige verwerkingsverantwoordelijke.
Belgisch Mobile ID nv / itsme® : Identiteitsverificatie via itsme® - België — geen doorgifte buiten de EER
Bijlage 2 - Technische en organisatorische maatregelen (TOM'S)
Deze bijlage geeft een gedetailleerde beschrijving van de technische en organisatorische maatregelen die ST-SCAN en haar subverwerkers nemen conform artikel 32 AVG. Zij vormt een aanvulling op punt 7 van het privacybeleid en maakt er integraal deel van uit.
| Nr | Categorie | Vereiste / toelichting | Concrete implementatie bij ST-SCAN | Status / laatst herzien |
|---|---|---|---|---|
| 1 | Toegangsbeleid & authenticatie | Beheer van toegangsrechten, sterke wachtwoorden, meervoudige authenticatie (MFA), rolgebaseerde toegang (RBAC) en het principe van minimale rechten. | Login via Laravel Breeze; rate limiting op login (5 pogingen/e-mail+IP, throttled), bestelformulier en eIDeasy-flow. Echte 2FA (TOTP, pragmarx/google2fa) met QR-setup en "onthoud dit toestel"-cookie (7 dagen, secure/httpOnly/sameSite). RBAC via eenvoudige role-kolom (user/admin/jurist) afgedwongen via middleware + query-scoping (user_id, assigned_to). Wachtwoorden bcrypt (rounds=12). | Actief, 17/07/2026 |
| 2 | Versleuteling | Versleuteling van gegevens in rust en tijdens overdracht (HTTPS/TLS, SFTP); beheer van encryptiesleutels. | Wachtwoorden gehasht (bcrypt). eIDeasy-identiteitsgegevens versleuteld in DB (Laravel encrypted cast + retroactieve migratie). 2FA-cookie secure/httpOnly. | Actief, 17/07/2026 |
| 3 | Pseudonomisering & dataminimalisatie | Beperking van de verwerkte gegevens tot het strikt noodzakelijke; pseudonimisering waar technisch mogelijk. | Verzamelde gegevens beperkt tot naam, bedrijfsnaam, e-mail, telefoon, adres, btw-nummer en dossier-specifieke tekst; geen rijksregisternummer aangetroffen. Enkele velden optioneel (telefoon, btw-nummer bij bepaalde stappen). | Actief, 17/07/2026 |
| 4 | Datascheiding (multi-tenant) | Logische scheiding van klantgegevens via tenant-architectuur. | Geen multi-tenant architectuur (geen tenant_id); single-tenant SaaS. Scheiding gebeurt op applicatieniveau via user_id (klant) en assigned_to (jurist) in elke query. | Actief, 17/07/2026 |
| 5 | Vertrouwelijkheid | Geheimhoudingsverplichtingen voor personeel en subverwerkers; clean desk / clear screen-beleid. | Geheimhoudingsbeding in de overeenkomst met elke medewerker en met elke jurist die dossiers valideert (1 jurist bij opstart, uit te breiden naar 3 juristen). Met elke subverwerker uit Bijlage 1 is een verwerkersovereenkomst gesloten die dezelfde geheimhoudingsplicht doorlegt (art. 28, lid 4 AVG). Dossiertoegang is beperkt tot de toegewezen jurist via assigned_to; adminrechten zijn beperkt tot 1 persoon. Clean desk / clear screen-beleid. | Actief, 17/07/2026 |
| 6 | Integriteit | Bescherming tegen ongeoorloofde of onbedoelde wijziging; versiebeheer en controlemechanismen. | spatie/laravel-activitylog v5 actief op User- en Order-model (logt enkel gewijzigde velden: rol, status, portal_status, etc.). Admin-scherm met overzicht van activiteitenlog (wie/wat/wanneer). Verder is er versiebeheer via GIT en is toegang tot codebase beperkt tot de ontwikkelaar. | Actief, 17/07/2026 |
| 7 | Beschikbaarheid & veerkracht | Back-upbeleid, redundantie, herstelpunt- en hersteltijddoelstellingen (RPO/RTO), bedrijfscontinuïteit. | Level27 vorziet standaard dagelijkse back-ups van elke website. Dezer back-ups worden automatisch aangemaakt en opgeslagen voor minimaal 30 dagen op een offsite locatie (Merelbeke). Back-ups kunnen via het beheerspaneel van de administrator autonoom teruggezet worden. | Actief, 17/07/2026 |
| 8 | Herstelvermogen na incident | Procedures om tijdig toegang tot gegevens te herstellen na een fysiek of technisch incident (art. 32(1)(c) AVG). | Er zijn geen strikte RPO- of RTO-garanties gekoppeld aan back-ups. | Actief, 17/07/2026 |
| 9 | Logging & monitoring (audit trail) | Registratie van invoer, wijzigingen, verwijderingen en toegang; bewaartermijn van logs; detectie van anomalieën. | Activity-log voor kernmodellen (zie punt 6). Rate limiting detecteert/beperkt misbruikpatronen op login/bestelformulier/eIDeasy. | Actief, 17/07/2026 |
| 10 | Fysieke & infrastructuurbeveiliging | Beveiliging van datacenter/hosting (Level27, AWS eu-central-1, Frankfurt); toegangscontrole tot fysieke locaties. | Alle gebruikte providers hebben minimaal een ISO9001 en ISO27001 certificatie en voldoen aan de hoogste veiligheidsstandaarden. | Actief, 17/07/2026 |
| 11 | Beheer van subverwerkers | Verwerkingsovereenkomsten, audit en opvolging. | Alle subverwerkers, opgesomd met rol, vestiging en EER-status staan in Bijlage 1. Met elk is een verwerkersovereenkomst conform art. 28, lid 4 AVG gesloten waarin dezelfde verplichtingen worden doorgelegd. Toevoeging of vervanging wordt voorafgaand aan de Klant gemeld, met een bezwaartermijn van dertig dagen (art. 8 DPA). Geen doorgifte buiten de EER: de AI-aansturing is vastgezet op AWS Bedrock, regio eu-central-1 (Frankfurt), en er wordt geen AI-training op klantdata toegestaan. Jaarlijkse controle van de verwerkersovereenkomsten en certificeringen door de Privacy Officer. | Actief, 17/07/2026 |
| 12 | Bewaring & vernietiging | Automatische verwijdering na het verstrijken van het verwerkingsdoel of de wettelijke termijn; veilige vernietiging. | Klantdocumenten (als verwerker): definitief verwijderd zodra de Klant ze uit zijn klantenportaal verwijdert, en uiterlijk bij beëindiging van de Hoofdovereenkomst (art. 11 DPA). Eigen administratie en facturatie (als verwerkingsverantwoordelijke): 10 jaar; 15 jaar voor onroerende bedrijfsmiddelen met btw-aftrek (art. 8 privacybeleid). Identiteitsgegevens via eIDeasy/itsme: 10 jaar na het einde van de relatie (wet 18 september 2017). Activity-log: 10 jaar Back-ups: rollend venster van [x]; verwijderde gegevens verdwijnen uiterlijk na [x] uit de back-upcyclus. | Actief, 17/07/2026 |
| 13 | Opleiding & bewustwording | AI-geletterdheid (art. 4 AI Act) en gegevensbeschermingsopleiding van personeel. | ST-SCAN treedt op als gebruiksverantwoordelijke (deployer) onder Verordening (EU) 2024/1689; de gedocumenteerde beoordeling dat de dienst geen hoog-risico-use-case is (art. 6 juncto Bijlage III), wordt bijgehouden door de Privacy Officer — zie artikel 6 van het privacybeleid. AI-geletterdheid (art. 4 AI Act): training voorzien in geval van aanwerving van personeel. Transparantie (art. 50 AI Act): vermelding van AI-gebruik in portaal en rapport — van toepassing vanaf 02/08/2026. Menselijk toezicht: elke AI-output wordt vóór levering gevalideerd door een gekwalificeerde jurist. Gegevensbeschermingsopleiding: voortdurende bijscholing. | |
| 14 | Incident- & datalekbeheer | Detectie-, escalatie- en meldingsprocedure; kennisgeving aan de Klant binnen 48 uur; registratie van incidenten. | Detectie via rate limiting op login, bestelformulier en eIDeasy-flow, via het activity-log, en via melding door een subverwerker of de Klant. Kennisname wordt geregistreerd op het tijdstip van ontvangst op privacy@st-scan.be; escalatie naar de Privacy Officer. Kennisgeving aan de Klant zonder onredelijke vertraging en uiterlijk binnen achtenveertig uur na kennisname, met de informatie die hij nodig heeft om zijn eigen melding binnen de wettelijke 72 uur te doen (art. 9 DPA). Elk datalek wordt opgenomen in een intern incidentenregister conform art. 33, lid 5 AVG, ook wanneer geen melding vereist is. | |
| 15 | Periodieke evaluatie & testing | Periodieke evaluatie van de doeltreffendheid van de maatregelen (art. 32(1)(d) AVG); penetratietests en kwetsbaarheidsscans. | Jaarlijkse herziening van deze bijlage door de Privacy Officer. De DPIA-drempelanalyse wordt herzien bij elke significante wijziging aan het platform, de AI-technologie of de subverwerkersketen (art. 10 privacybeleid). Constante opvolging en monitoring van kwetsbaarheden aan het platform. |