Trust Center
Vertrouwen, uitgelegd
Jouw data staat in jouw eigen Odoo-omgeving. Wij hosten die niet, wij trainen nergens op en bij jouw persoonsgegevens gebeurt met AI niets zonder jouw akkoord. Newway is de enige Odoo-partner met zowel ISO 27001 als NEN 7510. Hier lees je wat dat in de praktijk betekent, zonder jargon.
ISO 27001NEN 7510AVG
Drie principes
Jouw data blijft jouw data
De omgeving is van jou, de inhoud is van jou. Wij werken erin op basis van een verwerkersovereenkomst.
AI kan nooit meer dan de mens die hem gebruikt
Onze AI werkt in jouw Odoo met de rechten van onze medewerker, niet met eigen rechten. Hoe dieper we in je systeem gaan, hoe strenger de regels.
Aantoonbaar, niet alleen beloofd
Certificeringen, jaarlijkse audits, een getekend AI-addendum en vastgelegde afspraken. Vraag onze documenten op en controleer het zelf.
Certificeringen
- ISO 27001: informatiebeveiliging, jaarlijks extern getoetst door TÜV NORD
- NEN 7510: informatiebeveiliging in de zorg, jaarlijks extern getoetst door TÜV NORD
- AVG: verwerkersovereenkomst standaard, openbare subverwerkerslijst, AI-addendum
- ISO 42001 (AI-managementsysteem): in voorbereiding op certificering, verwacht in 2027
AI en jouw data
Onze AI kan in jouw Odoo nooit meer dan de medewerker die hem gebruikt. Hoe dieper we in je systeem gaan, hoe strenger de regels en hoe meer onze technische afdeling meekijkt.
Drie manieren waarop we AI inzetten
| Wat | Hoe | Waarborg |
|---|---|---|
| Vragen stellen en opzoeken | Een medewerker raadpleegt jouw Odoo met AI via een beveiligde koppeling (MCP) | De koppeling werkt met de persoonlijke gebruiker en de rechten van die medewerker. Wat die niet mag, mag de AI ook niet. |
| Maken en ontwikkelen | Maatwerk bouwen we met AI op een ontwikkelomgeving | Zonder echte persoonsgegevens. Niets gaat live zonder beoordeling door een mens en ons test- en releaseproces. |
| Technische analyse | Diep in code, logs of database kijken | Alleen op aanvraag, onder toezicht van onze technische afdeling, bij voorkeur op een testomgeving. Op je live-omgeving wordt daarbij niets gewijzigd. |
Wordt data uit de ene analyse voor iets anders gebruikt?
Nee. Er is geen centrale AI-kennisbank waarin klantdata meegroeit. Omgevingen van verschillende klanten zijn technisch van elkaar gescheiden, met eigen sleutels en eigen projectmappen. Onze AI-leveranciers trainen niet op jouw data; dat is contractueel vastgelegd.
Welke AI gebruiken we?
Vooral Claude (Anthropic), incidenteel GPT (OpenAI), en voor beslissingen in workflows mogelijk Jev (TypeSafe AI), alleen per project en na jouw akkoord. Altijd via zakelijke accounts met een verwerkersovereenkomst.
Wat gaat nooit door AI?
- Gezondheidsgegevens en andere bijzondere persoonsgegevens, tenzij we dat per geval schriftelijk met je afspreken.
- Echte persoonsgegevens in ontwikkel- en testwerk. We bouwen en testen met verzonnen of geanonimiseerde data.
Jij kiest
In het AI-addendum bij onze verwerkersovereenkomst kies je: akkoord, akkoord zonder persoonsgegevens, of geen AI. Wil je zelf ook met AI in je Odoo werken, dan richten we dat in met de rechten die je mensen al hebben.
Beveiliging
Concrete maatregelen, gegroepeerd zoals jij ernaar zoekt. Elke zin is te herleiden tot ons gecertificeerde managementsysteem; de details delen we op aanvraag.
Jouw omgeving en toegang
- Toegang op basis van rollen en een autorisatiematrix, periodiek gereviewd
- Elke medewerker een eigen account, geen gedeelde wachtwoorden, wachtwoordmanager en MFA verplicht
- Per klantproject eigen sleutels; een sleutel van het ene project past niet op het andere
- Toegang wordt ingetrokken als iemand uit dienst of van het project gaat
Data
- Versleuteld onderweg (TLS 1.2 of hoger) en op onze werkplekken (schijfversleuteling verplicht)
- Classificatie van informatie bepaalt wat waar mag
- Bewaartermijnen vastgelegd; data wordt verwijderd als de termijn of de samenwerking eindigt
- Ontwikkelen en testen zonder echte persoonsgegevens
AI
- AI werkt met de rechten van de medewerker, nooit met eigen of bredere rechten
- Maken gebeurt op een ontwikkelomgeving; naar live pas na beoordeling door een mens
- Diepe technische analyse alleen op aanvraag en onder toezicht van onze technische afdeling
- Leveranciers contractueel gebonden: geen training op jouw data
- Jouw keuze vastgelegd in een getekend AI-addendum
Organisatie
- Jaarlijkse externe audits op ISO 27001 en NEN 7510
- Interne audits en management reviews volgens vaste cyclus
- Incidentproces met afweging van de meldplicht binnen 72 uur en melding aan jou volgens de verwerkersovereenkomst
- Continuïteitsplannen, periodiek getest
- Leveranciers beoordeeld vóór ingebruikname en periodiek opnieuw
- Medewerkers getraind in veilig werken en in veilig AI-gebruik
Waar je data staat
Jouw Odoo draait in België en alles wat wij zelf hosten draait in Amsterdam. Alleen het AI-model en de meetingverslagen draaien in de Verenigde Staten.
Per systeem: wat het doet, waar de data staat, wie het beheert en waar je de beveiliging zelf kunt nakijken.
| Systeem | Wat het doet | Locatie | Beheerd door | Beveiliging en vertrouwen |
|---|---|---|---|---|
| Jouw Odoo | Jouw ERP: verkoop, voorraad, inkoop, financiën en alles wat je verder in Odoo doet. Onze AI leest het via de MCP-koppeling, met de rechten van de medewerker die hem gebruikt. Er wordt niets uit gekopieerd naar een andere plek, tenzij iemand het opschrijft. | Odoo.sh op Google Cloud, België (EU) | Odoo S.A., onder jouw eigen contract | Odoo-beveiliging, Odoo Cloud SLA, Google Cloud Trust Center |
| Tweede brein (kennisbank) | Een gedeelde verzameling platte-tekstnotities over hoe jouw organisatie werkt: processen, besluiten, systemen en afspraken. Het geeft de AI de juiste context, zodat antwoorden bij jouw situatie passen. De sync-server houdt de notities van iedereen gelijk en bepaalt wie welke map mag zien. | baalda.newway.nl, Amsterdam, Nederland | Newway, op onze eigen server | Baalda-beveiliging (de software), TransIP-certificeringen (het datacenter) |
| Bijlagen in het tweede brein | Afbeeldingen, pdf's en Office-bestanden die bij de notities horen. Opgeslagen in onze eigen S3-objectopslag, met een eigen bucket en sleutel per toepassing. | s3.newway.nl, Amsterdam, Nederland (dezelfde server) | Newway | Garage (de open-source opslagsoftware), TransIP-certificeringen |
| Proces-navigator | De interactieve kaart van jouw processen uit onze analyse. Elke klant heeft een eigen adres en toegangscode. | navigator.newway.nl, Amsterdam, Nederland (dezelfde server) | Newway | TransIP-certificeringen |
| Change requests | Waar jouw change requests worden uitgewerkt, van intake tot functioneel ontwerp en jouw akkoord. | requirements.newway.nl, Amsterdam, Nederland (dezelfde server) | Newway | TransIP-certificeringen |
| AI-model | Claude leest de vraag en de context die de medewerker heeft gekozen, en schrijft het antwoord. Prompts gaan rechtstreeks vanaf de werkplek; Newway zit er niet tussen en houdt geen log bij. Er wordt niet op getraind. | Verenigde Staten | Anthropic, zakelijk account | Anthropic Trust Center |
| Meetingverslagen | Neemt de meetings waar Newway bij is op en schrijft ze uit, zodat we nauwkeurige verslagen kunnen maken. Alleen wat iemand in een notitie zet, komt in het tweede brein. | Verenigde Staten (opslag op AWS, verwerking op Google Cloud) | Fireflies | Fireflies Trust Center, Fireflies over dataopslag |
Het tweede brein is op de server niet end-to-end versleuteld. Toegang staat per map ingesteld, en wie geen toegang heeft, krijgt de bestanden nooit binnen. Daarom gaan gezondheidsgegevens en andere bijzondere persoonsgegevens er nooit in.
Subverwerkers en documenten
Partijen die in onze opdracht gegevens kunnen verwerken. Een nieuwe AI-partij melden we minstens dertig dagen vooraf, zodat je bezwaar kunt maken.
| Subverwerker | Land | Doel | Waarborgen | Trust center |
|---|---|---|---|---|
| Anthropic (Claude) | VS, met Europese entiteit | AI-model voor vragen, analyse en ontwikkelwerk | Zakelijk abonnement, verwerkersovereenkomst, geen training op klantdata, doorgifte op basis van DPF of SCC's | trust.anthropic.com |
| OpenAI (GPT) | VS, met Europese entiteit | AI-model, incidenteel naast Claude | Idem | trust.openai.com |
| TypeSafe AI (Jev) | VS | Beslissingen in workflows en koppelingen | Pas na getekende verwerkersovereenkomst met SCC's of DPF, per project met jouw akkoord | Geen openbaar trust center; documenten op aanvraag via typesafe.ai |
| Fireflies | VS | Opnemen en uitschrijven van de meetings waar Newway bij is, voor nauwkeurige verslagen | Zakelijk account; opslag op AWS en verwerking op Google Cloud, beide in de VS | trust.fireflies.ai |
| TransIP | Nederland | Hosting van onze eigen server voor het tweede brein, bijlagen, navigator en change requests | Datacenter in Amsterdam; de server wordt door Newway beheerd en elke maand gecontroleerd | TransIP-certificeringen |
Jouw Odoo-omgeving draait op Odoo.sh onder jouw eigen overeenkomst met Odoo; die staat daarom niet in deze lijst.
Documenten op aanvraag
- Verwerkersovereenkomst en AI-addendum
- Certificaten ISO 27001 en NEN 7510
- AI-beleid: samenvatting voor klanten
Aanvragen via security@newway.nl, zo nodig onder geheimhouding.
Verwerkersovereenkomst en AI-addendum
Met een kort AI-addendum bij onze verwerkersovereenkomst leg je vast hoe wij AI inzetten bij jouw gegevens en wat jij kiest. Je tekent het digitaal via het klantportaal.
Wat erin staat
- De drie manieren waarop we AI inzetten, met de waarborgen per manier
- Welke AI-partijen erbij betrokken zijn, en dat we een nieuwe partij minstens dertig dagen vooraf melden
- Onder welke grondslag gegevens naar de VS gaan (EU-VS Data Privacy Framework of standaardcontractbepalingen)
- Dat we ontwikkelen en testen zonder echte persoonsgegevens
- Hoe we een AI-koppeling voor jouw eigen medewerkers inrichten, als je dat wilt
Jouw keuze
- Akkoord
- Akkoord zonder persoonsgegevens
- Geen AI
- Zelf ook met AI werken: een koppeling voor je eigen power users
Veelgestelde vragen
AI en data
Kan de AI van Newway zomaar in onze omgeving?
Nee. De AI werkt met de gebruiker en de rechten van onze medewerker, en bij jouw persoonsgegevens alleen als je dat in het AI-addendum hebt toegestaan.
Wordt onze data gebruikt om AI-modellen te trainen?
Nee. Onze contracten met de AI-aanbieders sluiten training op klantdata uit.
Kan AI bij data van andere klanten komen?
Nee. Elke klant heeft eigen sleutels en een eigen afgeschermde projectomgeving.
Testen jullie met echte persoonsgegevens?
Nee. We ontwikkelen en testen met verzonnen of geanonimiseerde data.
Kunnen we AI-gebruik weigeren?
Ja, altijd. Kies in het AI-addendum voor geen AI, of voor AI zonder persoonsgegevens.
Wijzigt AI iets in onze live-omgeving?
Alleen binnen de rechten van de medewerker die hem gebruikt, net als die medewerker zelf. Maatwerk gaat altijd via een ontwikkelomgeving, beoordeling door een mens en ons releaseproces. Bij diepe technische analyse wordt op je live-omgeving niets gewijzigd.
Kunnen onze eigen medewerkers ook met AI in Odoo werken?
Ja. We richten een koppeling in voor je power users, met de rechten die ze al hebben, en adviseren over veilig gebruik.
Compliance
Welke certificeringen heeft Newway?
ISO 27001 en NEN 7510, beide jaarlijks extern getoetst door TÜV NORD. We zijn de enige Odoo-partner met beide. ISO 42001 voor ons AI-managementsysteem is in voorbereiding, met certificering verwacht in 2027.
Hoe zit het met de AVG?
Verwerkersovereenkomst standaard, AI-addendum, openbare subverwerkerslijst en een meldproces voor datalekken.
Voldoet Newway aan de EU AI Act?
We voeren een AI-geletterdheidsprogramma (artikel 4) en ons AI-beleid regelt transparantie en menselijke controle. We bereiden certificering volgens ISO 42001 voor, verwacht in 2027.
Waar staat onze data?
In jouw eigen Odoo-omgeving op Odoo.sh (Google Cloud, België), onder jouw contract met Odoo. Beheren we een tweede brein voor je, dan staat dat op onze eigen server in Amsterdam. Zie waar je data staat.
Werkwijze
Wie kan er bij onze omgeving?
Alleen medewerkers die op jouw project werken, volgens een autorisatiematrix.
Wat gebeurt er bij een incident?
Onderzoeken, beperken, jou informeren volgens de verwerkersovereenkomst en bij een datalek de afweging voor de toezichthouder binnen 72 uur.
Vragen over beveiliging of privacy? Mail security@newway.nl. Je krijgt antwoord van een mens.
