Beveiliging & privacy

Laatst bijgewerkt: april 2026

Odzy is een tool die wordt gebruikt door verkopers en sales-teams om hun deals te analyseren. We verwerken potentieel gevoelige gegevens: klantinteracties, callnotities, CRM-inhoud. Deze pagina documenteert precies hoe we je gegevens behandelen — waar ze worden opgeslagen, wie er toegang toe heeft en welke verbintenissen we aangaan.

EU-hosting AVG-conform SOC 2 gecertificeerde stack OAuth alleen-lezen

1. Waar je gegevens worden opgeslagen

Al je gestructureerde gegevens (account, profiel, geanalyseerde deals, debriefings, playbook) worden opgeslagen bij Supabase, op hun PostgreSQL-instances gehost door Amazon Web Services in Ierland (eu-west-1). Deze servers staan fysiek in Dublin en vallen onder de jurisdictie van de Europese Unie.

De Odzy-webapplicatie wordt geserveerd door Vercel vanuit hun Europese servers. Geen enkel gestructureerd gegeven verlaat de Europese Unie voor opslag.

Kortom: je profiel, analyses, debriefings en CRM-tokens blijven in Ierland. Ze worden niet buiten de EU gerepliceerd.

2. Wat precies wordt opgeslagen

Hier is de volledige en uitputtende lijst van wat onze database bevat:

Soort gegeven	Detail
Account	E-mail, voornaam, wachtwoord (onomkeerbaar gehasht via Supabase Auth)
Verkoopprofiel	Verkocht product, sector, ICP, gemiddelde dealgrootte, verkoopcyclus, methodologie
Geanalyseerde deals	Bedrijf, contact, bedrag, fase en het AI-analyseresultaat (samenvatting, closing rate, advies, gedetecteerde bezwaren)
Post-call debriefings	Debriefingsnotities die je zelf na je calls schrijft
CRM-integratietokens	HubSpot OAuth-tokens (access + refresh), versleuteld in rust door Supabase
Credits	Saldo van resterende analyse-credits

Wat NIET wordt opgeslagen

Geen ruwe e-mail uit je CRM
Geen call-transcript
Geen ruwe HubSpot-, Salesforce- of LinkedIn-notitie
Geen informatie over je andere niet-geanalyseerde deals of contacten
Geen bankkaartnummer (betalingen verwerkt door onze dedicated provider)

Tijdens een analyse lezen we op verzoek de informatie van het betreffende contact in je CRM, gebruiken we die meteen om de AI-prompt op te bouwen, en bewaren we deze niet. We bewaren het resultaat van de analyse, niet het ruwe materiaal dat is gebruikt om het te produceren.

3. Wie heeft toegang tot je gegevens

Jij, en alleen jij

Je gegevens zijn strikt geïsoleerd op basis van je gebruikers-ID via Supabase Row Level Security policies. Geen enkele andere Odzy-gebruiker heeft toegang tot je analyses.

Het Odzy-team (admin)

De Odzy-beheerder heeft technisch toegang tot de database voor support en onderhoud. Schriftelijke belofte: geen consultatie zonder je expliciete verzoek.

Onze technische sub-verwerkers

Supabase, Vercel, Anthropic en HubSpot binnen hun respectieve scopes, geregeld door hun eigen compliance (zie sectie 4).

Niemand anders

Geen verkoop van gegevens. Geen tracking-cookies van derden voor marketing. Geen analytics-tool die de inhoud van je deals ziet.

4. Technische sub-verwerkers en hun certificeringen

Odzy steunt uitsluitend op gecertificeerde, AVG-conforme cloudinfrastructuur. Hier is de volledige lijst van onze sub-verwerkers:

Sub-verwerker	Rol	Locatie	Certificeringen
Supabase	Database en authenticatie	Ierland (EU)	SOC 2 Type II, HIPAA, AVG
Amazon Web Services	Fysieke infrastructuur voor Supabase	Ierland (eu-west-1)	ISO 27001, ISO 27017, ISO 27018, SOC 1/2/3
Vercel	Hosting van de webapp	Frankfurt (EU)	SOC 2 Type II, AVG
Anthropic	AI-inferentie (Claude-model)	Verenigde Staten	SOC 2 Type II, AVG via SCC
HubSpot	Bron-CRM (OAuth alleen-lezen)	EU / VS (afhankelijk van je account)	SOC 2 Type II, ISO 27001, AVG

5. De uitzondering: AI-inferentie en transfer buiten de EU

Laten we transparant zijn over het enige punt dat de Europese Unie verlaat. Wanneer je een analyse start, wordt de volgende inhoud verzonden naar Anthropic (maker van het Claude-model) op hun servers in de Verenigde Staten:

De informatie van de huidige deal (bedrijf, contact, bedrag, fase)
Je verkoop-playbook
De CRM-context geëxtraheerd voor deze specifieke analyse (notities, e-mails, calls, meetings van het betreffende contact)
Je Odzy-debriefings gekoppeld aan deze deal

Deze transfer wordt geregeld door de Standaard Contractuele Bepalingen (SCC) goedgekeurd door de Europese Commissie in 2021, die het officiële juridische kader vormen voor EU → VS-transfers sinds de ongeldigverklaring van het Privacy Shield. Dit is hetzelfde mechanisme dat wordt gebruikt door OpenAI, Notion, Slack, Linear, GitHub en de overgrote meerderheid van moderne SaaS-tools.

Volgens de commerciële API-gebruiksvoorwaarden van Anthropic:

Geen verzonden gegevens worden gebruikt om Claude-modellen te trainen
Geen opslag van gegevens buiten de verwerking van het verzoek
Maximale bewaartermijn voor beveiligingsaudit: 30 dagen, daarna automatische verwijdering

6. Beveiliging van de HubSpot-integratie

Wanneer je je HubSpot-account verbindt met Odzy, gebeurt het volgende exact:

Verbinding via standaard OAuth 2.0, je geeft expliciet je toestemming scope per scope
De gevraagde scopes zijn strikt alleen-lezen: Odzy kan niets in je HubSpot wijzigen
Ontvangen tokens worden in rust versleuteld in onze Supabase-database
Je kunt de verbinding op elk moment intrekken, hetzij vanuit Odzy, hetzij rechtstreeks vanuit je HubSpot
Tijdens een analyse lezen we alleen de gegevens van het betreffende contact en deal — niet je hele CRM

Lijst van gevraagde HubSpot-scopes:

crm.objects.contacts.read — contacten lezen
crm.objects.companies.read — bedrijven lezen
crm.objects.deals.read — deals lezen
crm.objects.owners.read — deal-eigenaars lezen
sales-email-read — gelogde e-mails lezen
timeline — toegang tot engagement-timeline
conversations.read — conversaties lezen

7. Je AVG-rechten

Volgens de Algemene Verordening Gegevensbescherming (EU 2016/679) heb je de volgende rechten op je persoonsgegevens:

Recht op inzage: een volledige kopie van je gegevens verkrijgen
Recht op rectificatie: onjuiste gegevens corrigeren
Recht op wissing: definitief je account en al je gegevens verwijderen
Recht op overdraagbaarheid: je gegevens in een gestructureerd formaat ontvangen
Recht van bezwaar: bepaalde verwerkingen weigeren
Recht op beperking: bepaalde verwerkingen tijdelijk beperken
Recht om klacht in te dienen bij de lokale gegevensbeschermingsautoriteit

Om een van deze rechten uit te oefenen, schrijf naar hello@revlineapp.io. We verbinden ons ertoe binnen maximaal 30 dagen te reageren.

8. Onze aanpak van certificeringen

Odzy bevindt zich momenteel in de fase van eerste gebruikerstests. Zoals de meeste SaaS-tools in dit stadium (Lemlist, Resend, Cal.com en vele anderen deden dit vóór ons), hebben we nog niet onze eigen formele certificeringen zoals SOC 2 of ISO 27001 verkregen. Onze technische stack bestaat echter al uitsluitend uit gecertificeerde infrastructuur, wat een hoog niveau van feitelijke beveiliging garandeert.

Voor kopers die een sterker contractueel kader nodig hebben (NDA, bilaterale DPA, beveiligingsvragenlijst), neem contact op met hello@revlineapp.io — we reageren meestal binnen 48u.

9. Een incident melden of een vraag stellen

Voor elke vraag over beveiliging of privacy, of om een incident of kwetsbaarheid te melden, neem rechtstreeks contact op via hello@revlineapp.io.

Voor B2B-kopers die een bilaterale Data Processing Agreement (DPA) nodig hebben, of een beveiligingsvragenlijst willen invullen, schrijf ons op hetzelfde adres — we reageren meestal binnen 48u.

Deze pagina wordt bijgewerkt bij elke significante wijziging van onze infrastructuur of praktijken. Voor het formele privacybeleid, raadpleeg ons Privacybeleid.