Juridisch
Privacyverklaring
Dit is een concept, nog niet nagelezen door een jurist
Deze tekst beschrijft zo nauwkeurig mogelijk wat Nermio feitelijk doet met gegevens, zodat een jurist iets heeft om op te bouwen. Hij is niet rechtsgeldig en niet bedoeld om je op te beroepen. Waar een keuze gemaakt moet worden, staat een gemarkeerde plaatshouder met de vraag erbij in plaats van een verzonnen clausule.
Concept van 4 november 2026. Zolang deze status geldt, staat de pagina wel in de voettekst maar niet in de sitemap, en vraagt hij zoekmachines hem niet op te nemen. Heb je nu een privacyverklaring nodig, vraag die dan op via info@nermio.com.
Nermio is sales-software voor het MKB. Hieronder staat welke gegevens we vastleggen als je de site bezoekt of de software gebruikt, waar die gegevens staan, wie erbij kan en wat je ermee kunt.
Artikel 1. Wie wij zijn en hoe je ons bereikt
Nog te bepalen door een jurist
Welke rechtspersoon is de verwerkingsverantwoordelijke, en met welk KvK-nummer, vestigingsadres en btw-nummer?
Nermio wordt gebouwd door Rami Ajjan; welke entiteit de dienst aanbiedt en factureert is nog niet vastgelegd. Dit moet hier met naam, rechtsvorm, nummer en adres staan voordat de pagina live kan. Hetzelfde gat staat in de algemene voorwaarden en in de verwerkersovereenkomst; het is één vraag met één antwoord.
Voor alles wat met je gegevens te maken heeft, inzage, correctie, verwijdering, of een vraag over deze verklaring, mail je naar info@nermio.com. We hebben geen functionaris gegevensbescherming; die is voor een bedrijf van deze omvang en met dit soort gegevens niet verplicht.
Artikel 2. Over wie en wat deze verklaring gaat
Deze verklaring gaat over bezoekers van nermio.com, mensen die een gesprek aanvragen of ons mailen, mensen die we voor Nermio zakelijk benaderen, en gebruikers van een Nermio-account.
Eén onderscheid bepaalt de rest van de tekst, dus het staat vooraan. Nermio gaat op twee manieren met persoonsgegevens om.
- Je eigen account en abonnement. Je naam, je e-mailadres, de organisatie die je hebt aangemaakt en wat je bij ons afneemt. Hier bepaalt Nermio zelf wat er met die gegevens gebeurt, en geldt deze verklaring.
- Wat jij in Nermio zet. Je bedrijven, contactpersonen, deals, taken en notities. Dat zijn jouw gegevens over jouw relaties; jij bepaalt wat je vastlegt en waarom, en Nermio verwerkt ze alleen om de software te laten werken. Daarvoor geldt niet deze verklaring maar de verwerkersovereenkomst.
Artikel 3. Welke gegevens we verwerken, waarom en op welke grond
| Wat | Welke gegevens | Waarom | Grondslag |
|---|---|---|---|
| Je account | Naam, e-mailadres, de rol die je in een organisatie hebt, en de registratie van je authenticator. Je wachtwoord staat niet bij ons: dat gaat versleuteld naar onze authenticatiedienst en is daarna door niemand uit te lezen, ook niet door ons. | Om je een account te geven en je te laten inloggen | Uitvoering van de overeenkomst |
| Je organisatie en je abonnement | Naam van de organisatie, de status (bijvoorbeeld proefperiode of actief), de einddatum van de proefperiode, wie er lid van is, en de uitnodigingen die je verstuurt met het e-mailadres, de rol en het moment waarop ze zijn gebruikt. | Om je organisatie en je abonnement te beheren en je te kunnen mailen over je account | Uitvoering van de overeenkomst |
| Wat je zelf in Nermio zet | Bedrijven, contactpersonen (naam, functie, telefoonnummer, e-mailadres), deals met een waarde en een fase, taken met een datum, activiteiten en vrije notities. | Om de software te laten werken: jouw gegevens tonen, bewaren en terugvinden | Jij bent hier verantwoordelijk; wij verwerken namens jou, volgens de verwerkersovereenkomst |
| Het auditlog | Wie welke handeling deed, op welk moment, met het resultaat, het IP-adres en de browserinformatie. Een regel in dit log is niet te wijzigen en niet te wissen. | Zodat bij een meningsverschil of een incident na te gaan is wie wat wanneer deed | Gerechtvaardigd belang: verantwoording en beveiliging |
| Het beveiligingslogboek en de teller van inlogpogingen | Inloggen, het instellen van een tweede factor, een wachtwoordwijziging, een geweigerde poging, met IP-adres en browserinformatie. De teller bewaart een sleutel (bijvoorbeeld op basis van het IP-adres) en een tijdstip. | Om misbruik te weren en incidenten te kunnen onderzoeken | Gerechtvaardigd belang: beveiliging |
| Support in jouw omgeving | Wie er keek, welke reden hij opgaf, wanneer de sessie begon en eindigde, of hij alleen mocht lezen, en vanaf welk IP-adres. | Om je te kunnen helpen als je daar om vraagt | Uitvoering van de overeenkomst |
| Een gesprek aanvragen of ons mailen | Bedrijfsnaam, je naam, e-mailadres, telefoonnummer en je bericht. Een aanvraag via de site komt in ons eigen verkoop-CRM te staan, met een terugbeltaak. | Om je vraag te beantwoorden of een gesprek in te plannen | Gerechtvaardigd belang: reageren op je verzoek |
| Zakelijke werving | Bedrijfsnaam en zakelijke contactgegevens van bedrijven die we voor Nermio benaderen, plus wat er is verstuurd en of iemand zich heeft afgemeld. Elke wervingsmail heeft een afmeldlink; zonder geldige link weigert onze verzendfunctie te versturen. | Om Nermio onder de aandacht te brengen bij bedrijven waarvoor het bedoeld is | Gerechtvaardigd belang: eigen acquisitie |
| Sollicitaties | Wat je in een sollicitatie naar ons stuurt. Op de site staat op dit moment geen vacature- of sollicitatieformulier; de behandeling en de opschoning ervan zijn wel ingericht. | Om je sollicitatie te behandelen | Jouw eigen verzoek, en ons belang bij het vullen van een vacature |
| Deze website | Je cookiekeuze, en bij de formulieren een controle die bepaalt of je een mens bent; die controle ziet je IP-adres en browserkenmerken. Op de publieke pagina's staat geen statistiek- of advertentiescript. | Om de site te laten werken en de formulieren niet te laten volstromen | Gerechtvaardigd belang: een werkende, niet-misbruikte website |
Wat we niet doen: je gegevens verkopen, ze doorgeven aan derden voor advertenties, of ze gebruiken om modellen te trainen.
Nog te bepalen door een jurist
Hoe formuleren we de belangenafweging bij elk gerechtvaardigd belang in deze tabel, en is zakelijke koude werving op die grond houdbaar zoals wij hem uitvoeren?
De grondslagen in de tabel zijn de voor de hand liggende; bij een gerechtvaardigd belang hoort een vastgelegde afweging tussen ons belang en dat van de betrokkene. Die afweging opschrijven, en bij werving ook de keuze onderbouwen, is werk voor een jurist.
Artikel 4. AI op je eigen sleutel
AI staat uit tot je er zelf iets voor doet. Een eigenaar of manager kan een eigen API-sleutel koppelen van OpenAI, Anthropic, Mistral of Google. Pas daarna kan iemand in je team op een bedrijfsdossier om een van drie dingen vragen: een samenvatting, een voorstel voor een volgende stap, of een conceptmail.
- Er gaat alleen iets naar je aanbieder als iemand op zo’n knop drukt. Er is geen taak die dossiers uit zichzelf langsloopt.
- Wat er weggaat, is niet het hele dossier maar een vaste selectie velden die één functie opbouwt. Een nieuw veld in de database gaat dus niet stil mee.
- Het antwoord komt op je scherm en wordt niet bij ons bewaard. In het auditlog staat dát er een actie was en bij welke aanbieder, niet wat erin stond.
- Je sleutel wordt versleuteld opgeslagen (AES-GCM, met een geheim dat buiten de database leeft). Een databasedump zonder dat geheim levert niets op, en de schermen kunnen de versleutelde waarde niet eens opvragen.
De verwerking door die AI-aanbieder valt onder de afspraken die jij met hem hebt, en het gebruik betaal je rechtstreeks aan hem. Hij is daarmee geen partij die wij voor jou inschakelen.
Artikel 5. Hoe lang we gegevens bewaren
Zolang je account bestaat, bewaren we wat je erin hebt gezet, anders zou de software niet werken. Verwijder je iets in Nermio, dan is het weg uit je omgeving.
We bewaren niets langer dan nodig, en per soort gegeven geldt een eigen termijn. De opschoning is geautomatiseerd en draait elke nacht; het is geen voornemen maar iets wat gebeurt.
| Gegevens | Bewaartermijn | Waarom |
|---|---|---|
| De inhoud van je CRM: bedrijven, contacten, deals, taken | zolang je organisatie bestaat | Dit zijn jouw gegevens. Ze verdwijnen bij opzegging of op je verzoek, niet vanzelf. |
| Facturen en betalingen | 7 jaar | Fiscale bewaarplicht (artikel 52 Algemene wet inzake rijksbelastingen). Hier hebben we geen keuze. |
| Auditlog: wie welke wijziging maakte | 24 maanden | Zodat bij een meningsverschil na te gaan is wie wat wanneer deed. Een vordering uit overeenkomst verjaart na vijf jaar (artikel 3:307 BW); we houden het bewust korter dan dat, omdat twee jaar in de praktijk volstaat. |
| Supportsessies: wanneer wij in je gegevens keken | 24 maanden | Zelfde reden als het auditlog. Je kunt ons hier jaren later op aanspreken. |
| Beveiligingslogboek: inlogpogingen, IP-adressen | 6 maanden | Korter, juist omdat hier IP-adressen en browserkenmerken in staan. De waarde voor onderzoek vervalt binnen maanden; het privacyrisico niet. |
| Opgeheven of verlopen IP-blokkades | 6 maanden | Gelijk met het beveiligingslogboek; het zijn dezelfde gegevens over dezelfde gebeurtenis. |
| Uitnodigingen die nooit zijn gebruikt | 30 dagen | Ze zijn na zeven dagen al ongeldig. Daarna is er geen reden meer om het adres te bewaren. |
| Sollicitaties | 4 weken | De richtlijn van de Autoriteit Persoonsgegevens. Langer mag alleen met jouw toestemming, en die vragen we niet. |
| Een gesprek aanvragen of ons mailen | geen automatische termijn | Deze komen in ons eigen verkoop-CRM terecht en blijven daar tot we ze met de hand verwijderen. Dat is geen keuze maar een gat; zie de vraag hieronder. |
| Afmeldingen voor e-mail | onbeperkt | Dit is de enige die we juist niet wissen: we moeten weten wie zich heeft afgemeld, anders zouden we die persoon later opnieuw mailen. |
Twee begrippen worden vaak verward, en het verschil bepaalt deze hele tabel. Voor facturen geldt een bewaarplicht: die moeten we minstens zeven jaar houden. Voor persoonsgegevens geldt een bewaartermijn: die mogen we hoogstens zo lang houden als nodig is. Langer bewaren is daar geen zorgvuldigheid maar een overtreding, en bij een datalek simpelweg meer schade.
Nog te bepalen door een jurist
Welke termijn geldt voor een gespreksaanvraag of een mail die geen klant wordt, en hoe dwingen we die af?
De aangeleverde conceptset stelt twaalf maanden na het laatste contact voor. Dat is een redelijke termijn, maar hij is nergens gebouwd: ruim_op() raakt ons eigen verkoop-CRM niet aan. De afspraak en de opschoning horen samen te worden opgeleverd, anders staat hier een termijn die niemand handhaaft.
Wat er gebeurt als je stopt — en wat er nu nog niet gebeurt
Zolang je organisatie actief is of je proefperiode loopt, kun je je gegevens zelf als CSV meenemen (Instellingen → Je gegevens). Loopt je proefperiode af of staat je organisatie stil, dan sluit de software de toegang tot je eigen omgeving, en werkt ook de export niet meer. Je gegevens blijven dan wel staan: er is geen automatische opschoning die ze na beëindiging weghaalt. Definitief verwijderen doen wij met de hand, op jouw verzoek of als jouw abonnement ten einde is, en dat wordt vastgelegd.
Nog te bepalen door een jurist
Hoe lang blijven gegevens na het einde van een abonnement staan, binnen welk venster kan de klant nog exporteren, en hoe wordt dat afgedwongen?
Elders op de site staat dertig dagen. Dat is een voorstel, niet de werkelijkheid: er is geen opschoontaak voor klantdata en de toegang gaat op de einddatum juist dicht. Dit is dus geen formulering maar een gat waar afspraak en techniek samen moeten komen — de toegang moet open blijven zolang het exportvenster loopt.
Nog te bepalen door een jurist
Hoe vaak maakt onze databasepartij back-ups, hoe lang blijven die staan, en wanneer is iets dus écht weg?
De back-ups zijn van de databasepartij en volgen hun ritme; wij stellen ze niet in. Zonder dat getal kan hier niet staan wanneer een verwijdering onomkeerbaar is, en de verwerkersovereenkomst heeft hetzelfde getal nodig.
Artikel 6. Met wie we gegevens delen
Nermio draait niet op eigen servers. Deze partijen verwerken gegevens omdat de software zonder hen niet werkt. Verder delen we niets, behalve als de wet ons daartoe verplicht.
| Partij | Waarvoor | Waar is dat aan te wijzen |
|---|---|---|
| Supabase | De Postgres-database en het inloggen, inclusief de opslag van wachtwoorden en authenticators | @supabase/supabase-js en @supabase/ssr in package.json; elke databaseaanroep loopt hierover |
| Vercel | Het draaien van de website en de software, en de nachtelijke opschoontaak | vercel.json, met de cron op /api/opruimen |
| Resend | Uitgaande e-mail: uitnodigingen, wachtwoordherstel en wervingsmail | lib/mail.js, één POST naar api.resend.com |
| Cloudflare | De controle bij onze formulieren die bepaalt of je een mens bent; die ziet je IP-adres | lib/turnstile.js, challenges.cloudflare.com |
Koppelt een organisatie een eigen AI-sleutel, dan gaat er bij zo’n actie ook iets naar die aanbieder. Dat is een partij van de klant, niet van ons; zie artikel 4.
Nog te bepalen door een jurist
Wat is per partij in deze tabel de rechtspersoon, het land van vestiging, en bij Vercel de regio waar de functies draaien?
De database staat bij Supabase op eu-central-1 (Frankfurt); dat is bevestigd door de eigenaar, die het project daar zelf op heeft gezet. Open blijft waar de Vercel-omgeving draait en wat per partij de rechtspersoon is — drie van de vier zijn Amerikaanse ondernemingen met Europese regio's, en dat verschil is precies wat een zakelijke klant vraagt.
Artikel 7. Gegevens buiten de Europese Economische Ruimte
Gaan er gegevens naar een land buiten de EER, dan mag dat alleen met een geldige grondslag: een adequaatheidsbesluit, of standaardcontractbepalingen met aanvullende maatregelen.
Nog te bepalen door een jurist
Welke doorgifteroute geldt per partij uit artikel 6, en worden er gegevens buiten de EER verwerkt, bijvoorbeeld door een ondersteuningsafdeling van een leverancier?
Drie van de vier partijen hierboven zijn Amerikaanse ondernemingen met Europese regio's. Per partij moet vastgesteld worden of hun ondersteuning of logging buiten de EER komt, en op welke basis dat gebeurt: het EU-VS Data Privacy Framework of standaardcontractbepalingen. Dit kan niet uit onze eigen code worden afgeleid.
Artikel 8. Hoe de gegevens zijn beveiligd
Dit is het deel dat vandaag gebouwd is en dat je kunt narekenen. Wie erbij kan, is daarvan het belangrijkste.
- Scheiding per organisatie in de database zelf. Niet in de schermen, maar in Postgres: de database bepaalt bij elke vraag welke rijen een ingelogd account mag zien. Een fout in een pagina kan daardoor geen gegevens van een andere organisatie opleveren, en er is een testsuite die dat aantoont.
- Binnen jouw organisatie zie je wat jouw rol toestaat. Je nodigt zelf mensen uit en geeft ze een rol, van volledige toegang tot alleen meekijken. Ook die grens staat in de database en niet in het scherm.
- Tweestapsverificatie, voor iedereen. Niet alleen voor ons beheerportaal maar voor elke gebruiker van het CRM, zonder uitzondering: zonder authenticator kom je je omgeving niet binnen.
- Automatisch uitloggen na acht uur zonder activiteit, voor de laptop die openblijft.
- Een auditlog dat alleen aangroeit. Een regel wijzigen of wissen is onmogelijk gemaakt, ook voor onze hoogste beheerdersrol, met precies één benoemde uitzondering voor de opschoning.
- Supporttoegang met reden en tijdslimiet. Vijftien, dertig of zestig minuten, nooit langer, altijd met een opgegeven reden, en terug te lezen door de eigenaar van de organisatie.
- Een rem op inlogpogingen die dichtklapt als hij zelf niet werkt, een wachtwoordenbeleid van minimaal twaalf tekens met een controle tegen bekend gelekte wachtwoorden, en wachtwoorden die wij niet kunnen uitlezen.
- Versleutelde verbindingen met HSTS, en een Content-Security-Policy met een nonce per verzoek.
De uitgebreide beschrijving staat op de veiligheidspagina. Wat er niet is, staat daar ook: er is geen ISO 27001- of SOC 2-verklaring en geen rapport van een externe penetratietest.
Nog te bepalen door een jurist
Zijn de gegevens ook versleuteld terwijl ze stilstaan, en op welk niveau?
Verkeer over een versleutelde verbinding kunnen we bevestigen, en de AI-sleutels versleutelen we zelf. Versleuteling van de opslag is iets van de databasepartij; dat moet bij hen worden nagegaan voordat het hier als belofte staat.
Nog te bepalen door een jurist
Welke gegevens legt onze hostingpartij vast in server- en toegangslogboeken, hoe lang bewaart die ze, en moeten we dat hier benoemen?
Dit staat niet in onze eigen code en hangt af van de hostingpartij; het moet worden uitgezocht voordat deze verklaring volledig is.
Artikel 9. Jouw rechten
Je mag inzien welke gegevens we van je hebben, ze laten corrigeren, ze laten verwijderen, de verwerking laten beperken, bezwaar maken, en een kopie opvragen in een gangbaar formaat.
Een deel daarvan doe je zelf. Wat je in Nermio zet, kun je daar aanpassen en verwijderen. Een kopie haal je op bij Instellingen → Je gegevens: je bedrijven, contacten, deals en taken als CSV, een bestand dat in Excel opengaat. Dat kan iedereen in je team, ook met alleen-leesrechten, en het kan op elk moment — niet pas als je weggaat.
Wat je nog niet zelf kunt, is je hele account en je organisatie laten verdwijnen. Dat doen wij voor je, op verzoek via info@nermio.com; het is bij ons een handeling met een verplichte reden die in het beveiligingslogboek blijft staan, en hij is onomkeerbaar. Een knop ervoor in de software staat op de planning.
Voor al het andere mail je info@nermio.com. We vragen dan om een bevestiging dat je bent wie je zegt te zijn, anders zou iemand anders jouw gegevens kunnen opvragen.
Ben je het niet eens met hoe we met je gegevens omgaan, dan kun je een klacht indienen bij de Autoriteit Persoonsgegevens. Dat staat altijd open, ook als je het eerst bij ons probeert.
Nog te bepalen door een jurist
Binnen welke termijn reageren we op een verzoek, en hoe stellen we iemands identiteit vast zonder onnodig extra gegevens te vragen?
De wet geeft één maand, met verlenging bij een complex verzoek. Welke termijn we toezeggen en hoe we iemand vaststellen, hoort hier als afspraak te staan en niet als aanname.
Artikel 10. Geen geautomatiseerde besluiten
We nemen geen besluiten over jou op basis van alleen geautomatiseerde verwerking, en we maken geen profielen van je. Er is geen score die voorspelt of een deal doorgaat en geen rangschikking van personen. De AI-functies uit artikel 4 geven tekst terug die een mens leest en beoordeelt; ze beslissen niets.
Artikel 11. Wijzigingen
Verandert er iets in wat we vastleggen of waarom, dan past deze pagina zich aan, met de datum van de wijziging erbij. Gaat het om een wijziging die voor jou wezenlijk is, dan laten we dat vooraf per e-mail weten.