Privacy en gegevensbescherming
Wat gebeurt er met de gegevens van onze bezoekers?
Dit is de vraag die we het vaakst krijgen, en meestal het eerst. Het korte antwoord: zo min mogelijk, en jij bepaalt waar het staat. Hieronder staan de feiten, de documenten en de onderbouwing per onderwerp. Bedoeld om door te sturen naar je functionaris gegevensbescherming of je CISO.
De European Data Protection Board gebruikt de API en de semantische zoekfunctie van vragen.ai. Bekijk wat vragen.ai voor overheden doet
De feiten in het kort
Zoek je één specifiek gegeven voor je verwerkingsregister, dan staat het hier. De onderbouwing per punt lees je daaronder. Vul je een DPIA of een verwerkingsregister echt in, ga dan naar DPIA en verwerkingsregister: daar staan de verwerkingen, subverwerkers, termijnen en maatregelen uitgesplitst.
| Onderwerp | Feit |
|---|---|
| Persoonsgegevens | Van bezoekers alleen de gestelde vraag, plus een gehasht IP-adres. Voor beheerders een zakelijk account met naam, e-mailadres en IP-adres; een functioneel adres kan ook, jij bepaalt wat je invult. |
| Doeleinden | Vragen beantwoorden, inzicht in wat bezoekers vragen, misbruik tegengaan, beheer van de applicatie. |
| Cookies | Geen, totdat een bezoeker zelf een gesprek start. Vanaf dat moment zet de widget drie functionele cookies (XSRF-TOKEN en vragenai-session, beide twee uur geldig, en ai-toc-accepted-this-session voor de duur van het bezoek) om de chat veilig te laten werken. Er zitten geen persoonsgegevens in en ze worden niet voor tracking of analyse gebruikt. Als strikt noodzakelijke cookies voor een functie die de bezoeker zelf aanvraagt vallen ze onder de wettelijke uitzondering, dus toestemming is niet vereist. |
| Verwerkingslocatie | Nederland. De data staat bij TrueFullstaq in Almere, het beheer gebeurt vanuit ons kantoor in Leiden. Grote open taalmodellen draaien bij Nebul in Nederlandse datacenters. Een taalmodel via Microsoft Azure kan ook in Nederland draaien, naast Frankrijk of Zweden; in alle gevallen binnen de EER. |
| Subverwerkers | Standaard één: TrueFullstaq B.V. voor hosting, opslag en de embeddingsmodellen. Kies je een open taalmodel dat in Nederland draait, dan komt Nebul B.V. erbij: die voert het model uit in Nederlandse datacenters en slaat de inhoud van vragen niet op, logt die niet en traint er niet op. Bij een extern taalmodel komt de aanbieder daarvan erbij: Microsoft Azure, OpenAI, Anthropic of Mistral. Wie er in jouw keten zit, hangt dus af van je modelkeuze en staat in het verwerkingsregister. |
| Beschikbaarheid | 99,9% voor het platform waarop vragen.ai draait, dezelfde afspraak die we in onze SLA's hanteren. Bij een extern taalmodel komt de beschikbaarheid van die aanbieder er nog bij. |
| Back-ups en herstel | Iedere vier uur een back-up, vijf bewaard, plus dagelijkse snapshots (twaalf dagen) en wekelijkse (dertien weken). Ook op een tweede locatie. |
| Scheiding tussen klanten | Iedere klant heeft een eigen database en een eigen zoekindex. Je omgeving volledig geïsoleerd draaien kan ook; neem daar contact over op. |
| Bewaartermijn gesprekken | Standaard twaalf maanden, zelf in te stellen in dagen, weken, maanden of jaren. |
| Bewaartermijn gehasht IP-adres | Gelijk aan die van de gesprekken. Het verdwijnt samen met het gesprek waar het bij hoort. |
| Anonimiseren | Standaard aan. Het systeem filtert persoonsgegevens uit de invoer en verwijdert het origineel na een uur. |
| Modeltraining | Gesprekken worden niet gebruikt om AI-modellen te trainen of te verbeteren. |
| Melding van een datalek | Zo snel mogelijk, en waar mogelijk binnen 36 uur nadat het ons bekend is. Vastgelegd in de verwerkersovereenkomst. |
| Certificering | ISO 27001, NEN 7510 en ISO 9001, op naam van Swis B.V., afgegeven door TÜV NORD Nederland. Het toepassingsgebied is het ontwerpen, ontwikkelen en beheren van webapplicaties, dus inclusief vragen.ai. |
| Toegang tot de beheeromgeving | Rolgebaseerd, met tweefactorauthenticatie die je per omgeving verplicht kunt stellen. |
| Rechten van betrokkenen | Verzoeken sturen wij naar jou door. Wij beantwoorden ze nooit zelf. |
| Bij beëindiging | We wissen alle persoonsgegevens of geven ze aan jou terug, naar jouw keuze, inclusief de kopieën die er nog zijn. |
| Functionaris gegevensbescherming | Björn Brala, SWIS. |
| Kwetsbaarheid melden | Mail service@vragen.ai. Je krijgt altijd antwoord van een mens. |
Kan ik dit ergens nalezen zonder eerst te bellen?
Antwoord door vragen.ai
Het hele dossier staat op deze pagina
Direct te downloaden, zonder formulier.
- ISO 27001-certificaat van SWIS ISO/IEC 27001:2022/Amd 1:2024, afgegeven door TÜV NORD Nederland. Registratienummer CERT-000850-TN, geldig tot 1 november 2028. PDF
- NEN 7510-certificaat van SWIS NEN 7510-1:2017+A1:2020, de norm voor informatiebeveiliging in de zorg. Registratienummer CERT-000852-TN, geldig tot 20 februari 2027. PDF
- ISO 9001-certificaat van SWIS NEN-EN-ISO 9001:2015, het kwaliteitsmanagementsysteem. Registratienummer CERT-000851-TN, geldig tot 18 februari 2028. PDF
- DPIA-input en verwerkingsregister De verwerkingen, de subverwerkers met KvK en locatie, de bewaartermijnen en de risico's met maatregelen. Aanleveren in jouw eigen DPIA-format doen we op aanvraag. Op de site
- Model-verwerkersovereenkomst vragen.ai Leeg sjabloon om zelf in te vullen, met de bijlagen over de verwerkingen, de subverwerkers en de beveiligingsmaatregelen. Werk je met een eigen model of het VNG-model? Dat kan ook. DOCX
Op aanvraag
Deze stukken sturen we je toe zodra je ze nodig hebt. Mail service@vragen.ai en je hebt ze dezelfde week.
- Verklaring van toepasselijkheid Versie 2.3 van 10 september 2025, waarnaar het ISO 27001- en het NEN 7510-certificaat verwijzen. Op aanvraag
- Managementsamenvatting van de pentest Bevindingen en opvolging van de meest recente externe security-audit. Op aanvraag
Even tussendoor, van het team van vragen.ai
Vanaf hier wordt het lang. Dat is expres.
Hieronder staat de onderbouwing per onderwerp: wat we verwerken, waar het staat, hoe lang het blijft, wie erbij kan en hoe je het kunt natrekken.
Lees rustig door. Maar heb je nu al één concrete vraag, stel hem dan eerst hier: je krijgt het antwoord met de bron erbij.
Welke persoonsgegevens verwerken jullie?
Antwoord door vragen.ai
Alleen de vraag die iemand intypt
Van de bezoeker verwerkt vragen.ai alleen die vraag. Tot iemand een gesprek begint staat er geen enkele cookie. Daarna zet de widget er drie die de chat veilig laten werken. Er zitten geen persoonsgegevens in en ze doen niets aan tracking. We vragen niet om een naam, een e-mailadres of een account, dus er is ook geen profiel om iets aan te hangen. Jouw beheerders hebben wel een account, met een naam en een e-mailadres. Dat zijn zakelijke accountgegevens die jij zelf aanlevert; een functioneel adres werkt net zo goed.
Typt een bezoeker tóch iets persoonlijks in, een naam of een dossiernummer, dan haalt vragen.ai dat eruit. Na een uur anonimiseert vragen.ai alle invoer en verwijdert het origineel permanent. Dat staat standaard aan; je hoeft er niets voor te doen. In je inbox lees je de vraag terug met een aanduiding als [naam verwijderd].
De herkenning is geautomatiseerd en haalt er niet met zekerheid alles uit. Iemand die zijn hele situatie uitschrijft, kan er iets tussen zetten dat de herkenning mist. Daarmee is dit geen anonimisering in de zin van de AVG: wat de herkenning mist blijft een persoonsgegeven, en dat valt onder de bewaartermijn die jij instelt. Wat het risico klein houdt: we vragen nergens om persoonsgegevens, er is geen account om ze aan te koppelen, en wat de herkenning wél ziet is binnen een uur weg. In je DPIA is dit het restrisico, met de anonimisering als maatregel.
Het uur zit er niet voor niets: de bezoeker moet zijn gesprek kunnen afmaken. Wie doorvraagt op zijn eigen situatie krijgt een bruikbaar antwoord, en daarna is de persoonlijke informatie het systeem uit.
Om geautomatiseerd misbruik en overbelasting tegen te gaan, bewaren we bij een gesprek ook het IP-adres van de bezoeker. Dat gebeurt altijd gehasht, nooit als leesbaar adres, en het verdwijnt samen met het gesprek.
Bron: Anonimiseren van data Hosting en dataopslag Privacy statement
Wat gebeurt er met die vragen, en wie kan ze zien?
Antwoord door vragen.ai
De vier doeleinden en wie er toegang heeft
Voor je verwerkingsregister zijn dit de vier doeleinden.
- De vraag van de bezoeker beantwoorden
- Inzicht krijgen in veelgestelde vragen en hiaten in je content
- Misbruik tegengaan
- De applicatie laten beheren door jouw beheerders
Modellen trainen staat er niet bij. Draai je alles op onze eigen omgeving, dan is dat ook technisch afgedekt: de vraag verlaat die omgeving niet, dus er is geen partij die ermee kan trainen of meelezen. Voor de grote open modellen bij Nebul geldt hetzelfde: Nebul slaat de inhoud van een vraag niet op, logt die niet en gebruikt die niet voor training.
Bij een extern taalmodel leggen we in de verwerkersovereenkomst vast dat de leverancier niet op jouw data traint. Bij een concrete verdenking van misbruik kan die leverancier wel de inhoud van een vraag beoordelen. Dat is de standaardvoorwaarde bij OpenAI, Anthropic, Mistral en Azure. Wil je dat volledig uitsluiten, dan is de lokale variant de enige route.
Meekijken kan alleen in de beheeromgeving, met de rechten die bij de rol horen. Aan onze kant alleen de mensen die er voor support of beheer bij moeten, onder geheimhouding en met een eigen rol. Inlogpogingen loggen we.
Waar staat onze data?
Antwoord door vragen.ai
Waar jij wilt, tot en met volledig in Nederland
De hele keten kan in Nederland draaien. De zoekindex en de embeddingsmodellen die de betekenis van je content vastleggen staan in onze eigen omgeving bij hostingpartner TrueFullstaq in Almere. Het taalmodel dat de antwoorden formuleert draait in diezelfde omgeving, of als groot open model bij Nebul, een Nederlands AI-cloudbedrijf uit Leiden met datacenters in Nederland. In beide gevallen hoeft geen vraag en geen antwoord het land uit, en Nebul slaat de inhoud niet op, logt die niet en gebruikt die niet voor training. Dat is een architectuurkeuze die je in je verwerkingsregister kunt vastleggen; hoe die keten eruitziet lees je in ons artikel over taalmodellen in Nederland.
Wil je liever een van de grote taalmodellen, omdat dat op jouw materiaal beter presteert? Ook dat kan: OpenAI, Anthropic, Mistral of een model via Microsoft Azure. Bij Azure kun je tegenwoordig ook voor de Nederlandse regio kiezen, naast Frankrijk of Zweden; in alle gevallen blijft het binnen de EER en met een verwerkersovereenkomst conform Europese richtlijnen. Iedere aanbieder die je kiest, komt als subverwerker in je verwerkingsregister te staan.
Vragen.ai is niet modelafhankelijk. Het taalmodel is een instelling die je later kunt herzien zonder het product te vervangen, en die keuze zit in ieder pakket, ook het kleinste. Heeft jouw organisatie al een leverancier goedgekeurd, dan sluiten we die in principe aan.
Bron: Hosting en dataopslag Soeverein AI-platform Voor overheid Voor gemeenten
Hoe lang bewaren jullie de gesprekken?
Antwoord door vragen.ai
De bewaartermijn is jouw instelling
Je zet hem in dagen, weken, maanden of jaren, dus in je verwerkingsregister vul je je eigen getal in. Bij oplevering zetten we hem samen met je.
Twaalf maanden is de standaard. In die periode zie je in de inbox waar bezoekers vastlopen en welke content ontbreekt, en de termijn blijft goed te verdedigen. Korter kan. Na de termijn verdwijnen gesprekken automatisch.
Het gehashte IP-adres van een bezoeker valt onder dezelfde termijn en wordt met het gesprek verwijderd. Beheerdersaccounts blijven bestaan zolang de overeenkomst loopt.
Verzint de AI geen antwoorden?
Antwoord door vragen.ai
Ieder antwoord komt uit jullie eigen bronnen
Antwoorden komen alleen uit de eigen, gecontroleerde bronnen van je organisatie, altijd met bronvermelding erbij. Levert de zoektocht niets op, dan volgt er geen gok: de bezoeker krijgt een eerlijk antwoord met een doorverwijzing. De agent heeft geen toegang tot internet of externe systemen.
Dat is achteraf te controleren. We leggen iedere stap vast in een trace: welke denkstappen de agent nam, welke bronnen hij gebruikte en hoe hij het antwoord opbouwde. Ieder antwoord krijgt daarbij evaluatiescores voor betrouwbaarheid, relevantie en bronrelevantie. Bij gevoelige onderwerpen kan de assistent extra richtlijnen volgen: bij het Nederlands Jeugdinstituut gaat hij bij onderwerpen zoals depressie of persoonlijke casussen niet inhoudelijk in gesprek en verwijst hij direct naar passende hulp.
Bron: Hoe het werkt Gesprekken testen en evalueren Nieuwe evaluatiescores Klantcase NJi
Krijgen we een verwerkersovereenkomst en input voor onze DPIA?
Antwoord door vragen.ai
Ja, en je hoeft er niet om te vragen
We sluiten standaard een verwerkersovereenkomst voor vragen.ai. Die ligt er, en kan ook in jouw eigen format. Daarin staan de subverwerkers, de bewaartermijnen en de afspraken over incidenten en datalekken. Verandert de verwerking tijdens de samenwerking, dan passen we de overeenkomst aan. Een nieuwe subverwerker leggen we vooraf aan je voor; zonder jouw schriftelijke toestemming gebeurt het niet.
Bij een datalek informeren we je zo snel mogelijk, en waar mogelijk binnen 36 uur nadat het ons bekend is geworden. Die termijn staat in de overeenkomst, net als onze verplichting om mee te werken aan een DPIA en aan verzoeken van jouw toezichthouder.
Die DPIA blijft van jou als verwerkingsverantwoordelijke; die kunnen wij niet voor je uitvoeren of tekenen. We leveren wel alle input aan die je nodig hebt, in jouw eigen DPIA-format: een technische beschrijving in begrijpelijke taal, het overzicht van verwerkingen en subverwerkers, en de risico's en maatregelen zoals wij ze zien. SWIS heeft daar een vaste werkwijze voor, in lijn met de richtlijnen van de Autoriteit Persoonsgegevens.
Beroept een bezoeker zich op zijn rechten uit artikel 15 tot en met 22 AVG, dan geven wij dat verzoek aan jou door en helpen we je binnen de wettelijke termijn te beslissen; wij beantwoorden zo'n verzoek nooit zelf. Bij het einde van de samenwerking wissen we alle persoonsgegevens of geven we ze aan jou terug, naar jouw keuze, inclusief de kopieën die er nog zijn.
De documenten zelf staan bovenaan deze pagina, bij elkaar in één lijst.
Bron: DPIA en verwerkingsregister Privacy statement Hosting en dataopslag
Welke certificeringen kunnen jullie laten zien?
Antwoord door vragen.ai
ISO 27001, NEN 7510 en ISO 9001, en vragen.ai valt binnen de scope
Vragen.ai wordt gemaakt door SWIS, een digitaal bureau in Leiden. De certificaten staan op naam van Swis B.V. en zijn afgegeven door TÜV NORD Nederland. Of vragen.ai daaronder valt, lees je in het toepassingsgebied op het ISO 27001-certificaat:
Ontwerpen, ontwikkelen en beheren van websites en webapplicaties voor profit en non-profit organisaties in verschillende marktsegmenten waaronder de zorg.
Vragen.ai valt daaronder. Het is een product van SWIS zelf, dus dezelfde rechtspersoon als op het certificaat, en precies zo'n webapplicatie als het toepassingsgebied beschrijft. Er zit geen dochteronderneming of leverancier tussen die buiten de audit valt. Een product kan overigens niet zelf ISO-gecertificeerd zijn: de norm certificeert het managementsysteem van een organisatie.
Gecertificeerd volgens ISO 9001, ISO 27001 en NEN 7510.
Voor zorgorganisaties is NEN 7510 de relevante norm. Het toepassingsgebied daarvan gaat specifiek over zorgwebsites en zorgapplicaties, en vermeldt expliciet dat de hosting is uitbesteed. Dat klopt met de praktijk: die ligt bij TrueFullstaq in Almere. Het privacybeheer sluit verder aan op ISO 27701; daarvoor is geen apart certificaat afgegeven, de eisen zitten in hetzelfde managementsysteem.
De drie certificaten staan bovenaan deze pagina om te downloaden, met registratienummer en geldigheidsdatum, zodat je ze bij TÜV NORD kunt natrekken.
Aan de techniek zelf: vragen.ai draait achter ons Advanced Security Platform, dat beschermt tegen DDoS-aanvallen, SQL-injecties en cross-site scripting. Al het verkeer loopt over TLS. Voor livegang doen we een interne security-audit door een ander team dan het ontwikkelteam, plus een externe vulnerabilityscan. Kritieke beveiligingspatches voeren we binnen 24 uur door.
- Gescheiden ontwikkel-, test- en productieomgevingen, zonder klantdata in de testomgeving
- Vierogenprincipe op alle code, met een verplichte privacycontrole in de pull request
- Ieder ontwikkelteam heeft een securitymanager; die komen iedere sprint samen
- Continue monitoring op de OWASP Top 10, aangevuld met handmatige code-reviews
Is de beveiliging onafhankelijk getest?
Antwoord door vragen.ai
Ja, door een ethical hacker
In september 2025 heeft een onafhankelijke ethical hacker vragen.ai onderzocht, onder het Cyber Security Pen Test-keurmerk van het CCV. De test richtte zich op drie vragen:
Data van gebruikers
Kon data van gebruikers worden ingezien?
Manipulatie via prompts
Was de AI te beïnvloeden met prompt injection?
Beheerdersfuncties
Waren de beheerdersfuncties goed afgeschermd?
De conclusie: geen kritieke risico's, en het lukte niet om gesprekken van anderen in te zien. De test leverde wel twee bevindingen van gemiddeld niveau op. Het model kon uitvoer tonen die we onvoldoende hadden gevalideerd, en met gerichte prompts was de toon van de agent tijdelijk te beïnvloeden. Beide hebben we opgelost: we scherpten de systeemprompt aan en beperkten de uitvoer tot bronnen op een vaste lijst. Daar kwam ook de functie "Beperk referentiedomeinen" uit voort, waarmee je bepaalt van welke domeinen links en afbeeldingen in antwoorden zijn toegestaan.
De managementsamenvatting van de test krijg je op aanvraag. Daarnaast deden we eigen testronden: meer dan 900 vragen gesteld en beoordeeld op betrouwbaarheid, toon en veiligheid. Voordat er bij jou iets live gaat, doe je datzelfde met je eigen testvragen.
En als iemand tóch een kwetsbaarheid vindt?
Antwoord door vragen.ai
Meld het bij ons: responsible disclosure
Geen enkel systeem is perfect. Zie je een zwakke plek in vragen.ai of in de widget, dan willen we dat weten voordat iemand anders er misbruik van maakt. Mail je bevindingen naar service@vragen.ai. Voor vragen.ai geldt de responsible disclosure-regeling van SWIS, de maker van het product.
Wat wij beloven
- Binnen drie werkdagen krijg je een reactie met onze beoordeling van de melding en een verwachte oplosdatum.
- Houd je je aan de richtlijnen hieronder, dan ondernemen we geen juridische stappen tegen je.
- We behandelen je melding strikt vertrouwelijk en geven je persoonsgegevens niet zonder jouw toestemming aan derden.
- We houden je op de hoogte van de voortgang tot het probleem verholpen is.
- Publiceren we over het probleem, dan noemen we je als ontdekker. Wil je dat niet, dan laten we je naam weg.
- Voor iedere melding van een veiligheidsprobleem dat we nog niet kenden staat een beloning. De hoogte hangt af van de ernst van het lek en de kwaliteit van de melding.
Wat we van jou vragen
- Misbruik de kwetsbaarheid niet. Haal dus niet meer data op dan nodig is om het probleem aan te tonen, en wijzig of verwijder geen data van anderen.
- Deel het probleem niet met anderen tot het is opgelost.
- Gebruik geen aanvallen op fysieke beveiliging, geen social engineering, geen distributed denial of service, geen spam, geen geautomatiseerde scans of tests en geen applicaties van derden. Kwetsbaarheden die alleen met een geautomatiseerde scan of test te vinden zijn, vallen buiten de regeling.
- Geef genoeg informatie om het probleem te reproduceren. Meestal is het IP-adres of de URL van het betrokken systeem plus een beschrijving van de kwetsbaarheid voldoende. Bij een complexe kwetsbaarheid mag het uitgebreider.
We lossen problemen zo snel mogelijk op en willen graag een actieve rol spelen bij een eventuele publicatie erover, nadat het verholpen is. Gebruik je scanners of andere tooling? De machineleesbare gegevens staan in ons security.txt volgens RFC 9116: contactadres, talen en de PGP-sleutel waarmee je je melding kunt versleutelen. Vraag je dat bestand op via vragen.ai, dan kom je op dezelfde plek uit.
Onze CISO heeft nog technische vragen. Kun je die alvast beantwoorden?
Antwoord door vragen.ai
Zeven vragen die we het vaakst van een CISO krijgen
Hoe zit het met de AI Act?
Artikel 50 geldt sinds 2 augustus 2026: een bezoeker moet weten dat hij met AI praat. Die melding zet je onder de widget, en op onze eigen site staat hij er. Wat de wet verder van een AI-zoekfunctie vraagt, hebben we uitgeschreven in een apart artikel.
Draaien wij in een gedeelde omgeving met andere klanten?
Iedere klant heeft een eigen database én een eigen zoekindex. Jouw content en jouw gesprekken staan dus gescheiden van die van andere organisaties, en niet in een gedeelde index met een filter eroverheen. Verder gaan kan ook: we draaien je omgeving desgewenst volledig geïsoleerd. Dat is geen standaardinstelling, dus neem er contact over op; dan kijken we wat je nodig hebt.
Hoe is de toegang tot de beheeromgeving beveiligd?
Met rolgebaseerde toegang. Iedere gebruiker kan tweefactorauthenticatie aanzetten in het eigen profiel, en je kunt het verplicht stellen voor iedereen in je omgeving. Van iedere inlogpoging houden we een logregel bij, geslaagd of niet.
Wat is er herleidbaar achteraf?
Ieder gegenereerd antwoord is te herleiden naar de exacte bronnen en de promptconfiguratie waarmee het tot stand kwam. Bij ieder gesprek open je in de beheeromgeving de trace: welke stappen de AI zette, welke bronnen hij gebruikte en hoe het antwoord is opgebouwd. Daarnaast loggen we systeemfouten en inlogpogingen. Bij een concreet incident leveren we op verzoek de relevante logs en een incidentrapport.
Hoe zit het met beschikbaarheid en herstel?
Vragen.ai draait op dezelfde private cloud als onze andere applicaties, bij TrueFullstaq in Almere. Daarvoor hanteren we een beschikbaarheid van 99,9%, met monitoring die 24 uur per dag op storingen en afwijkend gedrag let. Of alles werkt, zie je zelf op status.vragen.ai. Kritieke patches voeren we binnen 24 uur door. Harde respons- en hersteltijden per prioriteit leggen we vast in een SLA.
Van de data maken we iedere vier uur een back-up en daarvan bewaren we vijf, dus we kunnen tot twintig uur terug. Daarnaast dagelijkse snapshots die twaalf dagen blijven staan en wekelijkse die dertien weken blijven staan, ook op een tweede locatie. Bij een normale verstoring raak je dus maximaal de laatste vier uur aan wijzigingen kwijt.
Er blijft één afhankelijkheid over. Bij een extern taalmodel komt de beschikbaarheid van die aanbieder erbij; lokaal is de hele keten van ons.
Hoe voorkomen jullie misbruik van de widget?
Een widget op een openbare website is voor iedereen bereikbaar, dus ook voor bots en voor wie hem bewust wil overbelasten. Daar staat meer tegenover dan je van buitenaf ziet. We begrenzen hoeveel verzoeken er binnenkomen, en verkeer moet uitdagingen doorstaan voordat het een antwoord krijgt. Een gewone bezoeker merkt daar niets van.
Zien we aanwijzingen dat gesprekken door misbruik zijn ontstaan, dan verwijderen we die gesprekken en de antwoorden erop. Die tellen dan ook niet mee voor het aantal antwoorden per maand in je pakket.
Hoe dat precies werkt en waar de grenzen liggen, zetten we bewust niet op deze pagina. Een openbare beschrijving is ook een handleiding om eromheen te werken. Heb je het nodig voor je eigen risicobeoordeling, neem dan contact op. Dan lichten we het toe.
En als iemand een kwetsbaarheid vindt?
We hebben een responsible-disclosurebeleid en krijgen daar regelmatig meldingen op. Melden doe je via service@vragen.ai. De afspraken staan hierboven bij een kwetsbaarheid melden.
Bron: AI Act en de transparantieplicht Test door ethical hacker Gebruikers en rollen Technische issues oplossen
Is de vragen.ai widget toegankelijk voor alle bezoekers?
Antwoord door vragen.ai
De widget voldoet aan WCAG 2.1 niveau AA
De standaardintegratie van vragen.ai is daarop getest: toetsenbordnavigatie, tekstlabels voor screenreaders, statusupdates via ARIA live regions, een logische heading-structuur en een duidelijk zichtbare focus-state. Binnen SWIS is in ieder developmentteam minimaal één developer getraind in WCAG. Voor overheden telt dit dubbel, want daar is niveau AA wettelijk verplicht.
Bron: Toegankelijkheid en vragen.ai WCAG-updates Voor overheid Voor gemeenten
Onze privacy officer heeft nog een paar aanvullende vragen.
Antwoord door vragen.ai
Stel je vraag aan het team
Mist er iets in je eigen toetsingskader, of wil je het privacydossier in één keer op tafel? Vraag het hier, dan antwoordt iemand die aan het product bouwt.
Stuur ons een bericht
- Antwoord van het team zelf
- Ook technische en juridische vragen
Björn Brala
Functionaris gegevensbescherming
Vertel je het liever dan dat je het typt? Bel of mail Björn gerust, hij denkt zelf met je mee.
Ma t/m vr, 9:00 tot 17:30
Laadt het formulier niet? Ververs dan de pagina, of neem contact met ons op.
Deze pagina is voor het laatst bijgewerkt op .