Het beveiligingsmodel waar we RiOS op bouwen.
RiOS is in ontwikkeling. Deze pagina laat zien op welk beveiligings- en privacymodel we het platform bouwen, en hoe de Revenue Audit vandaag al met je gegevens omgaat. We laten het model liever vroeg zien dan dat we overdrijven wat er al draait.
Zo gaat de audit vandaag met je data om.
De audit draait al en heeft een eigen opzet, los van RiOS. Dit zijn de partijen die meedoen, per stap.
Gepseudonimiseerd is niet anoniem: we behandelen deze gegevens als persoonsgegevens.
- 01Gratis scanDe berekening draait in je browser en gebruikt geen AI. Je gegevens worden opgeslagen bij Supabase en de melding gaat via Microsoft 365.
- 02Auditvragen in het portaalJe beantwoordt vijf blokken vragen. Er wordt geen systeem van je gekoppeld en er is geen data-export. Antwoorden worden opgeslagen bij Supabase; de regio staat in de verwerkersovereenkomst.
- 03AnalyseEen AI-leverancier in de VS (Anthropic) krijgt gepseudonimiseerde cijfers en scores, zonder bedrijfs- of klantnamen, onder de EU-standaardcontractbepalingen.
- 04RapportWe controleren de bevindingen met de hand en sturen het rapport via Microsoft 365. De volledige lijst subverwerkers staat in de verwerkersovereenkomst.
Hoe data door RiOS gaat bewegen.
Een simpele kaart van de beoogde route, van de systemen die je al gebruikt tot de cijfers op je dashboard. Dit is de doelarchitectuur van het platform, nu in aanbouw.
- Je bestaande systemenCRM, ERP, finance, marketingtools
- RiOS leeslaagLeest, vervangt nooit
- TokenisatielaagPersoonsgegevens eruit vóór elke AI
- AI-engineRow-level security · Verzonnen getallen geweigerd
- Lekdetectie & scoringEén afgesproken set cijfers
- Dashboard & aanbevelingenWaar je team op handelt
- 01Je bestaande systemen
Alles begint in de systemen die je al gebruikt: je CRM, ERP, finance- en marketingtools. RiOS vraagt alleen leestoegang, en jij bepaalt welke systemen het mag zien.
- 02RiOS leeslaag
De leeslaag haalt data uit die systemen en schrijft nooit zelfstandig terug; automatiseringen draaien pas na jouw goedkeuring. Je eigen tools blijven de bron van waarheid.
- 03Tokenisatielaag
Voordat iets een AI-model bereikt, vervangt een verwerkingsstap namen, e-mailadressen en andere herleidbare gegevens door tokens. Dat is pseudonimisering, geen anonimisering: onder de AVG blijft het resultaat een persoonsgegeven, en zo behandelen we het ook.
- 04AI-engine
De AI-engine wordt gebouwd binnen twee harde regels. Row-level security in de database bepaalt wat elke gebruiker mag zien, en een antwoord met een getal dat niet in het bewijs stond, wordt geweigerd voordat iemand het ziet.
- 05Lekdetectie & scoring
Bevindingen uit alle systemen worden samengebracht tot één afgesproken set cijfers: wat er lekt, wat het kost in euro's en hoe zeker we zijn. Geen twee dashboards die elkaar tegenspreken.
- 06Dashboard & aanbevelingen
Alleen gecontroleerde resultaten landen op het dashboard: het lek, het eurobedrag en de voorgestelde oplossing. Daar werkt je team mee, met het spoor terug naar de brondata.
In de code van RiOS is er één weg naar een AI-model, en die loopt door de tokenisatiestap: een modelaanroep zonder die stap compileert niet. Namen en contactgegevens worden eerst tokens, en wat een model antwoordt wordt gecontroleerd voordat iemand het ziet. Tokens zijn gepseudonimiseerde gegevens, geen anonieme: de AVG blijft volledig van toepassing.
Wat gebouwd is, wat ingesteld is, wat afgesproken is.
Elke maatregel heeft zijn status erbij. Getest betekent: geautomatiseerde tests in onze eigen code die proberen om de regel heen te komen en moeten falen. Dat is geen externe pentest of certificering, en RiOS draait nog niet bij klanten.
- In de code, getest
- Ingesteld
- Afspraak
- In de code, getestEen privacygrens die de compiler afdwingt
Een AI-model is alleen bereikbaar via één type dat alleen de tokeniseringsstap kan maken. Code die eromheen probeert, compileert niet. Faalt het tokeniseren, dan wordt er niets verstuurd.
- In de code, getestRow-level security in de database
Postgres bepaalt per organisatie wat zichtbaar is, niet de app. Tests proberen bij de data van een andere organisatie te komen en moeten geweigerd worden.
- In de code, getestToegang via een geverifieerd domein
Medewerkers komen binnen via het bedrijfsdomein dat je met een DNS-record bevestigt. Eén domein hoort bij één organisatie, afgedwongen in de database.
- In de code, getestVerzonnen getallen worden geweigerd
Een AI-antwoord met een bedrag of getal dat niet in het bewijs stond, wordt niet getoond. Het model kiest ook nooit zelf de actie; dat doet een regel.
- In de code, getestTerugschrijven pas na goedkeuring
Koppelingen lezen eerst. Een wijziging in je systemen heeft een goedkeurder met naam en een weg terug nodig voordat er iets verstuurd wordt.
- IngesteldHosting ingesteld op Frankfurt
De RiOS-diensten zijn ingesteld op Frankfurt en AI-modellen lopen via een EU-regio; een andere regio zet ze uit. De databaseregio leggen we per omgeving vast in de verwerkersovereenkomst.
- AfspraakVerwerkersovereenkomst vóór het koppelen
Een verwerkersovereenkomst met alle subverwerkers erin hoort bij de onboarding. Er wordt niets gekoppeld voordat die getekend is.
- AfspraakVerwijderd als je stopt
Je eigen systemen blijven de bron van waarheid. Wat RiOS bewaart wordt verwijderd als je vertrekt, in lijn met de privacyverklaring.
Wat RiOS leest, en waar het nooit aankomt.
Leestoegang tot zakelijke data, meer niet. Dit is de exacte scheiding.
- Deals, pipelines en accountactiviteit uit je CRM
- Facturen en betaalstatus uit facturatie en finance
- Campagnekosten en -resultaten uit je advertentieplatformen
- Supporttickets en reactietijden
- Persoonsgegevens naar AI-modellen sturen: eerst tokenisatie
- Iets schrijven of aanpassen zonder jouw goedkeuring
- Bij systemen komen die je niet gekoppeld hebt
- Je data verkopen of delen voor marketing
De vragen die procurement en legal echt stellen.
Alleen je antwoorden op de auditvragen en onze eigen notities. Voor de audit wordt niets aan je systemen gekoppeld; er is geen integratie, geen data-export, geen toegang om te verlenen.
Voor RiOS zijn de diensten ingericht op Frankfurt en zijn AI-modellen alleen via een EU-regio bereikbaar. De databaseregio wordt per omgeving bevestigd en vastgelegd in de verwerkersovereenkomst, samen met elke subverwerker, vóór je onboarding. Voor de Revenue Audit verwerkt één AI-leverancier gepseudonimiseerde cijfers buiten de EU, onder de EU-standaardcontractbepalingen; namen gaan daar niet naartoe.
Ja: het tekenen van een verwerkersovereenkomst hoort bij de onboarding, voordat er iets gekoppeld wordt. Vraag ernaar en we nemen de datastromen vooraf met je juridische team door.
Het platform wordt gebouwd op twee regels: toegang gekoppeld aan je geverifieerde bedrijfsdomein (gecheckt via DNS), en row-level security in de database die bepaalt wat elke gebruiker mag zien. Geen handmatig beheerde rechtenlijsten die verouderen.
Tokens, geen mensen. De pijplijn is zo ontworpen dat persoons- en identificerende gegevens worden verwijderd voordat er iets naar een AI-model gaat. Dat geldt voor elk model dat we gebruiken, niet alleen de modellen buiten de EU: ze krijgen allemaal gepseudonimiseerde tokens. Gepseudonimiseerd is niet anoniem, dus we behandelen die gegevens als persoonsgegevens.
Je eigen systemen waren altijd al de bron van waarheid, dus er hoeft niets terug gemigreerd te worden. De data die RiOS bewaart wordt verwijderd; we bewaren niets langer dan nodig, in lijn met onze privacyverklaring.
De Revenue Audit volgt beproefde business-analysemethoden, waaronder MECE issue trees, het Pyramid Principle en Three Horizons planning, steeds op dezelfde manier toegepast over alle vijf blokken.
Vragen vanuit procurement of legal?
Stel elke vraag over de datastromen, de verwerkersovereenkomst of de architectuur. Je spreekt direct degene die het bouwt.