Dit document beschrijft hoe lang Stilops welke gegevens bewaart, en hoe dat is afgedwongen. Waar een termijn níét automatisch wordt afgedwongen staat dat erbij — een termijn op papier die de software niet kent, is geen termijn.
Wat de klant zelf instelt
| Gegevens | Termijn | Waar afgedwongen |
|---|---|---|
| Agent-runs (voorstellen, testruns, transcripts, kosten) en chatgesprekken van jouw organisatie | De bewaartermijn op de Instellingen-pagina van je organisatie, minimaal 183 dagen. Een lagere waarde wordt geweigerd. Een eerder opgeslagen lagere waarde telt bij het opruimen als 183. | Dagelijkse opruimtaak; de ondergrens van 183 dagen zit in de code, niet in een instelling |
Waarom 183 dagen als minimum: de EU AI Act vraagt voor hoog-risico-systemen logbewaring van minstens zes maanden (art. 19). Stilops is beperkt risico, maar hanteert die ondergrens toch — het auditspoor is de kern van het product.
Wat Stilops vast bewaart
| Gegevens | Termijn | Reden | Waar |
|---|---|---|---|
| Gesprekstranscripten die het AI-programma op de server bewaart om een gesprek te kunnen voortzetten (naast de taak- en chatgegevens van je organisatie) | 30 dagen na de laatste activiteit; in de demo zonder account worden ze niet bewaard | Een gesprek kunnen voortzetten | Het AI-programma ruimt ze zelf op |
| Demo zonder account: de tijdelijke organisatie per bezoeker, met alles wat de bezoeker typte, de sessie en de bestanden | 1 uur (hooguit 15 minuten later als er dan nog een taak liep) | Uitproberen zonder account; daarna is er geen reden meer | Opruimtaak die elke minuut draait, ook tijdens een noodstop |
| Anonieme bezoekerstelling van de website (per dag: pad, verwijzend domein, aantal; geen persoonsgegevens) | 400 dagen | Zien welke kanalen bezoekers opleveren | Opgeruimd bij het wegschrijven van de telling |
| Een via stilops.com geplande testrun (naam, e-mailadres, kantoor, opmerking, tijdstip) | 1 jaar na de afspraak | De afspraak nakomen en terugzien wie er een testrun deed | Dagelijks opgeruimd door de planningstool |
| Herkomst bij aanmelden (optionele keuze "Hoe ken je Stilops?" en UTM-labels) | Zolang de organisatie bestaat | Weten welke kanalen klanten opleveren (gerechtvaardigd belang, privacyverklaring 1.4) | Verdwijnt met de organisatierij (retentie na opzegging, of een verwijderverzoek) |
| Akkoord op voorwaarden en privacyverklaring (versie, taal, tijdstip, tekst + hash) | Zolang de organisatie bestaat. Ook als de organisatie is verwijderd blijven ze staan: er is nog geen automatische verwijdering of termijn voor; een termijn is voorgesteld en wacht op een besluit | Bewijs van wat je bent overeengekomen | Append-only vastgelegd bij de aanmelding; na verwijdering van de organisatie blijft de rij staan met een e-mailsnapshot |
| Acceptatie van agent-disclaimers | Idem: nog geen automatische verwijdering na het verwijderen van de organisatie | Bewijs (AI Act art. 50, contract) | Append-only vastgelegd bij het inhuren van een agent |
| Handelingen van organisatiegebruikers (wie keurde wat goed) | Zolang de organisatie bestaat | Herleidbaarheid | Append-only handelingenlogboek van de organisatie; verdwijnt met de organisatie |
| Handelingen van beheerders (beheerderslogboek, met e-mailadres en organisatienaam als momentopname) | Nog geen automatische verwijdering: het logboek blijft ook na het verwijderen van de organisatie staan; een termijn is voorgesteld en wacht op een besluit | Herleidbaarheid | Append-only beheerderslogboek |
| Facturen en het financiële logboek | Minstens zeven jaar na afloop van het boekjaar (wettelijke bewaarplicht, art. 52 AWR). Daarna wordt een factuur nog niet automatisch verwijderd of geanonimiseerd (naam, adres en btw-nummer van de klant blijven dan staan); dat is voorgesteld en wacht op een besluit | Fiscaal | Jaarlijks fiscaal archief per boekjaar (overzichten, factuur-pdf's en een manifest met controlegetallen), automatisch weggeschreven op de server en, zodra die koppeling is gelegd, naar de OneDrive van de eigenaar. Het archief wordt nooit automatisch verwijderd, ook niet na zeven jaar. Een definitieve factuur wordt nooit meer gewijzigd |
| Ondertekende logexport (per dag een momentopname van het append-only auditspoor, met hash-keten en digitale handtekening; gevoelige teksten alleen als hash) | Tien jaar (verjaringstermijn productaansprakelijkheid, richtlijn 2024/2853 art. 17) | Bewijs dat het auditspoor niet achteraf is gewijzigd; de database zelf wordt na 183 dagen opgeschoond | Afgeschermde map op dezelfde server, buiten de applicatie, die de export alleen kan lezen en verifiëren (wekelijks), niet wijzigen. Voorbehoud: er is nu één kopie. Een herbouw van de server wist map en sleutel; de tweede kopie op een andere plek is nog niet ingericht (zie het document Logexport, "Wat het niet is") |
| Organisatiegegevens na opzegging | Tot de eigen bewaartermijn van de organisatie is verstreken; daarna wordt de organisatie verwijderd | Recht op vergetelheid tegenover bewijsplicht | Dezelfde dagelijkse opruimtaak, die de uploads en opleveringen van de organisatie meeneemt |
Wat intern is en korter
| Gegevens | Termijn | Waar |
|---|---|---|
| Mail in de mailboxen van Stilops' interne agents | Per mailbox ingesteld, standaard 90 dagen; oudere, al verwerkte mail wordt gearchiveerd | Instelling per mailbox; automatische archivering |
| Pogingen voor de snelheidslimiet (inloggen, formulieren) | Kort; de tabel wordt periodiek opgeruimd | Periodieke opruimtaak |
| Systeem-logs (operationele gebeurtenissen; geen klantinhoud, wel organisatie-id's) | 365 dagen, instelbaar, nooit korter dan 183 dagen. De ondertekende logexport hierboven bewaart de berichten tien jaar | Dagelijkse opruimtaak; elke ronde laat een logregel achter, ook bij nul verwijderd |
Wat geen termijn in dagen heeft
- Back-ups op de server zelf: rotatie volgens de back-upinstelling van Stilops: een begrensd aantal volledige en tussentijdse kopieën (en een bytebudget), waarbij de oudste eerst vervalt en er altijd een minimum aan herstelpunten blijft.
- Offsite back-ups (objectopslag, OneDrive): deze worden niet automatisch opgeruimd. Ze blijven staan tot de eigenaar ze met de hand verwijdert. Er is nog geen termijn voor; die is een open keuze van de eigenaar.
- Het fiscale archief (lokaal en, indien gekoppeld, OneDrive): minstens zeven jaar, daarna geen automatische verwijdering; een termijn is een open keuze van de eigenaar.
- Een back-up kan gegevens bevatten die in de live-database al zijn opgeruimd; ze zijn versleuteld opgeslagen. Er is geen apart "verwijder ook uit back-ups"-pad. Een verwijderverzoek wordt in de live-database uitgevoerd en verdwijnt uit de lokale back-ups door rotatie, maar uit de offsite kopieën pas als de eigenaar die verwijdert.
Verzoeken van betrokkenen
Je gegevens downloaden (AVG art. 15 en 20) doe je zelf in het portaal, onder Instellingen → Account → Jouw gegevens: een JSON-bestand met je account, akkoorden, tickets en, voor een eigenaar, de gegevens van de organisatie. Een verzoek tot verwijdering (art. 17) dien je daar ook in, of per mail via [email protected]. Stilops handelt het binnen een maand af en legt elk verzoek vast met de datum van ontvangst, hoe je identiteit is vastgesteld en de uitkomst.
Wat verwijderd wordt: het organisatieprofiel, gebruikers, agents, runs, gesprekken, koppelingen, kennis en tickets, met de bestanden van de organisatie (uploads en opleveringen). Wat blijft: de akkoorden, de facturen en het beheerderslogboek (met e-mailsnapshot), tot hun eigen termijn hierboven, omdat die een wettelijke of bewijsgrondslag hebben. Ook het klantrecord bij Stripe blijft staan tot een beheerder het met de hand verwijdert; dat gaat niet automatisch. Het verzoek zelf blijft in het verzoekenregister staan als bewijs dat het is uitgevoerd.