Verantwoording onder de AVG en DPIA

Voor uw DPO, AVG-coördinator, inkoop of functionaris gegevensbescherming — alle bouwstenen om AVG Kompas in uw compliance-traject op te nemen.

Hele document als Word-bestand

~10 pagina’s, inclusief DPIA-bouwsteen-teksten om over te nemen en formele geen-verwerker-verklaring.

Download als .docx

Samenvatting in één pagina

Dit document is voor u — onze klant — geschreven om uw verantwoording onder de Algemene Verordening Gegevensbescherming (AVG) te ondersteunen. We schrijven het vanuit twee perspectieven: wat u kunt en moet doen als verwerkingsverantwoordelijke (uw organisatie), en wat wij doen als aanbieder van AVG Kompas (Plesierigwerk).

De vier kernpunten

AVG Kompas verwerkt uw data lokaal in uw browser. Wij ontvangen, zien of bewaren geen enkele tekst die u anonimiseert. Geen netwerkverkeer met persoonsgegevens, geen telemetrie op inhoud.
Wij zijn géén verwerker in de zin van artikel 28 AVG. Een verwerkersovereenkomst is dus niet vereist — in hoofdstuk 7 vindt u een formele verklaring, klaar om in uw inkoopdossier op te nemen.
AVG Kompas is een mitigerende maatregel bij uw DPIA. Door persoonsgegevens te pseudonimiseren of anonimiseren vóór delen met ketenpartners, AI-diensten of in intervisie, verkleint u risico’s die anders in uw DPIA als “hoog restrisico” zouden blijven staan.
U blijft verwerkingsverantwoordelijke. De geanonimiseerde tekst, de keuze van wat te delen en met wie blijft uw verantwoordelijkheid. Wij bieden u alleen een hulpmiddel om dat veiliger te doen.

Onze kernbelofte

Uw cliëntdossiers verlaten nooit uw apparaat — niet via ons, niet via een API, niet via telemetrie. Alle verwerking gebeurt client-side in uw eigen browser.

1. Wat is AVG Kompas?

AVG Kompas is een webgebaseerde tool die professionals helpt om persoonsgegevens in teksten en documenten automatisch te herkennen en te vervangen. De typische gebruiker is een medewerker bij een wijkteam, gemeente, jeugdzorgorganisatie of zorgaanbieder die regelmatig dossierfragmenten deelt met ketenpartners, collega’s in intervisie, of AI-diensten voor samenvatten en analyse.

Wat de tool automatisch herkent

BSN-nummers (8 of 9 cijfers, met of zonder spaties)
Telefoonnummers (Nederlandse en buitenlandse formats)
E-mailadressen
Postcodes (1234 AB-format)
Volledige adressen (straat + huisnummer + woonplaats)
Datums in diverse formats
WhatsApp-tijdstempels

Wat de gebruiker zelf invoert via vervangregels

Namen, diagnoses, organisatienamen en andere contextueel bepaalde gegevens worden niet automatisch herkend — die patronen zijn taalkundig te divers voor betrouwbare detectie. De gebruiker voert deze zelf in een lokale vervangingslijst in voordat de tekst wordt verwerkt.

2. Architectuur — waarom de data uw apparaat niet verlaat

Client-side verwerking

AVG Kompas draait volledig in uw browser (HTML + JavaScript). De detectiepatronen worden bij het laden van de pagina meegestuurd; daarna draait alles lokaal. Er gaat geen netwerkverkeer met uw teksten naar de server van Plesierigwerk of een derde partij.

Wat onze server wel ontvangt

Bij het bezoeken van avgkompas.nl: standaard-webverzoeken (HTML, CSS, JavaScript, lettertypen, iconen). Geen cookies met identificerende informatie.
Bij het activeren van een licentiecode: alleen de code zelf wordt gevalideerd in uw browser (geen verzoek naar onze server tijdens normaal gebruik).
Bij het aankopen van een abonnement: standaard betaaldata (e-mail, naam, IBAN) via Mollie B.V. Hiervoor hebben wij een verwerkersovereenkomst met Mollie. Deze gegevens zijn strikt gescheiden van het tool-gebruik.

Wat dit betekent voor uw DPIA

Omdat de verwerking volledig client-side gebeurt, is de overdracht-component naar een derde (Plesierigwerk) afwezig. Het risico van datalek bij de aanbieder, ongeoorloofde inzage door medewerkers van de aanbieder, of doorgifte naar derde landen — typische DPIA-zorgen bij SaaS — zijn voor AVG Kompas niet van toepassing.

3. Onze rol — Geen verwerker (art. 28 AVG)

Een verwerker (art. 28 AVG) is een partij die persoonsgegevens verwerkt namens de verwerkingsverantwoordelijke — dat gebeurt typisch wanneer data op de server van de aanbieder komt.

Wij verwerken geen persoonsgegevens namens u, want:

Wij ontvangen geen persoonsgegevens uit uw teksten — die blijven in uw browser.
Wij hebben geen technische middelen om uw gepseudonimiseerde resultaten in te zien.
Wij hebben geen functionele rol in het anonimiseringsproces zelf.

Een verwerkersovereenkomst is voor de tool-functie van AVG Kompas dus niet noodzakelijk. Mocht uw inkoopproces dit standaard wel eisen, dan kunnen wij u een formele geen-verwerker-verklaring leveren (zie hoofdstuk 7). Stuur een verzoek aan info@avgkompas.nl en u ontvangt deze binnen twee werkdagen.

4. DPIA-bouwsteen — tekstblokken om over te nemen

De teksten hieronder kunt u letterlijk overnemen in uw eigen Data Protection Impact Assessment (DPIA, ook wel gegevensbeschermingseffectbeoordeling). Pas de schuingedrukte tekst aan op uw context.

Wanneer is een DPIA voor u verplicht? Een DPIA is volgens artikel 35 AVG verplicht voor verwerkingen die waarschijnlijk een hoog risico inhouden voor de rechten en vrijheden van betrokkenen. Voor wijkteams, jeugdzorg en gemeenten wordt dit hoogrisico vaak al bereikt door de combinatie van bijzondere categorieën, kwetsbare betrokkenen en grootschalige verwerking. De Autoriteit Persoonsgegevens (WP248) noemt negen criteria — bij twee of meer is een DPIA verplicht.

4.1 Beschrijving van de verwerking

Overneembare tekst — beschrijving

Binnen [organisatie] worden cliëntdossiers, evaluaties en casusverslagen geregeld gedeeld met ketenpartners, gebruikt in intervisie of verwerkt via AI-tools voor samenvatten of analyse. Voorafgaand aan dergelijk gebruik worden persoonsgegevens systematisch gepseudonimiseerd met AVG Kompas (avgkompas.nl, leverancier: Plesierigwerk, KvK 91949491). AVG Kompas draait volledig in de webbrowser van de medewerker; cliëntdossiers verlaten nooit het apparaat van de medewerker, ook niet richting de leverancier.

4.2 Toets op de WP248-criteria

De Working Party 29-richtlijnen (vastgesteld door de Autoriteit Persoonsgegevens) kennen negen criteria voor “hoog risico”-verwerkingen. Typische score voor een wijkteam of gemeente:

WP248-criterium	Geldt vaak voor u	Bijdrage AVG Kompas
1. Beoordeling of scoring	Soms	Geen directe rol
2. Geautomatiseerde besluitvorming	Zelden	N.v.t.
3. Systematische monitoring	Zelden	N.v.t.
4. Bijzondere categorieën (gezondheid, etc.)	Vaak — JA	Reduceert herkenbaarheid bij delen
5. Grootschalige verwerking	Vaak — JA	N.v.t.
6. Combineren of matchen van datasets	Vaak — JA	Beperkt heridentificatie-risico
7. Kwetsbare betrokkenen (jeugd, zorg)	Vaak — JA	Verkleint impact bij datalek
8. Innovatieve technologie	Soms (AI-gebruik)	Maakt AI-gebruik veiliger
9. Verhinderen rechten/diensten	Soms	N.v.t.

4.3 Doelbinding, rechtmatigheid, minimalisatie

Overneembare tekst — doelbinding

Het pseudonimiseren met AVG Kompas dient één specifiek doel: het beperken van de identificeerbaarheid van betrokkenen vóór een vooraf bepaalde verdere verwerking (delen met ketenpartner, intervisie, AI-verwerking). Het oorspronkelijke doel van de cliëntdossier-verwerking blijft ongewijzigd.

Overneembare tekst — grondslag

De verwerking vindt plaats op grond van [artikel 6 lid 1 sub e (uitvoering taak van algemeen belang) / artikel 9 lid 2 sub g/h (zorgverlening, sociale bescherming)]. Het inzetten van AVG Kompas voor pseudonimisering versterkt de proportionaliteit en noodzaak-toets door de minst privacy-invasieve uitvoering van de verdere verwerking mogelijk te maken.

Overneembare tekst — minimalisatie

Het gebruik van AVG Kompas vóór delen of analyseren beperkt de hoeveelheid persoonsgegevens die feitelijk in handen van derden komt — een operationalisering van het minimalisatie-beginsel van artikel 5 lid 1 sub c AVG.

4.4 Risico’s en mitigerende maatregelen

Risico	Zonder AVG Kompas	Met AVG Kompas
Ongeoorloofde inzage bij ketenpartner	Hoog	Beperkt
Misbruik in AI-tools	Hoog	Verlaagd
Verspreiden in intervisie	Herkenningsrisico	Veel lager
Datalek tijdens verzending	Volledige identificatie	Beperkt
Verwerking bij leverancier	N.v.t.	N.v.t. — client-side

Restrisico

Na inzet van AVG Kompas blijft een restrisico bestaan, dat u in uw DPIA expliciet moet benoemen:

Heridentificatie via context (combinaties van indirect identificerende gegevens kunnen nog herleidbaar zijn).
Foutmarge in detectie — geen tool detecteert 100 % van alle persoonsgegevens automatisch.
Menselijke fout — vergeten van een vervangregel voor een specifieke naam of organisatie.

5. Beveiligingsmaatregelen

Technische en organisatorische maatregelen (TOM) zoals bedoeld in artikel 32 AVG:

Technisch

TLS/HTTPS-verbinding voor het laden van de tool.
Client-side architectuur — geen server-side opslag of verwerking van inhoud.
Geen tracking-cookies, geen analytics op inhoud, geen telemetrie.
Lettertypen, iconen en scripts vanaf het eigen domein — geen externe CDN’s die uw bezoek kunnen loggen.
Licentiecodes zijn zelf-validerend (datum zit in de code) — geen centraal register dat gehackt kan worden.

Organisatorisch

Auteursrechtelijke en contractuele bescherming van detectiepatronen.
Klant-administratie volgens AVG: minimalisatie, bewaartermijnen, recht op inzage/verwijdering.
Externe betalingsverwerking door Mollie B.V. (PCI-DSS gecertificeerd).

6. Veelgestelde vragen vanuit inkoop en DPO

Heb ik een verwerkersovereenkomst nodig?

Nee. AVG Kompas draait volledig in uw browser en wij ontvangen geen persoonsgegevens uit uw teksten. Voor uw inkoopdossier kunnen wij een geen-verwerker-verklaring leveren (zie hoofdstuk 7).

Heeft AVG Kompas een ISO 27001-certificering?

Nee, en die is voor de tool-functie niet relevant: er is geen serverkant die certificering vereist. Voor klant-administratie en betalingsverwerking gebruiken wij gecertificeerde partijen (Mollie B.V. is PCI-DSS-gecertificeerd).

Waar wordt de data opgeslagen?

Uw cliëntdata: nergens — alles blijft in uw browser. Licentiecode en voorkeuren: in localStorage van uw browser. Klant-administratie: bij Plesierigwerk (KvK 91949491, Nederland) en Mollie B.V.

Wat gebeurt er als uw bedrijf ophoudt te bestaan?

Omdat AVG Kompas client-side is, blijft de tool werken zolang u de pagina in uw browser kunt laden. Voor langetermijn-continuïteit kunnen grotere organisaties op aanvraag een on-premise-versie ontvangen.

Hoe wordt de tool getest op detectie-effectiviteit?

Wij testen tegen een interne testset van fictieve casussen die representatief zijn voor wijkteam-, jeugdzorg- en gemeente-context. De tool detecteert circa 95 % van direct identificerende gegevens in standaard-Nederlandse tekst. Eindcontrole door de medewerker blijft nodig.

Hoe vaak wordt AVG Kompas bijgewerkt?

Detectiepatronen en functionaliteit worden doorlopend verbeterd. Wezenlijke wijzigingen worden vooraf aangekondigd via e-mail aan licentiehouders (artikel 3.4 van onze algemene voorwaarden).

7. Geen-verwerker-verklaring (formele tekst)

Voor uw inkoopdossier of contractarchief — de onderstaande tekst kunt u als formele verklaring overnemen of uitprinten. Vraag op aanvraag voor een versie op briefpapier met handtekening.

Verklaring — geen verwerker in de zin van artikel 28 AVG

Plesierigwerk (KvK 91949491) verklaart hierbij dat zij in haar hoedanigheid van aanbieder van AVG Kompas geen persoonsgegevens van klantorganisaties of derden verwerkt namens deze organisaties. De softwaretoepassing AVG Kompas draait volledig client-side in de browser van de eindgebruiker; cliëntdossiers, casusverslagen of andere documenten die met de tool worden verwerkt komen op geen enkel moment in het bezit, het bereik of de invloedssfeer van Plesierigwerk.

Op grond hiervan is het sluiten van een verwerkersovereenkomst in de zin van artikel 28 AVG niet vereist voor het gebruik van AVG Kompas. Klantorganisaties blijven als verwerkingsverantwoordelijke onverkort verantwoordelijk voor de naleving van de AVG ten aanzien van de met AVG Kompas verwerkte gegevens.

Voor de bij gebruik van AVG Kompas relevante klantadministratie (bestel-, factuur- en betaalgegevens) is Plesierigwerk wel verwerkingsverantwoordelijke; deze verwerking valt onder onze algemene voorwaarden en privacyverklaring.

Alphen aan den Rijn, juni 2026 — H.P. Siereveld, Plesierigwerk

8. Contact en verdere ondersteuning

Heeft u na het lezen van dit document nog vragen, of heeft uw organisatie aanvullende documentatie nodig voor uw inkoop- of DPIA-traject?

Plesierigwerk

Hoofdvestiging: Alphen aan den Rijn

KvK: 91949491

BTW: NL004927684B93

E-mail: info@avgkompas.nl

Web: avgkompas.nl

Aanvullende stukken op verzoek beschikbaar:

Geen-verwerker-verklaring (afzonderlijk, op briefpapier met handtekening).
Toelichting op detectiepatronen voor uw beveiligings-audit.
On-premise variant met eigen subdomein (voor 50+ gebruikers).
Gedetailleerd onderhoudsplan en changelog.

Dit document is opgesteld als hulpmiddel voor uw AVG-verantwoording en kan in zijn geheel of gedeeltelijk worden overgenomen in uw DPIA, inkoopdossier of compliance-archief. Het vormt geen juridisch advies; voor de juridisch sluitende interpretatie van uw specifieke situatie raden wij een onafhankelijke AVG-toets aan.