In het kort
- In de EUJe stukken en gegevens worden opgeslagen en verwerkt in de Europese Unie.
- Alleen jouw bedrijfKlanten zijn in de database strikt van elkaar gescheiden. Dat wordt bij elke wijziging getest.
- Altijd tweestapInloggen kan alleen met wachtwoord én een code van je telefoon. Voor iedereen, zonder uitzondering.
- Niet om te trainenJe stukken worden niet gebruikt om AI-modellen of andere software te trainen.
- Wij kijken niet meeNiemand bij Atvalio kan in je tenders, tenzij jij bij een supportvraag zelf tijdelijk toegang geeft.
JE GEGEVENS
Waar ze staan en wie erbij kan
Opslag in de Europese Unie Nu
De database en de bestanden staan in een datacenter in Frankfurt. De website draait daar ook. Welke partijen we gebruiken, staat in de privacyverklaring.
Strikt gescheiden per klant Nu
De scheiding zit in de database zelf, niet alleen in de app. Ook als er ooit een fout in een scherm zit, krijgt een ander bedrijf jouw gegevens niet te zien. Bij elke wijziging draait een automatische test die probeert bij de gegevens van een andere klant te komen. Slaagt die poging, dan gaat de wijziging niet live.
Supporttoegang alleen met jouw toestemming Bij de lancering
Heb je een vraag waarbij we in een tender moeten kijken, dan geef jij die toegang zelf, voor die ene tender en voor een beperkte tijd. Elke keer wordt vastgelegd wie wanneer heeft gekeken. Zonder jouw toestemming kan niemand bij Atvalio erbij.
Versleuteld onderweg en opgeslagen Nu
Elke verbinding met Atvalio is versleuteld. Ook de opgeslagen gegevens zijn versleuteld.
Je kunt alles meenemen en laten verwijderen Bij de lancering
Je tenders en offertes download je als Word of PDF. Stop je, dan verwijderen we je gegevens na de termijn uit de voorwaarden.
INLOGGEN
Wie is wie
Tweestapsverificatie verplicht Nu
Naast je wachtwoord vraagt Atvalio altijd een code uit een authenticator-app. Dat is niet uit te zetten, ook niet door een beheerder. De database zelf weigert elk verzoek zonder die tweede stap.
Sterke wachtwoorden Nu
Minimaal twaalf tekens, met hoofdletters, kleine letters, cijfers en tekens. Een wachtwoord wijzigen kan alleen als je recent hebt ingelogd en je huidige wachtwoord kent.
Rollen per gebruiker Nu
Een beheerder bepaalt wie wat mag: beheerder, medewerker of meekijker. Een organisatie houdt altijd minstens één beheerder.
AI
Wat de AI wel en niet doet
Atvalio gebruikt Claude, het AI-model van Anthropic, om tenders te lezen en teksten voor te stellen.
Verwerking in de EU, niet om te trainen Bij de lancering
Het model draait via Amazon Bedrock, in datacenters in de Europese Unie. Je stukken gaan niet naar een openbare chatdienst en worden niet gebruikt om het model te trainen.
Adviseren, niet beslissen Ontwerpregel
Atvalio doet voorstellen met onderbouwing. Jij beslist en jij dient in. Geen enkele functie kan iets namens jou versturen of indienen.
Altijd met bron Ontwerpregel
Elk advies verwijst naar een pagina in de stukken, een veld in je profiel of een webpagina. Ontbreekt informatie, dan stelt Atvalio een vraag in plaats van iets te verzinnen.
Tekst in documenten is nooit een opdracht Ontwerpregel
In een geüpload document kan tekst staan die probeert de AI te sturen. Atvalio behandelt alles uit documenten als inhoud om te lezen, nooit als instructie om uit te voeren.
ZORGEN OVER AI
Wat mensen ons vragen over AI
Terechte vragen. Dit zijn onze antwoorden, zonder kleine lettertjes.
Kan mijn concurrent via de AI bij mijn teksten?
Nee. Het model heeft geen geheugen dat tussen klanten wordt gedeeld. Bij elk verzoek krijgt het alleen de stukken en het profiel van jouw organisatie mee, en die scheiding wordt in de database afgedwongen. Ook als je concurrent Atvalio gebruikt voor dezelfde aanbesteding, ziet de AI bij hem niets van jou.
Leert het model van mijn stukken?
Nee. Je stukken worden niet gebruikt om het model te trainen, door ons niet en door de aanbieder niet. Het model is na jouw tender precies hetzelfde als ervoor.
Gaan mijn stukken naar ChatGPT of een andere openbare dienst?
Nee. Atvalio gebruikt Claude via Amazon Bedrock, in datacenters in de Europese Unie. Dat is een zakelijke omgeving, los van openbare chatdiensten. Amazon bewaart de verzoeken en antwoorden daar niet en gebruikt ze niet voor training.
Wat als de AI iets verzint?
Dat kan een taalmodel doen, en daarom hebben we er een regel voor. Elk advies moet verwijzen naar een pagina in de stukken, een veld in je profiel of een webpagina, en de software controleert dat die bron echt bestaat. Zonder bron geen advies. Ontbreekt informatie, dan stelt Atvalio een vraag. En jij leest en keurt alles voordat er iets de deur uit gaat.
Kan iemand de AI misleiden met een document?
Iemand kan in een document tekst zetten als "negeer je instructies". Atvalio behandelt alles uit geüploade documenten als inhoud om te lezen, nooit als opdracht. De AI kan bovendien niets versturen, indienen of aan andere klanten doorgeven; het enige wat ze doet is voorstellen in jouw omgeving.
Wie is verantwoordelijk voor wat er wordt ingediend?
Jij. Atvalio adviseert en schrijft voorstellen; jij beslist, past aan en dient zelf in. Dat is geen voorbehoud maar een ontwerpkeuze: geen enkele functie kan namens jou iets indienen.
HOE WE BOUWEN
Veiligheid bij elke wijziging
Elke wijziging wordt getest Nu
Geen wijziging gaat live zonder automatische controles: de klantscheiding, de rechten in de database en bekende kwetsbaarheden in gebruikte onderdelen. Faalt er één, dan gaat de wijziging niet live. Niemand kan dat overslaan.
Onafhankelijke controles Nu
Op vaste momenten wordt de hele code los van de bouw nagelopen op kwetsbaarheden. De laatste controle was op 1 november 2026; alle bevindingen zijn opgelost.
Geen geheimen in de code Nu
Sleutels en wachtwoorden staan nooit in de code, alleen versleuteld bij de diensten die ze nodig hebben.
Strenge regels in de browser Nu
De website laat alleen zijn eigen scripts draaien, kan niet in een andere site worden ingebed en praat alleen met zijn eigen diensten.
VOOR DE CISO
De details die je IT-afdeling wil weten
Dezelfde afspraken als in de verwerkersovereenkomst.
Subverwerkers
| Partij | Waarvoor | Waar |
|---|---|---|
| Supabase | Database, inloggen, opslag van documenten | Frankfurt |
| Vercel | Hosting van de webapplicatie | Frankfurt |
| Amazon Web Services | AI-verwerking (Claude via Amazon Bedrock) | Europese Unie |
| Microsoft | E-mail van Atvalio | Europese Unie |
| Resend | Versturen van mails van Atvalio | Ierland |
Een nieuwe partij melden we minstens 30 dagen van tevoren. Heb je een gegrond bezwaar, dan kun je opzeggen.
Datalekken: binnen 48 uur bericht Afspraak
Raakt een beveiligingsincident persoonsgegevens, dan krijgt de beheerder van je account binnen 48 uur na ontdekking bericht, met wat we weten over de aard, de gevolgen en de maatregelen.
Logboek Bij de lancering
Belangrijke handelingen worden vastgelegd: inloggen, akkoorden, wie welke tender opende en elke keer dat supporttoegang is gebruikt.
Back-ups Bij de lancering
Dagelijkse back-ups, versleuteld en binnen de EU, zodat gegevens na een storing terug te zetten zijn.
Bewaren en verwijderen Afspraak
Na het einde van je abonnement heb je 30 dagen om alles te downloaden. Daarna verwijderen we je gegevens binnen 30 dagen, ook uit de back-ups. Op verzoek bevestigen we dat schriftelijk.
Controle en audit Afspraak
Op verzoek krijg je een beschrijving van de maatregelen en de uitkomsten van de beveiligingsreviews. Eén keer per jaar mag je op eigen kosten een onafhankelijke audit laten doen.
Inloggen via je eigen Microsoft-account Later
Voor grotere organisaties komt inloggen via Microsoft (single sign-on). Tot die tijd is tweestapsverificatie bij Atvalio zelf verplicht.
KWETSBAARHEID MELDEN
Iets gevonden? Laat het ons weten
Meld het hier. Je melding komt direct als ticket bij ons binnen. We reageren binnen twee werkdagen en houden je op de hoogte tot het is opgelost. Maak het alsjeblieft niet openbaar voordat het is opgelost, en kijk niet in gegevens van anderen.
EERLIJK IS EERLIJK
Wat we nog niet hebben
- Atvalio is een jong bedrijf, nog in oprichting. We hebben geen ISO 27001-certificaat of SOC 2-rapport. De partijen waar we op bouwen hebben dat wel.
- Atvalio Tenders is nog in ontwikkeling. Wat hierboven "Bij de lancering" heet, bouwen we nu en is er als je kunt starten.
- Verandert hier iets, dan zie je het op deze pagina, met de datum.
JONG BEDRIJF
Waarom dat geen reden tot zorg hoeft te zijn
- Gebouwd door iemand uit het vak. Atvalio is opgericht door een directeur met jarenlange ervaring in Europese aanbestedingen en private tenders. We bouwen wat we zelf nodig hadden.
- Klein, en daardoor snel. Geen lagen, geen overdrachten. Een vraag of melding komt direct bij wie erover beslist, en wordt binnen twee werkdagen beantwoord.
- Op grote, bewezen partijen. Opslag, hosting en AI draaien bij leveranciers die zelf gecertificeerd zijn en wereldwijd duizenden bedrijven bedienen. Wij voegen daar strenge regels aan toe, geen eigen experimenten.
- Zorgvuldig vastgelegd. Elke wijziging wordt automatisch getest voordat hij live gaat, en de code wordt op vaste momenten onafhankelijk nagelopen.
- Je zit nooit vast. Je tenders en offertes download je altijd als Word of PDF. Stopt je abonnement, of zou Atvalio ooit stoppen, dan heb je 30 dagen om alles mee te nemen.
Voor je IT-afdeling of inkoop
Alles wat je nodig hebt om Atvalio te beoordelen, zonder te bellen.
Bijgewerkt op 1 november 2026.