AVG-compliance voor PDF-tools: waar moet je op letten? | PDFSub Engine
Hoe PDFSub voldoet aan de AVG
PDFSub is ontworpen met een privacygerichte architectuur die voldoet aan de AVG-vereisten, niet als een bijzaak. PDFSub voldoet aan de AVG en CCPA, en is SOC 2 Ready.
Standaard browsergebaseerde verwerking
Voor bewerkingen — samenvoegen, splitsen, comprimeren, roteren — verwerkt PDFSub bestanden in uw browser. Conversies en geavanceerde verwerking worden mogelijk gemaakt door de PDFSub Engine — een geïsoleerde service zonder internettoegang. Bestanden worden verwerkt in een geïsoleerde omgeving en na verwerking automatisch verwijderd.
Dit is geen marketingclaim — het is een architecturale beslissing. Client-side verwerking elimineert de relatie met de gegevensverwerker volledig voor deze bewerkingen. Geen DPA nodig. Geen risico op internationale overdracht. Geen server-side opslag.
Wanneer serververwerking vereist is
Sommige bewerkingen vereisen server-side verwerking: OCR voor gescande documenten, AI-gestuurde extractie voor complexe financiële documenten en bepaalde geavanceerde conversies. Wanneer dit gebeurt, volgt PDFSub strikte protocollen:
-
Encryptie tijdens transport — alle bestandsoverdrachten gebruiken TLS-encryptie
-
Geïsoleerde verwerking — bestanden worden verwerkt in een geïsoleerde omgeving zonder internettoegang
-
Onmiddellijke verwijdering — bestanden worden verwijderd zodra de verwerking is voltooid
-
Geen training op gebruikersbestanden — geüploade documenten worden nooit gebruikt om AI-modellen te trainen of algoritmen te verbeteren
-
Doelbinding — bestanden worden uitsluitend verwerkt voor de gevraagde bewerking
DPA beschikbaar voor zakelijke klanten
PDFSub biedt een Data Processing Agreement (DPA) voor zakelijke klanten die formele documentatie van de verwerkersrelatie vereisen. Dit dekt de server-side verwerkingsscenario's en bevat alle verplichte bepalingen van artikel 28.
Transparant over wat er gebeurt
De privacyaanpak van PDFSub is eenvoudig: verwerk lokaal waar mogelijk, en wanneer serververwerking noodzakelijk is, minimaliseer data-blootstelling door encryptie en onmiddellijke verwijdering. Er zijn geen vage clausules over "zakelijke doeleinden". Er is geen secundair gebruik van uw gegevens.
U kunt PDFSub's 77+ tools bekijken en een 7-daagse gratis proefperiode proberen om het browsergebaseerde verwerkingsmodel zelf te verifiëren voordat u zich vastlegt.
AVG-checklist voor het kiezen van een PDF-tool
Gebruik deze checklist bij het evalueren van elke PDF-tool op AVG-naleving. Browsergebaseerde tools omzeilen verschillende categorieën volledig, maar voor elke cloudgebaseerde tool telt elk item.
| # | Vraag | Waar op te letten |
|---|---|---|
| 1 | Worden bestanden lokaal verwerkt? | Browsergebaseerde verwerking = geen gegevensoverdracht = geen verwerkersrelatie. Verifieer door netwerkverkeer te controleren in de ontwikkelaarstools van de browser. |
| 2 | Is er een DPA beschikbaar? | Moet verkrijgbaar zijn zonder een zakelijk verkooppraatje. Moet alle verplichte bepalingen van artikel 28 bevatten. |
| 3 | Waar bevinden de servers zich? | Verwerking in de EU/EER vermijdt overdrachtscomplicaties. Indien buiten de EU, controleer op adequaatheidsbesluit, SCC's of BCR's. |
| 4 | Wat is het beleid voor het bewaren van bestanden? | Onmiddellijke verwijdering is de beste praktijk. Elke opslag na voltooiing van de verwerking heeft rechtvaardiging nodig. |
| 5 | Worden gegevens voor enig secundair doel gebruikt? | Privacybeleid moet expliciet AI-training, analyse en advertentiegebruik van bestandsinhoud uitsluiten. |
| 6 | Hoe worden verzoeken van betrokkenen afgehandeld? | Moet in staat zijn om de verwijdering van bewaarde kopieën te bevestigen wanneer een betrokkene het recht op vergetelheid uitoefent. |
| 7 | Welke sub-verwerkers zijn betrokken? | Gepubliceerde lijst met beschrijvingen, locaties en een meldingsmechanisme wanneer sub-verwerkers veranderen. |
| 8 | Welke beveiligingsmaatregelen zijn getroffen? | Encryptie tijdens transport en in rust, toegangscontroles, relevante certificeringen (ISO 27001, SOC 2). |
| 9 | Wat zijn de verplichtingen voor het melden van datalekken? | Melding binnen 72 uur (of eerder), met een speciaal contactpunt voor beveiligingsincidenten. |
| 10 | Kunt u de naleving auditen? | DPA moet auditrechten bevatten. Aanbieder moet nalevingsdocumentatie delen en een DPO aanwijzen. |
De kosten van fouten: AVG-boetes in context
AVG-boetes zijn bedoeld om afschrikwekkend te werken. De lagere schijf (artikel 83(4)) staat boetes toe tot EUR 10 miljoen of 2% van de wereldwijde jaaromzet voor schendingen van verwerkers- en beveiligingsregels. De hogere schijf (artikel 83(5)) staat boetes toe tot EUR 20 miljoen of 4% van de wereldwijde jaaromzet voor schendingen van beginselen voor gegevensverwerking en rechten van betrokkenen.
De handhavingstrend is onmiskenbaar. In 2025 was een onvoldoende rechtsgrondslag voor gegevensverwerking goed voor 90% van de totale boetewaarde (ongeveer EUR 1,03 miljard). TikTok ontving in mei 2025 een boete van EUR 530 miljoen voor het illegaal overdragen van EU-gebruikersgegevens naar China zonder adequate waarborgen. Kleinere organisaties zijn niet immuun — toezichthouders hebben MKB's beboet voor onvoldoende DPA's, onvoldoende beveiliging en excessieve opslag.
De reputatieschade kan de financiële boete overstijgen. Een datalek met bankafschriften of medische dossiers van klanten beschadigt het vertrouwen op een manier die geen enkele boetebetaling kan herstellen.