Informatie: AVG & GDPR

    AVG-proof software bouwen, ook met AI en Lovable

    De AVG geldt voor elke applicatie die persoonsgegevens verwerkt. Op deze pagina leggen we uit wat dat betekent voor moderne bedrijfssoftware, voor AI-toepassingen en voor apps die met Lovable zijn gebouwd.

    Waarom de AVG een architectuurvraag is

    Veel organisaties zien de AVG als een juridisch onderwerp: een privacyverklaring, een cookiebanner en een verwerkersovereenkomst. Dat is nodig, maar het is niet genoeg. Artikel 25 van de AVG vraagt om privacy by design en privacy by default. Dat betekent dat bescherming van persoonsgegevens in het ontwerp van de software zelf moet zitten.

    Of een applicatie AVG-proof is, hangt dus af van keuzes die tijdens het bouwen worden gemaakt: welke gegevens je opslaat, wie erbij kan, waar ze staan, hoe lang je ze bewaart en welke externe diensten ze te zien krijgen. Een platform kan veilig zijn, terwijl de applicatie die erop draait dat niet is.

    1. Rollen: verwerkingsverantwoordelijke en verwerker

    De organisatie die bepaalt waarom en hoe persoonsgegevens worden verwerkt, is de verwerkingsverantwoordelijke. Dat ben jij als eigenaar van de applicatie. Partijen die namens jou gegevens verwerken, zoals een hostingpartij, een databaseleverancier of een AI-dienst, zijn verwerkers.

    Met elke verwerker heb je een verwerkersovereenkomst nodig (artikel 28 AVG). Daarin staat onder meer welke gegevens worden verwerkt, hoe ze worden beveiligd en welke subverwerkers worden ingeschakeld.

    • Lovable biedt een verwerkersovereenkomst (DPA) op de Business- en Enterprise-abonnementen. Op Free en Pro is die er niet.
    • De lijst met subverwerkers van Lovable is openbaar en hoort in jouw verwerkingsregister.
    • Elke extra koppeling, zoals een e-maildienst, betaalprovider of AI-model, is een eigen verwerker met een eigen overeenkomst.

    2. Beveiliging als wettelijke plicht

    Artikel 32 AVG verplicht passende technische en organisatorische maatregelen. In de praktijk zijn de meeste datalekken in moderne webapps geen geavanceerde hacks, maar configuratiefouten: een tabel die voor iedereen leesbaar is, een API-sleutel in de browsercode of een beheerfunctie die alleen in de interface is afgeschermd.

    • Toegangsregels in de database (Row Level Security) die per gebruiker afdwingen welke rijen zichtbaar zijn.
    • Rollen en rechten die op de server worden gecontroleerd, niet alleen in de interface.
    • Geheime sleutels uitsluitend aan de serverkant.
    • Invoercontrole op elke server-functie.
    • Versleuteling van verkeer en opslag, en up-to-date bibliotheken zonder bekende kwetsbaarheden.

    3. Dataminimalisatie en bewaartermijnen

    Je mag alleen persoonsgegevens verwerken die nodig zijn voor het doel (artikel 5 AVG). Wat je niet opslaat, kan ook niet lekken. Bij snel bouwen met AI ontstaan gemakkelijk tabellen met velden die niemand gebruikt, of logbestanden met volledige formulierinhoud.

    • Bepaal per veld waarom het nodig is.
    • Leg bewaartermijnen vast en verwijder of anonimiseer gegevens automatisch.
    • Log geen persoonsgegevens die je niet nodig hebt voor beheer of beveiliging.

    4. AI en persoonsgegevens

    AI brengt twee aparte AVG-vragen mee. De eerste gaat over het bouwen: wat gebeurt er met prompts, code en bestanden die je tijdens de ontwikkeling deelt? De tweede gaat over de werking van de app: welke gegevens van jouw gebruikers gaan naar een AI-model?

    • Bij Lovable kan ontwikkeldata op Free en Pro worden gebruikt voor modeltraining, tenzij je dat uitzet. Business en Enterprise zijn standaard uitgesloten. Gegevens van eindgebruikers van je app worden niet voor training gebruikt.
    • Stuur alleen de gegevens naar een AI-model die nodig zijn, en pseudonimiseer waar dat kan.
    • Ga na waar het AI-model draait. Verwerking buiten de EER vraagt om passende waarborgen.
    • Geautomatiseerde besluiten met rechtsgevolgen vallen onder artikel 22 AVG. Daarnaast stelt de Europese AI Act eigen eisen aan transparantie en risicobeheer.

    5. Rechten van betrokkenen

    Mensen van wie je gegevens verwerkt, hebben recht op inzage, correctie, verwijdering, beperking en overdracht van hun gegevens. Dat moet je binnen een maand kunnen afhandelen. Zonder voorzieningen in de software wordt dat handwerk in de database, met risico op fouten.

    • Een manier om alle gegevens van één persoon op te zoeken en te exporteren.
    • Verwijderen of anonimiseren zonder dat koppelingen of rapportages breken.
    • Vastleggen wanneer en hoe een verzoek is afgehandeld.

    6. Doorgifte buiten de EER

    Veel cloud- en AI-diensten zijn Amerikaans. Doorgifte naar de Verenigde Staten is toegestaan onder het EU-US Data Privacy Framework of met standaardcontractbepalingen, maar vraagt om bewuste keuzes en documentatie. Ook als de servers in Europa staan, kan een Amerikaans moederbedrijf onder Amerikaanse wetgeving vallen. Daarover gaat onze pagina over datasoevereiniteit.

    Checklist: is jouw applicatie AVG-proof?

    • Er is een verwerkersovereenkomst met elke partij die persoonsgegevens verwerkt.
    • Toegangsregels worden in de database en op de server afgedwongen.
    • Geen geheime sleutels in de browsercode.
    • Er zijn vastgelegde bewaartermijnen, en verwijderen gebeurt automatisch.
    • Je weet welke gegevens naar AI-diensten gaan en waar die draaien.
    • Inzage- en verwijderverzoeken kun je binnen een maand afhandelen.
    • Er is een verwerkingsregister en, waar nodig, een DPIA.
    • Je weet wat je moet doen bij een datalek (melding binnen 72 uur).

    Deze pagina geeft een technische en praktische toelichting en is geen juridisch advies. Voor juridische vragen raden we aan een privacyjurist of je functionaris gegevensbescherming te raadplegen.

    Verder lezen

    Wil je weten hoe jouw applicatie ervoor staat?

    We toetsen je applicatie op beveiliging, AVG en de AI Act, en vertellen in begrijpelijke taal wat er moet gebeuren.

    Neem contact op