Wwft KYC & sanctions-screening

Know Your Customer — het proces waarmee we vaststellen wie je bent voordat we geldstromen tussen jou en anderen faciliteren. Drie lagen: 1. **Identiteit** — juridische naam, geboortedatum, adres, ID-document. 2. **Sanctielijsten** — check tegen EU consolidated list, OFAC (VS), UN sanctions, HMT (VK), en Belgische lijsten. 3. **PEP-status** — Politically Exposed Person: mensen met politieke of publieke functies (ministers, ambassadeurs, rechters, familie/associaten) krijgen strenger toezicht wegens omkoping- en witwasrisico.

**Sumsub** — onze default. Ondersteunt document-scan, biometrische verificatie, PEP/sanctions in één flow. GDPR-compliant, servers in EU (Ierland). Certificaten: ISO 27001, SOC 2 Type II. **Veriff** — Estlandse provider, sterk in EER-documenten. Sneller voor NL-paspoort/ID-kaart. **Onfido** — Britse provider met grote reach voor niet-EU documenten (VS, VK, Australië, Azië). Gebruiken we voor cross-border opdrachtgevers. De provider ontvangt jouw ID en foto's; PROFOYO ontvangt alleen: risicoscore, cleared/escalated-status, provider-referentie en laatste 4 cijfers van het documentnummer. Volledig documentnummer, foto's en biometrische data blijven bij de provider en worden na hun bewaartermijn vernietigd.

Als je naam overeenkomt met een sanctielijst-vermelding (score > 85%), zetten we de screening op 'in_review' en gaat de aanvraag naar onze compliance officer. Vrijwel alle hits zijn 'false positives' door naamgenoten — de officer beoordeelt op geboortedatum, nationaliteit en aanvullende data of het echt jij bent. Bij een 'true positive' op een EU/UN-sanctielijst kunnen we wettelijk geen zakelijke relatie aangaan; we informeren je en beëindigen (art. 5 Wwft). Bij PEP-status is de relatie mogelijk mits verscherpt cliëntenonderzoek (art. 8 Wwft) — meer documentatie, doorlopende monitoring, herkomst-van-middelen check.

In `kyc_screenings`: subject_type (freelancer / company / ubo), legal_name, date_of_birth, nationality, country_of_residence, document_type, laatste 4 cijfers documentnummer, provider_slug, provider_reference, risk_level (low/medium/high/unacceptable), status en de reviewer + tijdstip. In `sanctions_hits`: list_name, list_source, match_name, match_score, match_type (name/alias/ubo/pep), decision (false_positive / true_positive / needs_review) en rationale. **Bewaartermijn: 5 jaar** na beëindiging van de zakelijke relatie (art. 33 Wwft). Daarna wordt het definitief gewist tenzij een lopende SAR of onderzoek dat blokkeert.

Als we transacties zien die afwijkend zijn (opeenvolgende cash-achtige uitbetalingen boven €10.000, verdachte betaal-corridors, tegenpartijen op sanctielijsten), zijn we onder art. 16 Wwft verplicht dit onverwijld te melden bij de FIU-Nederland. Deze melding gebeurt zonder de gebruiker te informeren ('tipping-off verbod', art. 23 Wwft). Onze compliance officer beslist over meldingen op basis van interne procedures die jaarlijks door een externe auditor worden getoetst.

Wwft en AVG staan naast elkaar. Je hebt recht op: - **Inzage** in de records die we van je hebben (art. 15 AVG). - **Rectificatie** bij onjuiste gegevens (art. 16 AVG). - **Beperking van verwerking** in bepaalde gevallen (art. 18 AVG). Je kunt géén beroep doen op vergetelheid (art. 17 AVG) zolang de Wwft-bewaartermijn van 5 jaar loopt — Wwft is een wettelijke plicht die de AVG-verwijderingsplicht opzij zet (art. 6 lid 1c AVG). Na afloop bewaartermijn wissen we automatisch.

PROFOYO is Wwft-plichtige instelling voor haar eigen betalingsdiensten — niet voor de opdracht die jij met een opdrachtgever aangaat. Als jij als freelancer zelf een Wwft-plichtige activiteit uitoefent (bijv. bemiddeling in woningen, accountancy, notariaat), voer je zelf ook Wwft-onderzoek uit op je klanten; onze KYC vervangt dat niet. Voor accountants: gebruik onze `sector packs` (/kennis/sector-packs-register-verifiers) voor je eigen cliëntonderzoek-workflow.