Privacyverklaring

1. Twee rollen, twee verantwoordelijkheden

Paauw AI verwerkt persoonsgegevens in twee situaties en die verschillen juridisch van elkaar.

• Voor onszelf (verwerkingsverantwoordelijke). Bezoekers van deze website, mensen die een gesprek inplannen en contactpersonen bij onze opdrachtgevers. Daarover gaat deze verklaring.
• In opdracht van een klant (verwerker). Bouwen wij voor een bedrijf een AI-assistent die klantvragen leest en beantwoordt, dan verwerken wij de gegevens van diens klanten uitsluitend in opdracht van dat bedrijf. Dat bedrijf bepaalt wat er met die gegevens gebeurt en heeft een eigen privacyverklaring. Wij leggen die samenwerking vast in een verwerkersovereenkomst. Zie hoofdstuk 7.

2. Wanneer verwerken wij jouw gegevens?

Bezoek aan deze website

Wij gebruiken Google Ads en de Meta-pixel om te meten welke advertenties bezoekers opleveren en om advertenties te tonen aan mensen die onze site bezochten. Daarbij worden een pseudoniem kenmerk, je IP-adres, je apparaat- en browsergegevens en het bekeken pad verwerkt en worden cookies geplaatst. Grondslag: toestemming voor de cookies en gerechtvaardigd belang voor het meten van de effectiviteit van onze advertenties.

Wil je dit niet? Je kunt cookies blokkeren of verwijderen in je browser en bijGoogle enMeta je advertentievoorkeuren aanpassen.

Een gesprek inplannen

Plan je een kennismakingsgesprek, dan loopt dat via Calendly. Wij ontvangen je naam, e-mailadres, het gekozen tijdstip en wat je zelf invult. Grondslag: uitvoering van de overeenkomst of stappen daaraan voorafgaand, op jouw verzoek.

Contact en offertes

Neem je contact op, dan verwerken wij je naam, e-mailadres, telefoonnummer, bedrijfsnaam en de inhoud van ons contact, plus aantekeningen die wij maken om een voorstel te kunnen doen. Grondslag: uitvoering van de overeenkomst of ons gerechtvaardigd belang om zakelijke vragen te kunnen beantwoorden.

Workshops: wachtlijst en inschrijving

Zet je je op de wachtlijst voor een workshop, dan verwerken wij je naam, e-mailadres, telefoonnummer (als je dat invult), je bedrijf of werk, hoe je AI nu gebruikt, wat je assistent als eerste zou moeten doen en via welke advertentie of pagina je binnenkwam. Wij gebruiken dat alleen om je over de workshop te informeren. Grondslag: stappen voorafgaand aan een overeenkomst, op jouw verzoek.

Schrijf je je in, dan verwerken wij daarnaast je factuurgegevens (bedrijfsnaam, KvK- en btw-nummer, adres en land) en de status van je betaling. De betaling loopt via Mollie: jouw bank- of kaartgegevens vul je in bij Mollie en komen niet bij ons terecht. Wij zien alleen of en wanneer er betaald is. Aanmeldingen en inschrijvingen staan in Google Workspace. Bij een nieuwe aanmelding of betaling krijgen wij een pushmelding op onze telefoon via Vybit, met je naam en contactgegevens. Grondslag: uitvoering van de overeenkomst en een wettelijke plicht voor onze administratie.

Opnames en verslagen van online gesprekken

Online gesprekken nemen wij op en laten wij automatisch samenvatten met Wispr Flow, zodat wij afspraken correct vastleggen. Dat gebeurt alleen als de deelnemers dat weten: de opname wordt vooraf aangekondigd en je kunt bezwaar maken, waarna wij de opname uitzetten. Grondslag: toestemming.

Klanten en administratie

Van opdrachtgevers verwerken wij contact- en bedrijfsgegevens, afspraken, facturen en betalingen. Grondslag: uitvoering van de overeenkomst en een wettelijke plicht voor onze administratie.

Het Klantportaal

Opdrachtgevers krijgen toegang tot ons Klantportaal, waarin zij zien wat hun AI-assistent doet en gesprekken kunnen overnemen. Een account krijg je alleen via een uitnodiging. Van de medewerkers die inloggen verwerken wij naam, zakelijk e-mailadres, een versleuteld opgeslagen wachtwoord, de gegevens van de verplichte inlogcode, hun rol en een logboek van handelingen in het portaal, zoals inloggen, een gesprek openen, een antwoord versturen of een gesprek overnemen. Dat logboek bevat geen berichtinhoud. Grondslag: uitvoering van de overeenkomst met hun werkgever en ons gerechtvaardigd belang om te kunnen nagaan wie wat deed.

Mailboxen en WhatsApp koppelen

Een opdrachtgever koppelt zelf de mailbox of het WhatsApp-nummer waarop de AI-assistent werkt. Bij een Microsoft 365-mailbox geeft een beheerder van de opdrachtgever onze app toegang tot alleen die mailbox: e-mail lezen, concepten maken, versturen en labels beheren. Andere mailboxen van het bedrijf zijn voor ons niet toegankelijk. Bij WhatsApp kiest de opdrachtgever via Meta zelf het nummer. Van de koppeling bewaren wij het mailboxadres of nummer, de identificatie van de organisatie bij Microsoft of Meta en de toegangsgegevens die nodig zijn om namens de opdrachtgever te werken. Die toegangsgegevens staan versleuteld opgeslagen. Wij gebruiken de gegevens uit Microsoft 365 en WhatsApp alleen om de opdracht uit te voeren, nooit voor advertenties of marketing. Grondslag: uitvoering van de overeenkomst met de opdrachtgever.

3. Wat wij niet doen

• Wij verkopen geen gegevens.
• Wij gebruiken gegevens van klanten of hun klanten niet om AI-modellen te trainen.
• Wij nemen geen besluiten over mensen op basis van uitsluitend geautomatiseerde verwerking.
• Wij slaan geen betaalgegevens van creditcards of bankrekeningen van bezoekers op.

4. Hoe lang bewaren wij gegevens?

• Contact zonder vervolg: maximaal 12 maanden na het laatste contact.
• Wachtlijst voor een workshop: maximaal 12 maanden na je aanmelding, of korter als je je afmeldt.
• Workshopinschrijvingen: 7 jaar, omdat ze bij onze administratie horen.
• Opdrachtgevers: gedurende de samenwerking, daarna 7 jaar voor onze administratie, omdat de Belastingdienst dat vereist.
• Gespreksopnames en verslagen: maximaal 12 maanden, tenzij er een lopende offerte of opdracht aan hangt.
• Gegevens in het Klantportaal: berichten en gesprekken maximaal 90 dagen, of korter als de opdrachtgever dat instelt. Het logboek van handelingen 12 maanden.
• Website- en advertentiegegevens: volgens de bewaartermijnen van Google en Meta, doorgaans tot 26 maanden.

5. Wie wij inschakelen

Wij werken met de volgende partijen. Met elk van hen hebben wij afspraken over de omgang met gegevens.

• Vercel (hosting van deze website en van het Klantportaal)
• Neon (database in Frankfurt, Duitsland)
• Anthropic (het AI-model dat berichten leest en antwoorden voorstelt)
• Microsoft (toegang tot de gekoppelde mailbox van opdrachtgevers)
• WhatsApp Ireland (Meta) (ontvangen en versturen van WhatsApp-berichten)
• Trigger.dev (uitvoeren van de automatiseringen)
• Resend (systeemmails van het Klantportaal) en Sentry (foutmeldingen, zonder persoonsgegevens)
• Google Workspace (e-mail, agenda en documenten), Calendly (afspraken), Wispr Flow (gespreksopnames en verslagen), Asana (projecten)
• Mollie (betaallinks op facturen en betalingen voor workshops) en onze boekhouding
• Vybit (pushmeldingen aan onszelf bij een nieuwe aanmelding of betaling)
• Google en Meta (advertenties en meting)

6. Doorgifte buiten de Europese Economische Ruimte

Een aantal van deze partijen is Amerikaans of verwerkt gegevens mede in de Verenigde Staten. Daarvoor gelden passende waarborgen: certificering onder het EU-U.S. Data Privacy Framework of de standaardcontractbepalingen van de Europese Commissie. De gespreksopslag van het Klantportaal staat in Frankfurt, binnen de Europese Economische Ruimte.

7. Werken wij in opdracht van een bedrijf?

Ben je klant van een bedrijf dat met onze AI-assistent werkt, dan verwerken wij jouw gegevens uitsluitend in opdracht van dat bedrijf. Wil je je gegevens inzien of laten verwijderen, richt je dan tot dat bedrijf: zij bepalen wat ermee gebeurt. Wij voeren zo'n verzoek voor hen uit. Dat kan bij ons volledig: wij slaan berichten versleuteld op met een sleutel per klantcontact en bij een verwijderverzoek vernietigen wij die sleutel, waardoor de gegevens direct onleesbaar worden. Reservekopieën van onze database worden na de hersteltermijn van onze databaseleverancier automatisch gewist.

8. Toegang tot Microsoft 365 of WhatsApp intrekken

Een opdrachtgever kan onze toegang altijd zelf stoppen, ook zonder ons:

• In het Klantportaal: onder Instellingen, Kanalen, met de knop Ontkoppelen. Wij wissen de opgeslagen toegangsgegevens dan direct.
• Bij Microsoft: een beheerder verwijdert de app "Paauw AI Klantportaal" in het Microsoft Entra-beheercentrum onder Enterprise applications. Daarmee vervallen ook de rechten op de gekoppelde mailbox. Medewerkers zien welke apps toegang hebben viamyapps.microsoft.comen kunnen een eigen toestemming intrekken viaaccount.live.com/consent/Manage.
• Bij Meta: een beheerder verwijdert de toegang van Paauw AI in Meta Business Suite onder Instellingen, Accounts, WhatsApp-accounts, of in WhatsApp Manager.

Stopt de samenwerking, dan verwijderen wij alle gegevens die wij via Microsoft of Meta hebben verkregen, met uitzondering van wat wij wettelijk moeten bewaren.

9. Hoe wij gegevens beveiligen

• Versleutelde verbindingen en versleutelde opslag van berichten en persoonsgegevens.
• Gegevens van elke opdrachtgever zijn in de database van elkaar afgeschermd.
• Toegang met meerstapsverificatie en rechten per medewerker en per kanaal.
• Geen berichtinhoud in technische logbestanden.
• Een vermoedelijk datalek melden wij binnen 24 uur aan de betrokken opdrachtgever en waar het gegevens uit Microsoft 365 of WhatsApp betreft ook aan Microsoft of Meta.

Zie je een beveiligingsprobleem in onze website of het klantportaal? Meld het aaninfo@paauwai.nl met het onderwerp "Beveiligingsmelding". We reageren binnen 2 werkdagen en lossen bevestigde problemen zo snel mogelijk op. Test alleen zonder gegevens van anderen in te zien of te wijzigen. Zie ooksecurity.txt.

10. Jouw rechten

Je kunt je gegevens inzien, laten corrigeren of laten verwijderen, de verwerking laten beperken, bezwaar maken tegen verwerking op grond van gerechtvaardigd belang en je gegevens in een gangbaar bestand ontvangen. Gaven wij toestemming als grondslag aan, dan kun je die altijd intrekken.

Stuur je verzoek naar info@paauwai.nl. Wij reageren binnen 30 dagen. Kom je er met ons niet uit, dan kun je een klacht indienen bij deAutoriteit Persoonsgegevens.

11. Wijzigingen

Wij passen deze verklaring aan als onze dienstverlening of de partijen die wij inschakelen veranderen. Bovenaan staat wanneer dat voor het laatst gebeurde.