Privacyverklaring

1. Over deze verklaring

Deze verklaring geldt voor de website werkbrd.nl, voor accounts op werkbrd en voor de manier waarop werkbrd gegevens verwerkt voor haar klanten via de app, het klantportaal en de offertewidget.

werkbrd is de onderneming met de bedrijfsgegevens die op deze pagina staan. Heb je vragen over privacy, neem dan contact met ons op via die gegevens.

2. Twee rollen: verantwoordelijke en verwerker

werkbrd verwerkt persoonsgegevens in twee verschillende rollen. Welke rol van toepassing is, bepaalt wie je aanspreekt met vragen.

• Verwerkingsverantwoordelijke: voor gegevens van bezoekers van werkbrd.nl, van mensen die contact met ons opnemen, van gebruikers van een werkbrd-account en voor onze eigen klantadministratie. Voor deze gegevens bepalen wij het doel en de middelen.
• Verwerker: voor alle gegevens die onze klanten in werkbrd verwerken, zoals de mails in hun gekoppelde mailbox, gegevens van hun klanten en contactpersonen, offertes, orders, facturen, acceptaties in het klantportaal en aanvragen via de offertewidget. Dan is het bedrijf dat werkbrd gebruikt de verwerkingsverantwoordelijke en verwerken wij de gegevens alleen in hun opdracht.

Heb je contact gehad met een bedrijf dat werkbrd gebruikt, bijvoorbeeld omdat je een offerte kreeg of een aanvraag deed via hun website, dan is dat bedrijf je eerste aanspreekpunt. Wij helpen dat bedrijf bij het beantwoorden van je verzoek.

3. Welke gegevens we als verantwoordelijke verwerken

Afhankelijk van hoe je met werkbrd in aanraking komt, verwerken we de volgende gegevens.

• Websitebezoek: je IP-adres en technische gegevens zoals het tijdstip, de opgevraagde pagina en het type browser, in de logbestanden van onze server. Je cookiekeuze bewaren we in je eigen browser.
• Contact: je naam, e-mailadres, bedrijfsnaam en de inhoud van je bericht.
• Account: je naam, zakelijk e-mailadres, je wachtwoord (alleen als onomkeerbare hash), je rol, gegevens voor tweestapsverificatie, en gegevens over het inloggen zoals tijdstip, IP-adres en apparaat. Als je pushmeldingen aanzet, bewaren we het abonnement van je browser.
• Klantadministratie: bedrijfsnaam, KvK-nummer, btw-nummer, adres, contactpersoon, facturen en betaalgegevens zoals de betaalmethode en transactiereferentie.
• Gebruik: gegevens over het gebruik van de dienst, zoals het aantal verwerkte AI-orders, en foutmeldingen, zodat we de dienst kunnen leveren, factureren en verbeteren.

4. Doelen en grondslagen

We verwerken deze gegevens alleen voor de volgende doelen, elk met een grondslag uit artikel 6 van de AVG.

• Het leveren van werkbrd en het beheren van je account: uitvoering van de overeenkomst.
• Het versturen van servicemails, zoals uitnodigingen, wachtwoordherstel, beveiligingsmeldingen en belangrijke wijzigingen: uitvoering van de overeenkomst.
• Facturering en onze administratie: uitvoering van de overeenkomst en onze wettelijke verplichtingen, zoals de fiscale bewaarplicht.
• Het beantwoorden van vragen en het voeren van gesprekken over een mogelijke samenwerking: ons gerechtvaardigd belang om te reageren op wie contact met ons zoekt, of het nemen van stappen op jouw verzoek voordat een overeenkomst wordt gesloten.
• Het beveiligen van de website en de dienst, en het voorkomen en onderzoeken van misbruik: ons gerechtvaardigd belang bij een veilige dienst.
• Het verbeteren van werkbrd op basis van geanonimiseerde of geaggregeerde gebruiksgegevens: ons gerechtvaardigd belang bij een goed werkend product.
• Statistiek- en marketingcookies: alleen met je toestemming. Op dit moment gebruiken we zulke cookies niet.

We sturen geen marketingmail zonder je toestemming, en we verkopen geen persoonsgegevens.

5. Gegevens die we verwerken voor onze klanten

Als verwerker verwerken we de gegevens die een klant in werkbrd laat verwerken. Dat zijn onder meer mails en bijlagen uit de gekoppelde mailboxen, de gegevens die werkbrd daaruit haalt, klant- en contactgegevens, documenten, de naam, het tijdstip en het IP-adres bij het accepteren van een offerte in het klantportaal, en de gegevens in aanvragen via de offertewidget.

We verwerken deze gegevens alleen volgens de instructies van de klant en de verwerkersovereenkomst, en alleen om de dienst te leveren. We gebruiken ze niet voor eigen doeleinden en niet om taalmodellen te trainen.

6. Hoe werkbrd AI gebruikt

Om mail te lezen en er concepten van te maken, stuurt werkbrd de inhoud van een bericht naar een taalmodel van OpenAI of Anthropic. Welke aanbieder wordt gebruikt, hangt af van de configuratie van de dienst.

We sturen alleen mee wat nodig is voor dat ene bericht: de tekst van de mail, relevante tekst uit bijlagen, een samenvatting van de catalogus en bekende gegevens van de betreffende klant. Gegevens van andere klanten of andere bedrijven worden nooit meegestuurd.

Deze aanbieders verwerken de gegevens als subverwerker. Volgens hun zakelijke voorwaarden gebruiken ze gegevens uit hun API niet om hun modellen te trainen. Ze kunnen gegevens wel een beperkte periode bewaren om misbruik van hun dienst te kunnen opsporen.

Een taalmodel neemt bij werkbrd geen beslissingen over personen. Het maakt concepten die een medewerker van de klant controleert, of die worden verwerkt volgens regels die de klant zelf heeft ingesteld. Er is geen sprake van geautomatiseerde besluitvorming met rechtsgevolgen voor personen als bedoeld in artikel 22 van de AVG.

7. Met wie we gegevens delen

We delen persoonsgegevens alleen met partijen die we nodig hebben om werkbrd te leveren, en alleen voor zover dat nodig is. Met subverwerkers sluiten we afspraken die ten minste dezelfde bescherming bieden als deze verklaring.

• Hosting: werkbrd draait op een server in Nederland die wij zelf beheren. Daar staan de database, de bestanden en de back-ups.
• OpenAI of Anthropic: het verwerken van mail met een taalmodel, zoals beschreven in artikel 6.
• Resend: het afleveren van e-mails die werkbrd zelf verstuurt, zoals uitnodigingen, wachtwoordherstel en meldingen.
• Mollie: het afhandelen van betalingen, zowel van ons abonnement als van betaallinks die onze klanten naar hun klanten sturen. Mollie is voor een deel van die gegevens zelf verwerkingsverantwoordelijke.
• Google Fonts: de website laadt lettertypen van Google. Je browser deelt daarbij je IP-adres met Google.
• Een Peppol-access point: alleen als een klant facturen via het Peppol-netwerk verstuurt, zodra die mogelijkheid beschikbaar is.

Mailproviders zoals Google, Microsoft of de eigen mailserver van een klant zijn geen subverwerkers van werkbrd; die kiest de klant zelf. Daarnaast kunnen we gegevens verstrekken aan onze boekhouder of accountant en aan instanties als de wet ons daartoe verplicht.

8. Doorgifte buiten de Europese Economische Ruimte

OpenAI, Anthropic en Resend zijn gevestigd in de Verenigde Staten of verwerken gegevens daar. Voor die doorgifte gebruiken we het EU-VS Data Privacy Framework als de ontvanger daaronder gecertificeerd is, en anders de standaardcontractbepalingen van de Europese Commissie, zo nodig aangevuld met extra maatregelen. Een kopie van de relevante waarborgen kun je bij ons opvragen.

9. Hoe lang we gegevens bewaren

We bewaren gegevens niet langer dan nodig is voor het doel waarvoor we ze verwerken, of dan de wet voorschrijft.

• Serverlogs: zo kort mogelijk en niet langer dan negentig dagen, tenzij we ze nodig hebben voor het onderzoeken van een beveiligingsincident.
• Contactberichten: tot twee jaar na het laatste contact, tenzij er een klantrelatie uit voortkomt.
• Accountgegevens: zolang het account bestaat, en daarna ten hoogste dertig dagen om een export mogelijk te maken.
• Onze eigen facturen en administratie: zeven jaar, vanwege de fiscale bewaarplicht.
• Je cookiekeuze: twaalf maanden in je browser, daarna vragen we opnieuw.
• Gegevens die we voor klanten verwerken: zolang de klant dat bepaalt en de overeenkomst loopt. Mail in de inbox wordt standaard na twee jaar verwijderd; verstuurde facturen en de bijbehorende documenten bewaren we zeven jaar in opdracht van de klant, vanwege diens fiscale bewaarplicht.

10. Beveiliging

We nemen passende technische en organisatorische maatregelen om persoonsgegevens te beschermen. Voorbeelden:

• alle verbindingen zijn versleuteld met TLS;
• wachtwoorden worden alleen als sterke, onomkeerbare hash opgeslagen;
• koppelingen met mailboxen en andere geheimen worden versleuteld opgeslagen;
• tweestapsverificatie, rollen per medewerker en een auditlog dat vastlegt wie wat deed;
• bijlagen kunnen op virussen worden gescand voordat ze worden verwerkt;
• dagelijkse back-ups en een beperkt aantal mensen met toegang tot de systemen.

Merken we een datalek dat gevolgen heeft voor persoonsgegevens, dan handelen we volgens de AVG en de afspraken in de verwerkersovereenkomst.

11. Je rechten

Je hebt het recht om je persoonsgegevens in te zien, te laten corrigeren of te laten verwijderen. Je kunt ook vragen om de verwerking te beperken, bezwaar maken tegen verwerking op basis van ons gerechtvaardigd belang, en je gegevens in een gangbaar formaat ontvangen. Gaf je toestemming, dan kun je die altijd weer intrekken.

Stuur je verzoek naar ons via de contactgegevens op deze pagina. We reageren binnen een maand. Om te voorkomen dat we gegevens aan de verkeerde persoon geven, kunnen we je vragen je identiteit aan te tonen.

Gaat je verzoek over gegevens die we voor een klant verwerken, dan sturen we het door naar dat bedrijf en helpen we het bij het afhandelen ervan.

12. Klacht indienen

Ben je niet tevreden over hoe we met je gegevens omgaan, laat het ons dan eerst weten; we zoeken graag samen naar een oplossing. Je hebt ook altijd het recht om een klacht in te dienen bij de Autoriteit Persoonsgegevens, via autoriteitpersoonsgegevens.nl.

13. Wijzigingen

We passen deze verklaring aan als onze dienst of de wet verandert. De datum bovenaan deze pagina laat zien wanneer de laatste wijziging was. Bij wezenlijke wijzigingen informeren we klanten ook per e-mail of in de app.