Chatwize Privacybeleid

Welkom bij Chatwize! We zijn blij dat je gebruikmaakt van onze AI Chatbot Services ("Diensten"). Gegevensbescherming en databeveiliging zijn voor ons van groot belang. Daarom informeren wij je graag over welke persoonsgegevens we verzamelen en waarvoor deze worden gebruikt.

Achtergrond

Dit privacybeleid beschrijft onze privacypraktijken in begrijpelijke taal, met zo min mogelijk juridisch en technisch jargon. Toch willen we graag een paar begrippen verduidelijken.

a) Wat zijn persoonsgegevens?
Persoonsgegevens omvatten alle informatie die betrekking heeft op een geïdentificeerde of identificeerbare natuurlijke persoon.

b) Wat is verwerken?
"Verwerken" betekent vrijwel elke handeling die met gegevens wordt uitgevoerd.

Welke wet is van toepassing?

We gebruiken je persoonsgegevens uitsluitend in overeenstemming met de toepasselijke wetgeving, in het bijzonder de Uitvoeringswet Algemene Verordening Gegevensbescherming (UAVG) en de Algemene Verordening Gegevensbescherming (AVG / GDPR).

Wie is verantwoordelijk?

De verwerkingsverantwoordelijke is Chatwize (KVK: 90238257), gevestigd in 's-Hertogenbosch, Nederland ("Chatwize", "wij", "ons"). Je kunt vragen stellen via hello@chatwize.ai.

Gegevensverzameling

We verwerken persoonsgegevens uitsluitend voor de hieronder beschreven doeleinden. We verzamelen alleen gegevens als:

• Je daarvoor toestemming hebt gegeven;
• Het noodzakelijk is voor de uitvoering van een overeenkomst;
• Het wettelijk verplicht is;
• Het noodzakelijk is voor onze gerechtvaardigde belangen.

Bewaartermijn

We bewaren gegevens niet langer dan nodig voor het doel waarvoor ze zijn verzameld. Omdat dat per soort gegevens verschilt, hanteren we de volgende termijnen:

• Administratie en facturen: maximaal 8 jaar, op grond van de wettelijke (fiscale) bewaarplicht. Dit betreft uitsluitend onze eigen boekhouding, niet de inhoud van chatgesprekken of geüploade documenten.
• Chatgesprekken: zolang het klantaccount actief is, tenzij een kortere termijn is afgesproken. Per klantomgeving kan een automatische verwijdertermijn worden ingesteld (vanaf 7 dagen); daarna worden gesprekken definitief verwijderd. Klanten kunnen gesprekken daarnaast op elk moment handmatig verwijderen.
• Geüploade documenten en de daaruit afgeleide kennisbank: totdat de klant het document verwijdert of de overeenkomst eindigt. Verwijderen is definitief: zowel het bestand als alle daaruit afgeleide fragmenten worden gewist.
• Contact- en accountgegevens: zolang de relatie loopt, en daarna alleen wat wettelijk bewaard moet blijven.

Welke gegevens verzamelen wij?

a) Contact met ons
Wanneer je contact met ons opneemt via een formulier, e-mail of telefoon, verzamelen we je naam, e-mailadres, telefoonnummer en je bericht. Juridische basis: toestemming en uitvoering van een overeenkomst.

b) Overeenkomst met ons
Bij het aangaan van een overeenkomst verwerken we alleen de noodzakelijke persoonsgegevens (naam, adres, e-mail, telefoonnummer).

c) Onze AI Chatbot Diensten
We verwerken servicegegevens om onze chatbotdienst te kunnen leveren. Je hebt volledige controle over deze gegevens en kunt deze bekijken, delen, exporteren of verzoeken om verwijdering.

Alle servicegegevens worden verwerkt via onze subverwerkers, waaronder Fly.io (hosting en infrastructuur, EU-regio Amsterdam), Supabase (database en documentopslag, EU-regio Frankfurt), OpenAI (AI-modellen en tekst-embeddings), Amazon Web Services (herrangschikking van zoekresultaten via Amazon Bedrock, EU-regio Frankfurt), Stripe (betalingen), Resend (e-mail) en Sentry (foutmonitoring, EU-regio). Zie ons Data Processing Addendum (Verwerkersovereenkomst) voor de volledige lijst, de verwerkingslocatie per subverwerker en de doorgiftegrond.

Opslag in de EU, verwerking deels daarbuiten
Je documenten en gespreksgegevens worden opgeslagen binnen de Europese Unie (database en bestandsopslag in Frankfurt, applicatie in Amsterdam). Om een vraag te kunnen beantwoorden worden de relevante tekstfragmenten uit je kennisbank tijdens de verwerking doorgegeven aan onze AI-subverwerkers. Het genereren van het antwoord en het aanmaken van embeddings gebeurt door OpenAI; die verwerking vindt plaats in de Verenigde Staten en is gedekt door standaardcontractbepalingen (SCC's). Invoer wordt niet gebruikt om AI-modellen te trainen.

d) Eindgebruikers en je Chatwize AI Chatbot
Tijdens het gebruik van de chatbot kunnen we gegevens van eindgebruikers verwerken, afhankelijk van hoe je de chatbot configureert. Als je gegevens van derden met ons deelt, verklaar je dat je hiervoor toestemming hebt.

In deze context treden wij op als Gegevensverwerker (Data Processor) onder de UAVG en de AVG.

e) Support ticket
Bij het indienen van een supportticket vragen we om je naam, e-mailadres en relevante details. Deze worden uitsluitend gebruikt om je ticket op te lossen.

f) Administratie
We verwerken ook persoonsgegevens voor administratieve en wettelijke verplichtingen, zoals archivering.

g) Naleving van AI-wetgeving
We hebben maatregelen geïmplementeerd in overeenstemming met de aankomende EU AI Act: risicobeoordeling, transparantie, ethisch ontwerp, verantwoordingsplicht, updates en beheer.

Gegevens delen

a) Intern
Binnen Chatwize delen we gegevens alleen als dit noodzakelijk is, met geautoriseerd personeel.

b) Extern
We delen gegevens met:

• Dienstverleners voor de uitvoering van contracten;
• Marketing- en communicatiediensten;
• Overheidsinstanties indien wettelijk verplicht.

c) Internationale doorgifte
Bij het doorgeven van gegevens buiten de EU zorgen we voor passende waarborgen (contracten, beveiligingsmaatregelen).

Gegevensbeveiliging

Alle verbindingen verlopen versleuteld via TLS (HTTPS) en gegevens worden versleuteld opgeslagen. Klantgegevens zijn per klant strikt gescheiden via toegangscontrole op rijniveau (Row Level Security) op databaseniveau, kritieke beheeraccounts zijn beveiligd met tweestapsverificatie, en de database wordt dagelijks geautomatiseerd geback-upt met een aantoonbaar geteste herstelprocedure. Een volledig overzicht staat in ons Beveiligings- en Compliance-statement, dat we op verzoek verstrekken. Tegelijk zijn we er eerlijk over: geen enkel systeem of gegevensoverdracht via internet is ooit 100% veilig. Daarom combineren we preventie met continue monitoring en een vast incidentproces, en stellen we de betrokkenen in geval van een datalek zo snel mogelijk op de hoogte.

Je Rechten

a) AVG / GDPR rechten:

• Recht op inzage
• Recht op rectificatie
• Recht op gegevenswissing
• Recht op beperking van de verwerking
• Recht van bezwaar
• Recht op gegevensoverdraagbaarheid

b) Gegevens bijwerken / Toestemming intrekken
Je kunt ons op elk moment vragen om je gegevens bij te werken of te verwijderen.

c) Recht op inzage
We zullen binnen 30 dagen reageren op een verzoek tot inzage of wijziging.

d) Klacht indienen
Je kunt een klacht indienen bij de Autoriteit Persoonsgegevens. We stellen het echter op prijs als je eerst contact met ons opneemt.

e) Wat wij niet doen

• Geen gegevensverzameling van minderjarigen zonder toestemming van de ouders
• Geen verwerking van bijzondere persoonsgegevens zonder expliciete toestemming
• Geen geautomatiseerde besluitvorming of profilering
• Geen verkoop van persoonsgegevens

Wijzigingen & Datum

We kunnen dit beleid bijwerken. De ingangsdatum wordt dan bijgewerkt.
Ingangsdatum: Dinsdag, 14 mei 2024