Privacyverklaring

1. Wie wij zijn

Re:group B.V., Albertusstraat 32, 5261 AD Vught. KvK 98144081, btw NL868374416B01. Vragen over privacy stel je via support@inconcept.ai.

2. Twee rollen, en dat verschil telt

Voor onze eigen gegevens zijn wij verwerkingsverantwoordelijke: je accountgegevens, de gegevens van je organisatie, je facturen en het contact dat we met je hebben. Daarvoor geldt deze verklaring.

Voor wat jij in inConcept zet zijn wij verwerker en ben jij verwerkingsverantwoordelijke: je bronnen, je merkinformatie en de teksten die je schrijft. Wij doen daarmee alleen wat jij ons opdraagt. Die afspraken staan in de verwerkersovereenkomst, die je bij ons kunt opvragen en die we sluiten bij het aangaan van het abonnement.

3. Welke gegevens we verwerken

Vier soorten, met steeds een andere reden.

• Accountgegevens: je naam, e-mailadres, wachtwoord (versleuteld opgeslagen), je rol en bij welke organisaties je hoort.
• Inhoud: wat je in het systeem zet. Merkinformatie, geüploade bronnen, opdrachten en teksten. Daar kunnen persoonsgegevens in staan, bijvoorbeeld als je over een medewerker of een inwoner schrijft. Wat daarin komt bepaal jij.
• Gebruiksgegevens: wanneer er is ingelogd, welke acties er zijn uitgevoerd, hoeveel tekst er is gegenereerd en wat dat aan verwerkingscapaciteit kostte. We gebruiken dat om de dienst te laten werken, misbruik te herkennen en de kosten te bewaken.
• Betaalgegevens: je factuurgegevens, btw-nummer en de status van je betalingen. Je kaart- of rekeningnummer zien wij niet; dat blijft bij onze betaaldienstverlener.
• Nieuwsbriefgegevens: je e-mailadres en of je productnieuws van ons wilt ontvangen, als je je daarvoor inschrijft, een account aanmaakt of het rapport van een merkanalyse per mail aanvraagt.

4. Websites en sociale accounts die we lezen

Een merk of persoon in inConcept kan gekoppeld zijn aan een website en aan een account op LinkedIn, Instagram of Facebook. Die koppeling legt de klant zelf vast, of inConcept vult hem voor als de website van het merk naar dat account verwijst. We lezen daar alleen wat openbaar is, en we loggen nooit in op een account.

Wat we lezen en bewaren:

• Van een website: de tekst van openbare pagina's, zoals nieuwsberichten, blogs en de pagina over de organisatie.
• Van een account: wat het openbaar over zichzelf zegt, dus de naam, de profieltekst, de profielfoto en het webadres.
• Van de berichten van dat account: de tekst, de link, de datum en het aantal likes en reacties. Niet wie er reageerde of likete, geen privéberichten en geen volgers.

Waarvoor: zodat inConcept weet wat de organisatie doet en hoe ze schrijft. De tekst van een website gaat naar het taalmodel om de merkstem en de beschrijving van het merk af te leiden. Van de berichten stellen we de beste voor als voorbeeldtekst, en een profielfoto of logo nemen we over zolang het merk of de persoon er nog geen heeft. Een bericht dat als voorbeeldtekst is bewaard, gaat mee naar het taalmodel wanneer inConcept een tekst schrijft.

Hoe: LinkedIn, Instagram en Facebook lezen we via Apify, en per keer alleen de laatste drie berichten van een account. Websites lezen we zelf, en we houden ons aan wat een site in haar robots.txt aangeeft.

Wat we er niet mee doen: we verkopen deze gegevens niet, gebruiken ze niet voor advertenties, delen ze met niemand buiten de partijen in artikel 6 en gebruiken ze niet om taalmodellen te trainen.

Deze gegevens horen bij het account van de klant die de koppeling heeft. Daarvoor zijn wij verwerker, zoals artikel 2 beschrijft. Haalt de klant een koppeling weg, dan verwijderen we de gelezen berichten en de profieltekst meteen. Hoe je gegevens laat verwijderen, ook als je zelf geen klant bent, staat op inconcept.ai/gegevens-verwijderen.

5. Waarom we ze verwerken

Om de overeenkomst uit te voeren: een account maken, teksten laten schrijven, credits bijhouden, factureren.

Omdat we daar een gerechtvaardigd belang bij hebben: de dienst beveiligen, misbruik en overmatig gebruik herkennen, storingen oplossen en het product verbeteren aan de hand van hoe het gebruikt wordt, bijvoorbeeld door te tellen welke stappen een account doorloopt, zoals een merkprofiel maken of een eerste tekst schrijven.

Omdat het moet van de wet: onze administratie en onze belastingaangifte.

Om je op de hoogte te houden: wie een account aanmaakt, ontvangt af en toe productnieuws van inConcept. Dat doen we op grond van de klantrelatie, voor onze eigen, soortgelijke dienst; je kunt het bij het aanmaken van je account weigeren, en daarna afmelden in elke mail en in je accountinstellingen. Wie het rapport van een merkanalyse per mail aanvraagt, ontvangt daarna ook af en toe productnieuws; dat staat bij het formulier, en afmelden kan in elke mail. Wie zich alleen op de nieuwsbrief inschrijft, geeft daarvoor toestemming via de bevestigingsmail.

We verkopen geen gegevens, en we gebruiken jouw inhoud niet om taalmodellen mee te trainen.

6. Wie we inschakelen

We werken met een klein aantal partijen die nodig zijn om inConcept te laten draaien. Ze mogen de gegevens alleen gebruiken om ons hun dienst te leveren, met LinkedIn als uitzondering, zie hieronder.

• Supabase: database, inloggen en bestandsopslag. Gegevens staan in Zürich, Zwitserland.
• Vercel: hosting van de applicatie in Frankfurt en cookieloze bezoekersstatistieken.
• Google (Google Analytics): bezoekersstatistieken van de openbare website, alleen als je daar via de cookiemelding toestemming voor geeft. Het deel van inConcept waar je inlogt wordt niet door Google gemeten.
• PostHog: statistieken over het gebruik van de website en de app, en opnames van sessies, alleen als je daar via de cookiemelding toestemming voor geeft. In het deel waar je inlogt wordt alles wat je typt of leest onleesbaar gemaakt voordat het wordt opgenomen, en de nummers van merken en personen worden uit adressen weggelaten. Zonder toestemming ontvangt PostHog alleen de stappen uit paragraaf 5, onder je gebruikersnummer, zonder naam of e-mailadres. De gegevens staan in Frankfurt.
• LinkedIn: meten of onze advertenties op LinkedIn werken, en je daar later nog een advertentie van inConcept laten zien, alleen als je daar via de cookiemelding toestemming voor geeft. Dat gebeurt op de openbare website en bij het aanmaken van een account, niet in het deel waar je inlogt. LinkedIn gebruikt deze gegevens ook voor eigen doeleinden en is daar zelf verantwoordelijk voor; dat staat in het privacybeleid van LinkedIn.
• Anthropic: de taalmodellen die de teksten schrijven en helpen plannen. Wat je aan een opdracht meegeeft, gaat naar hun servers om het antwoord te maken. Dat geldt ook voor de titels van nieuwsberichten en van afspraken uit agenda's die je volgt, als inConcept beoordeelt of ze bij je merk passen.
• OpenAI: taalmodellen, alleen voor de taken waarvoor wij die instellen, op dezelfde voorwaarden als Anthropic.
• Apify: het ophalen van openbare berichten en profielgegevens van gekoppelde LinkedIn-, Instagram- en Facebook-accounts.
• Stripe: betalingen, facturen en btw-berekening.
• Resend: het versturen van e-mail, zoals uitnodigingen, meldingen en de nieuwsbrief, met de lijst van adressen die de nieuwsbrief ontvangen.

7. Gegevens buiten de Europese Unie

De database staat in Zwitserland. Dat valt buiten de Europese Unie, maar de Europese Commissie heeft vastgesteld dat Zwitserland een passend beschermingsniveau biedt, dus daarvoor zijn geen extra waarborgen nodig. Anthropic en OpenAI zijn gevestigd in de Verenigde Staten, en Stripe, Vercel, PostHog en LinkedIn hebben Amerikaanse moederbedrijven; de gegevens van PostHog staan in Frankfurt. Voor die doorgifte gelden de standaardcontractbepalingen van de Europese Commissie, aangevuld met de afspraken die deze partijen daarover met ons maken. De actuele stand staat in de verwerkersovereenkomst.

8. Hoelang we bewaren

Niet alles even lang, want niet alles heeft dezelfde reden.

• Je account en je inhoud: zolang je abonnement loopt, en daarna nog 30 dagen zodat je terug kunt komen.
• Gesprekken met inConcept: 30 dagen na het laatste bericht. Wat eruit voortkomt, dus opdrachten en teksten, blijft gewoon staan.
• Gegevens van gekoppelde websites en accounts: zolang de koppeling bestaat, en weg zodra de koppeling, het merk of de persoon wordt verwijderd. Een bericht dat als voorbeeldtekst is bewaard, blijft staan tot je het verwijdert. Na het einde van het abonnement geldt de termijn van je inhoud hierboven.
• Back-ups: rollend, ongeveer 30 dagen, waarna ze vanzelf worden overschreven.
• Gebruiks- en beveiligingslogboeken: 12 maanden.
• Facturen en administratie: 7 jaar, want dat moet van de Belastingdienst.
• Contactgegevens uit aanvragen en gesprekken: 3 jaar na ons laatste contact.
• Nieuwsbrief: tot je je afmeldt. Een afmelding bewaren we, zodat we je niet opnieuw aanschrijven, ook niet als je later weer een account aanmaakt.

9. Cookies

inConcept gebruikt twee functionele cookies: een om je ingelogd te houden en een om je taalkeuze te onthouden. Zonder die twee werkt de app niet, dus daar hoeft niet apart toestemming voor gevraagd te worden.

Voor bezoekersstatistieken van de openbare website gebruiken we Google Analytics, voor het gebruik van de website en de app PostHog, en om te meten of onze advertenties werken LinkedIn. Alle drie zetten cookies. Dat gebeurt alleen als je daar bij je eerste bezoek toestemming voor geeft. Je kiest per soort: statistieken (Google Analytics en PostHog) en advertenties (LinkedIn). Zonder toestemming meten we niets in je browser en komt er geen cookie van Google, PostHog of LinkedIn op je apparaat. Je keuze kun je altijd aanpassen via de link Cookie-instellingen onderaan elke pagina van de website, en in de app op je accountpagina.

10. Hoe we het beveiligen

Gegevens zijn versleuteld onderweg en in opslag. In de database is per rij vastgelegd welke organisatie erbij mag, zodat gegevens van verschillende klanten elkaar niet kunnen raken. Toegang binnen ons team is beperkt tot wie het nodig heeft en verloopt met tweefactorauthenticatie.

11. Wanneer wij meekijken

Om te kunnen helpen bij een storing of een vraag, kan een beheerder van ons platform in een organisatie meekijken. Dat gebeurt alleen-lezen: er kan in die stand niets gewijzigd, gemaakt of verwijderd worden. Elke keer dat het gebeurt wordt vastgelegd, met wie er keek, bij welke organisatie en wanneer. Je kunt dat overzicht bij ons opvragen. Terwijl er wordt meegekeken, wordt er niets gemeten.

12. Jouw rechten

Je mag je gegevens inzien, laten corrigeren, laten verwijderen of laten overdragen, en je mag bezwaar maken tegen bepaalde verwerkingen. Een verzoek stuur je naar support@inconcept.ai; we reageren binnen een maand.

Hoe je gegevens van een gekoppelde website of een gekoppeld account laat verwijderen, staat stap voor stap op inconcept.ai/gegevens-verwijderen.

Gaat je verzoek over gegevens die in het account van een klant staan, dan zijn wij daarvoor verwerker en verwijzen we je naar die organisatie. We helpen hen om je verzoek uit te voeren.

13. Als er iets misgaat

Bij een datalek melden we dat binnen 72 uur aan de betrokken klanten, met wat er is gebeurd, welke gegevens het betreft en wat we eraan doen. Waar de wet dat vraagt melden we het ook bij de Autoriteit Persoonsgegevens.

14. Wijzigingen en klachten

We kunnen deze verklaring aanpassen als de dienst verandert. Wezenlijke wijzigingen melden we vooraf.

Ben je het niet eens met hoe we met je gegevens omgaan, laat het ons weten. Je kunt ook een klacht indienen bij de Autoriteit Persoonsgegevens.