Privacybeleid

1. Wie is verantwoordelijk

ProjectMaat is een dienst van SEO Lokaal, een eenmanszaak van Jonne van Bodegraven.

• Handelsnaam: SEO Lokaal / ProjectMaat
• KvK-nummer: 85224200
• Btw-nummer: NL004067919B94
• Vestigingsadres: Buurtmeesterweg 38, 6711 HN Ede
• Contact: privacy@projectmaat.ai

2. Definities

• Klant: de ondernemer die een account bij ProjectMaat gebruikt.
• Beheerder: een door de klant of door SEO Lokaal aangewezen partij die bij de managed dienst content beoordeelt namens de klant.
• Betrokkene: de natuurlijke persoon op wie persoonsgegevens betrekking hebben.
• Input: foto's, video's, voicememo's en teksten die de klant aanlevert.

3. Onze twee rollen onder de AVG

Afhankelijk van wélke gegevens worden verwerkt, hebben we twee rollen:

• Verwerkingsverantwoordelijke voor de accountgegevens van onze directe klanten. Voor die gegevens bepalen wij doel en middelen.
• Verwerker voor alle inhoud die een klant aanlevert, inclusief persoonsgegevens van derden die daarin voorkomen. De klant is daarvoor de verwerkingsverantwoordelijke; wij verwerken uitsluitend in zijn opdracht. Hiervoor sluiten we bij accountaanmaak een verwerkersovereenkomst (DPA).

4. Welke persoonsgegevens we verwerken

We verwerken de volgende categorieën. Gegevens gemarkeerd als verplicht zijn nodig om de dienst te kunnen leveren; zonder die gegevens kunnen we (een deel van) de dienst niet uitvoeren.

• Accountgegevens (verplicht): naam, bedrijfsnaam, e-mailadres, een tweede e-mailadres als terugvalweg, factuuradres en btw-nummer, en de WhatsApp-nummers die mogen insturen, met per nummer het label dat je er zelf bij zet. Bron: de klant zelf.
• Je logo (optioneel): als je een logo uploadt, bewaren we dat bestand om het als merkelement bij je content en in je account te gebruiken. Tonen op de ProjectMaat-site doen we alleen met je aparte, uitdrukkelijke toestemming, die je altijd weer kunt intrekken. Bron: de klant zelf.
• Kennisbank (optioneel maar aanbevolen): merken, locaties, namen van personen binnen het bedrijf, stijlvoorkeuren. Bron: de klant zelf, eventueel via een eenmalige uitlezing van de bedrijfswebsite die de klant zelf opgeeft; voorstellen daaruit worden pas opgeslagen nadat de klant ze bevestigt.
• Input(verplicht voor contentgeneratie): audio, foto's, video's, tekst en transcripties. Bron: de klant, mogelijk met gegevens van derden erin.
• Gegenereerde content: de teksten die op basis van input en kennisbank worden gemaakt.
• Gebruiks- en technische gegevens: tijdstip, IP-adres, ingest-bron, handelingen in het systeem. Bron: automatisch gegenereerd bij gebruik.
• Wachtlijst- en aanmeldgegevens: e-mailadres, gekozen pakket en hoe je ons kent. Grondslag: toestemming, je meldt jezelf aan. Bron: de bezoeker zelf.

5. Persoonsgegevens van derden in jouw input

Een voicememo of foto kan persoonsgegevens van derden bevatten, bijvoorbeeld de naam van een klant van jou. In dat geval:

• ben jij (de klant) de verwerkingsverantwoordelijke voor die gegevens;
• ben jij verantwoordelijk voor een geldige grondslag, zoals de toestemming van de betrokkene;
• verwerken wij die gegevens uitsluitend in jouw opdracht en conform de verwerkersovereenkomst.

ProjectMaat toont je tijdens het aanleveren een herinnering om geen namen van klanten te gebruiken zonder dat zij daarvoor toestemming hebben gegeven.

6. Bijzondere en strafrechtelijke gegevens

ProjectMaat is niet bedoeld voor het verwerken van bijzondere persoonsgegevens (zoals gegevens over gezondheid, religie of politieke voorkeur) of strafrechtelijke gegevens. Lever geen content aan die dit soort gegevens bevat. Komen ze onbedoeld toch in een voicememo of foto voor, dan verwerken we ze niet langer dan nodig en verwijderen we het bronmateriaal volgens de bewaartermijnen in artikel 11.

7. Doeleinden en grondslagen

• Uitvoering van de overeenkomst (art. 6 lid 1 sub b AVG): accountbeheer, verwerken van input, genereren van content, versturen van herinneringen.
• Gerechtvaardigd belang (art. 6 lid 1 sub f AVG): beveiliging, fraudepreventie en verbetering van het product. We wegen ons belang hierbij steeds af tegen jouw belangen.
• Betere teksten voor jouw eigen account (art. 6 lid 1 sub f AVG): content die jij goedkeurt bewaren we als voorbeeld en gebruiken we bij het schrijven van je volgende teksten. Dat gebeurt uitsluitend binnen je eigen account: content van de ene klant wordt nooit gebruikt voor een andere klant. We verstrekken jouw gegevens of content niet aan derden voor hun eigen doeleinden en verkopen ze niet.
• Wettelijke verplichting (art. 6 lid 1 sub c AVG): bijvoorbeeld fiscale bewaarplichten.
• Toestemming (art. 6 lid 1 sub a AVG): waar we daar expliciet om vragen. Je kunt toestemming op elk moment intrekken (zie artikel 13); dat heeft geen terugwerkende kracht.

8. AI, profilering en menselijke controle

ProjectMaat gebruikt AI om voicememo's te transcriberen, foto's te beschrijven voor korte beeldomschrijvingen (alt-teksten) en content te genereren. Hierbij geldt:

• Er is geen uitsluitend geautomatiseerde besluitvorming met rechtsgevolgen in de zin van artikel 22 AVG. Elke gegenereerde tekst wordt vóór publicatie door een mens beoordeeld.
• Er vindt geen profilering plaats van betrokkenen.
• Onze AI-leverancier gebruikt jouw gegevens niet om modellen te trainen.
• Alle gegenereerde content is herleidbaar tot jouw eigen input.

9. Ontvangers van je gegevens

Toegang tot je gegevens is beperkt tot wie het nodig heeft:

• SEO Lokaal, voor support, beheer en de managed dienst;
• bij de managed dienst: de door jou of door SEO Lokaal aangewezen beheerder, uitsluitend voor het beoordelen van jouw content;
• subverwerkers die we inschakelen om de dienst technisch te leveren (zie artikel 10).

Delen op onze eigen kanalen (optioneel). Heb je daar bij het aanmelden toestemming voor gegeven, dan kunnen we een afgerond project ook op de eigen social-kanalen van ProjectMaat laten zien, met een verwijzing naar jouw bedrijf. Dit is een eigen marketingdoel van ProjectMaat; voor die publicatie zijn wij zelf verwerkingsverantwoordelijke. Je kunt deze toestemming op elk moment intrekken op je accountpagina, waarna we het niet meer doen voor nieuwe projecten.

We verkopen je gegevens nooit en delen ze niet met derden voor hun eigen doeleinden.

10. Subverwerkers en internationale doorgifte

We schakelen subverwerkers in om de dienst te leveren. De meeste zijn binnen de EER gevestigd en verwerken binnen de EER. Twee partijen verwerken deels in de Verenigde Staten, telkens onder het EU-VS Data Privacy Framework: de WhatsApp-ingest via Meta (berichten worden in de EU opgeslagen via Meta Local Storage, maar Meta kan als onderdeel van zijn dienst gegevens in de VS verwerken) en onze zakelijke e-mail via Google Workspace.

ProjectMaat publiceert je content pas naar een extern kanaal (zoals je Google Bedrijfsprofiel of een social-media-account) nadat jij dat kanaal zelf hebt gekoppeld en zelf op publiceren hebt gedrukt. Dat zijn jouw eigen platforms met hun eigen voorwaarden; sommige verwerken gegevens buiten de EER. Voor die kanalen ben jij de verwerkingsverantwoordelijke.

• Database en opslag: Supabase (Frankfurt, Duitsland)
• Hosting: Vercel (Frankfurt, Duitsland)
• AI-verwerking: Mistral AI (Parijs, Frankrijk)
• WhatsApp-ingest: Meta Platforms Ireland (WhatsApp Cloud API; EU-opslag, VS-verwerking onder EU-VS DPF)
• E-mail: Brevo (Sendinblue SAS; verwerking en opslag in de EU)
• Publiceren naar social media en je Google Bedrijfsprofiel: PostProxy (EU)
• Zakelijke e-mail (info@ en privacy@): Google Workspace (VS-verwerking onder EU-VS DPF)
• Facturatie en abonnementenbeheer: Moneybird (MoneyBird B.V., Enschede, Nederland)
• Versleutelde reservekopie van onze administratie: Scaleway (Scaleway SAS, Parijs, Frankrijk). De kopie wordt bij ons versleuteld voordat hij daarheen gaat, dus Scaleway kan de inhoud niet lezen. Foto's, spraakmemo's en transcripties zitten er bewust niet in.
• Cookieloze bezoekersstatistieken op de publieke site: Plausible Analytics (EU)
• Marketingpixel op de publieke website, alleen na jouw keuze in de cookiebalk: Meta Platforms Ireland (VS-verwerking onder EU-VS DPF)

Voor facturatie en betalingen gebruiken we Moneybird (MoneyBird B.V., Enschede); de incasso's zelf lopen via hun betaalpartner Adyen (Adyen N.V., Amsterdam). Als betaaldienstverlener met een eigen vergunning is Adyen voor de betaalgegevens zelfstandig verwerkingsverantwoordelijke; je factuurgegevens verwerkt Moneybird voor ons.

De actuele lijst staat op /subprocessors. Bij een nieuwe of vervangen subverwerker informeren we je minimaal 30 dagen vooraf, zodat je bezwaar kunt maken.

11. Hoe lang we gegevens bewaren

• Audio, foto's en video's: verwijderd zodra je content op alle gekozen kanalen live staat, meestal direct en uiterlijk twee dagen erna. Konden niet al je foto's op je website geplaatst worden, dan houden we de bestanden nog maximaal zeven dagen, zodat je de rest alsnog kunt laten plaatsen; daarna gaan ze hoe dan ook weg. Is een project wel ingestuurd maar niet (volledig) gepubliceerd, dan verwijderen we de bestanden na 14 dagen; is een deel al gepubliceerd, dan telt die termijn vanaf de laatste publicatie, en uiterlijk 45 dagen na het insturen gaan de bestanden hoe dan ook weg. De gemaakte teksten blijven staan. Een project dat je nooit hebt afgemaakt en dus nooit hebt ingestuurd ruimen we na 7 dagen helemaal op, bestanden en project. Dat gebeurt altijd pas 48 uur nadat we je de laatste herinnering hebben gestuurd. Kunnen we je helemaal niet bereiken, dan wachten we nog een week extra; daarna ruimen we het alsnog op, want eindeloos bewaren mogen we niet. Bij de beheerde dienst is dat 30 dagen, omdat ons team daar de timing bepaalt.
• Transcripties: maximaal 30 dagen. Dat geldt ook voor de samenvatting van je ingesproken bericht die we tijdelijk bij een goedgekeurd voorbeeld bewaren.
• Goedgekeurde tekstuele content: bewaard als voorbeeld voor je volgende teksten, alleen tekst, geen beeld of audio. Verwijder je een project, dan verwijderen we ook de voorbeeldkopie die daarbij hoort. Bij het beëindigen van je account gaan ze allemaal mee.
• Na een gratis maand zonder abonnement: 30 dagen na afloop verwijderen we je kennisbank, koppelingen en projecten. In de mails rond het aflopen staat dat er ook bij.
• Accountgegevens, kennisbank, ingestuurde projecten en gegenereerde teksten: zolang het account actief is. Na beëindiging verwijderen we ze binnen 12 maanden, met uitzondering van het minimale klantrecord hieronder, dat we voor de administratie moeten bewaren.
• Facturatie- en abonnementsgegevens, het minimale klantrecord (bedrijfsnaam, factuuradres en btw-nummer) en het bewijs van je akkoord op de voorwaarden en de verwerkersovereenkomst: 7 jaar, wegens de fiscale bewaarplicht en onze bewijspositie.
• Wachtlijst-aanmeldingen (e-mailadres, gekozen pakket en hoe je ons kent): tot uiterlijk 12 maanden na onze livegang, of eerder zodra je daarom vraagt.
• Technische logs en audit log: maximaal 12 maanden.

12. Beveiliging

We nemen passende technische en organisatorische maatregelen, waaronder versleuteling onderweg (TLS) en in rust (AES-256), toegangsbeheer op databaseniveau (Row Level Security), inloggen zonder wachtwoord via eenmalige links, en logging van handelingen. Een uitgebreid overzicht staat op /security.

13. Jouw rechten

Onder de AVG heb je recht op:

• inzage in welke gegevens we van jou verwerken;
• correctie van onjuiste gegevens;
• verwijdering (recht op vergetelheid);
• beperking van de verwerking;
• bezwaar tegen verwerking op grond van gerechtvaardigd belang;
• dataportabiliteit (machine-leesbare export);
• intrekken van eerder gegeven toestemming, zonder dat dit de rechtmatigheid van eerdere verwerking aantast.

Een deel regel je direct in je dashboard (gegevens aanpassen, content verwijderen, toestemmingen intrekken); voor al het overige mail je privacy@projectmaat.ai. We reageren binnen 30 dagen. Betreft het gegevens van een derde uit jouw input? Dan loopt het verzoek via jou als verwerkingsverantwoordelijke; wij ondersteunen je daarbij.

14. Cookies en meten

In de app gebruiken we uitsluitend een strikt noodzakelijke cookie om je ingelogde sessie te onthouden. Op de publieke website meten we bezoek met een Europese statistiekendienst die geen cookies plaatst en bezoekgegevens niet tot personen herleidt; daarvoor is geen toestemming vereist. Voor marketing gebruiken we een pixel van Meta, en die laadt uitsluitend nadat je daar in de cookiebalk zelf voor kiest, en alleen op de publieke website, nooit in de app. Hoe dit precies werkt en hoe je je keuze aanpast staat op de cookiepagina (projectmaat.ai/cookies).

15. Minderjarigen

ProjectMaat is een zakelijke dienst en niet gericht op minderjarigen. We verwerken niet bewust persoonsgegevens van personen onder de 16 jaar.

16. Datalekken

Bij een datalek met een hoog risico voor betrokkenen melden we dit binnen 72 uur aan de Autoriteit Persoonsgegevens en informeren we de getroffen personen onverwijld, conform artikel 33 en 34 AVG. Treedt een datalek op binnen de inhoud die jij als klant hebt aangeleverd, dan informeren wij jou zodat je je eigen meldplicht kunt nakomen.

17. Functionaris voor gegevensbescherming

Gezien de aard en omvang van de verwerking zijn wij niet wettelijk verplicht een functionaris voor gegevensbescherming (FG) aan te stellen, en hebben dit (nog) niet gedaan. Privacyvragen kun je richten aan privacy@projectmaat.ai.

18. Wijzigingen

We kunnen dit beleid aanpassen. Materiële wijzigingen melden we minimaal 30 dagen vooraf aan actieve klanten. De meest recente versie staat altijd op deze pagina, met de datum van laatste wijziging.

19. Klachten en contact

Heb je een vraag of klacht over hoe we met jouw gegevens omgaan? Mail dan naar privacy@projectmaat.ai. Kom je er met ons niet uit, dan heb je het recht een klacht in te dienen bij de Autoriteit Persoonsgegevens via autoriteitpersoonsgegevens.nl.