Privacyverklaring

Verantwoordelijke voor de verwerking is H.F.V. Works Shop (handelend onder Koa-AI), gevestigd Dr. Jan Schoutenlaan 4 A, 3145 SZ Maassluis, Nederland. KvK-nummer 93226837. Voor privacyvragen: info@koa-ai.nl.

Voor verwerking van persoonsgegevens van eindklanten via de WhatsApp-bot is de zakelijke klant verantwoordelijk; Koa-AI treedt op als verwerker (zie verwerkersovereenkomst).

Van de zakelijke klant (abonnementhouder) verwerken wij:

• Bedrijfsnaam, KvK-nummer, BTW-nummer
• Naam contactpersoon, e-mailadres, telefoonnummer
• Vestigingsadres en factuuradres
• Inloggegevens dashboard (klantnummer, e-mail, wachtwoord-hash)
• Onboarding-antwoorden (openingstijden, prijzen, FAQ, stem & toon)
• Betaalgegevens: kaartgegevens worden uitsluitend door Stripe verwerkt en niet door Koa-AI opgeslagen; wij bewaren wel factuur-/klantmetadata (e-mailadres, bedrag, Stripe-ID's) en ontvangen Stripe-webhookgegevens
• WhatsApp Business credentials (versleuteld opgeslagen)
• Bij aanmeld-/proefformulieren en tijdens onboarding: kortstondig het IP-adres en tijdstip, voor fraudepreventie en misbruikbeperking (grondslag: gerechtvaardigd belang)

Van eindklanten (degenen die met de bot chatten) wordt verwerkt:

• Telefoonnummer (anonimiseerbaar op verzoek)
• Naam, indien zelf opgegeven
• Inhoud van gesprekken via WhatsApp
• Door bot opgeslagen afspraken (datum, tijd, dienst)
• Geanalyseerd sentiment (neutraal/gefrustreerd/boos)
• Foto's of afbeeldingen die de eindklant via WhatsApp stuurt
• Voice-notes (audioberichten) — deze worden omgezet naar tekst
• Klantprofiel (alleen met opt-in van de eindklant): verjaardag, voorkeur voor of vermijden van een medewerker, vrije notities
• Optioneel door het bedrijf vastgelegde gezondheids- of allergiegegevens (bijzondere persoonsgegevens, AVG art. 9) — uitsluitend als het bedrijf die vastlegt, op basis van de eigen grondslag of toestemming van de eindklant; Koa-AI verwerkt deze in de verwerker-rol
• Marketing-opt-in-status (aan- of afmelding voor acties)

Van medewerkers van de zakelijke klant verwerken wij — in de verwerker-rol; de werkgever is verantwoordelijke:

• Naam
• Werktijden
• Afwezigheden (verlof en reden)

Wij verwerken deze gegevens voor de volgende doelen, op basis van de vermelde AVG-grondslag:

• Uitvoering overeenkomst (AVG art. 6.1.b): leveren van de dienst, configureren van de bot, factureren, ondersteunen.
• Wettelijke verplichting (AVG art. 6.1.c): bewaren van facturen voor de Belastingdienst (7 jaar).
• Gerechtvaardigd belang (AVG art. 6.1.f): beveiliging, fraudepreventie, incidentele dienst-statistieken.
• Toestemming (AVG art. 6.1.a): nieuwsbrief, marketing-mails én geanonimiseerde productverbetering (zie sectie 3a) — alleen wanneer expliciet aangevinkt — opt-in.

Met expliciete toestemming van de zakelijke klant gebruikt Koa-AI uitsluitend geaggregeerde en geanonimiseerde gebruiksdata om de bot continu te verbeteren. Daaronder vallen:

• Categorieën van vragen (bv. “30% openings­tijden, 20% prijzen”)
• Kwaliteitsmaatstaven: response-lengte, hand-off frequentie, sentiment-trends
• Geaggregeerde performance-statistieken (latency, succes-ratio, error-rates)

Wat NIET onder deze opt-in valt: individuele berichten, telefoonnummers, namen of andere gegevens die direct of indirect een eindklant kunnen identificeren. Deze blijven uitsluitend onderworpen aan de verwerker-rol uit de verwerkersovereenkomst. Toestemming kan op elk moment worden ingetrokken via info@koa-ai.nl.

Los van deze opt-in staat de normale, voor de dienst noodzakelijke verwerking van berichtinhoud: om antwoorden te genereren wordt de inhoud van gesprekken (inclusief foto's) verwerkt door onze sub-verwerker Anthropic (Claude). Ook voeren wij periodiek een geautomatiseerde kwaliteitscontrole van gesprekken uit via Anthropic. Deze verwerking valt onder de verwerker-rol en de verwerkersovereenkomst, niet onder de opt-in hierboven.

Zakelijke klanten kunnen via Koa-AI marketing-berichten (“acties”) naar hun eindklanten sturen. Daarbij geldt:

• Marketing-broadcasts gaan alléén naar eindklanten die zich daarvoor expliciet hebben aangemeld (opt-in); het tijdstip van aanmelding wordt bewaard.
• Afmelden kan op elk moment door “STOP” te sturen; die afmelding wordt gehonoreerd.
• Vóór verzending controleert Koa-AI de actietekst én een eventuele flyer-afbeelding automatisch via Anthropic (Claude) op naleving van het WhatsApp/Meta-beleid.
• Geüploade flyer-afbeeldingen worden opgeslagen in onze beveiligde opslag.

Bij opzegging of een verwijderverzoek verwijderen of anonimiseren wij binnen 90 dagen je account en de daaraan gekoppelde persoonsgegevens (gesprekken, afspraken, klantprofielen). Technische sporen zoals error-logs en backups verdwijnen niet per direct, maar via de hieronder genoemde rotatie- en bewaartermijnen.

• Account- en bedrijfsgegevens: tot opzegging + 90 dagen daarna, daarna verwijderd of geanonimiseerd.
• Chatberichten en gesprekken van eindklanten: maximaal 12 maanden, daarna automatisch verwijderd. Klanten kunnen via het dashboard op elk moment eerder gesprekken verwijderen of een AVG-export downloaden, en de gegevens van één eindklant op telefoonnummer wissen. Na opzegging worden chatberichten binnen 90 dagen verwijderd of geanonimiseerd.
• Escalatiemeldingen (doorschakeling naar een medewerker): maximaal 6 maanden.
• Interne kwaliteitslogs van de AI: de letterlijke berichttekst wordt na 6 maanden geanonimiseerd; daarna blijven alleen kwaliteitscijfers over die niet tot een persoon herleidbaar zijn.
• Verzendlog van afspraakherinneringen: maximaal 6 maanden.
• Bezoekersstatistieken van de website: maximaal 3 maanden.
• Facturen en boekhoudkundige gegevens: 7 jaar (wettelijke fiscale bewaarplicht).
• Geüploade flyers en onboarding-documenten: bewaard zolang nodig voor de dienst.
• Backup-data: dagelijkse back-ups met 7 dagen rotatie; point-in-time recovery reikt op ons plan ongeveer 3 dagen terug.
• Sentry error-logs: 30 dagen.

Voor het leveren van de dienst maken wij gebruik van de volgende sub-verwerkers. Met elk van hen is een verwerkersovereenkomst gesloten. Een actuele lijst staat ook op /verwerkersovereenkomst#subverwerkers.

Voor doorgifte buiten de EU/EER gebruiken wij Standard Contractual Clauses (SCC) en/of het EU-VS Data Privacy Framework. Wij delen gegevens niet met andere derden tenzij wettelijk verplicht. Spraak-naar-tekst (voice-notes) en beeldherkenning (foto's) kunnen per bedrijf of branche worden uitgeschakeld.

Wij verstrekken persoonsgegevens uitsluitend aan overheden of autoriteiten wanneer wij daartoe wettelijk verplicht zijn. Ontvangen wij zo’n verzoek, dan hanteren wij de volgende waarborgen:

• Wettigheidstoets — wij controleren eerst of het verzoek rechtsgeldig is en op een geldige juridische grondslag berust.
• Dataminimalisatie — wij verstrekken uitsluitend het strikt noodzakelijke minimum aan gegevens, niet meer dan gevraagd.
• Documentatie — wij leggen het verzoek, onze reactie en de juridische afweging vast.
• Informeren van de klant — betreft het verzoek gegevens die wij als verwerker voor een zakelijke klant verwerken, dan informeren wij die klant vooraf, tenzij dit wettelijk verboden is.

Wij verlenen geen directe of ongelimiteerde toegang tot gegevens. In de afgelopen 12 maanden hebben wij geen gebruikersgegevens aan autoriteiten verstrekt. Vragen over dit beleid kunnen worden gericht aan info@koa-ai.nl.

• HTTPS/TLS overal afgedwongen
• Wachtwoorden hashed (PBKDF2-HMAC-SHA256, 200.000 iteraties + per-user salt — NIST SP 800-132 conform)
• Meta-tokens versleuteld in database (Fernet/AES-128)
• Postgres via Render, managed met dagelijkse backups (7 dagen retentie, point-in-time recovery ca. 3 dagen)
• Rolgebaseerde toegang voor admin én klant-dashboard
• Audit-log van admin-acties
• Realtime error-monitoring via Sentry
• Server-locatie EU (Frankfurt) voor klant-data

Onder de AVG heb je deze rechten:

• Inzage — opvragen welke gegevens we van jou bewaren.
• Correctie — onjuiste gegevens laten corrigeren.
• Verwijdering— “recht op vergetelheid” — zelf via dashboard (Wachtwoord → Privacy → Verwijder account).
• Dataportabiliteit — JSON-export via dashboard (Wachtwoord → Privacy → Download data).
• Beperking — verwerking beperken in afwachting van een geschilbeslissing.
• Bezwaar — verzet tegen verwerking op basis van gerechtvaardigd belang.
• Toestemming intrekken — eerder gegeven toestemming op elk moment intrekken.

Verzoeken buiten het dashboard: info@koa-ai.nl. Reactie binnen 1 maand. Ook eindklanten die via WhatsApp met de bot chatten kunnen inzage of verwijdering van hun gegevens aanvragen via dit adres. Klacht? Indienen bij de Autoriteit Persoonsgegevens.

Op koa-ai.nl gebruiken we functionele cookies (login-sessie, voorkeuren) en minimale analytische meting via Vercel Analytics en Vercel Speed Insights (beide geanonimiseerd, alleen na toestemming, geen cross-site tracking). Geen marketing- of third-party-tracking-cookies.

Daarnaast houden wij een eigen, first-party bezoekstatistiek bij zonder cookies: bij een paginabezoek loggen wij het pad, de verwijzende site, het browser-type, UTM-parameters en een globale locatie tot op stadsniveau. Er wordt daarbij géén IP-adres opgeslagen en er vindt geen cross-site tracking plaats (grondslag: gerechtvaardigd belang).

Bij een technische fout kan onze foutmonitoring (Sentry) een sessie-opname maken van wat er op het scherm gebeurde, waarin kort persoonsgegevens zichtbaar kunnen zijn. Deze opnames worden 30 dagen bewaard.

Bij een datalek met persoonsgegevens handelen wij conform AVG art. 33 en 34: melding aan de Autoriteit Persoonsgegevens binnen 72 uur na ontdekking, en informatie aan betrokkenen indien sprake is van een hoog risico. Onze interne datalek-procedure is op verzoek beschikbaar voor klanten.

De WhatsApp-bot genereert antwoorden geautomatiseerd via een groot taalmodel (Anthropic Claude). Daarbij worden ook foto's die de eindklant stuurt en — indien door het bedrijf vastgelegd — allergie- of gezondheidsgegevens door Anthropic verwerkt om relevante antwoorden te geven. Er worden geen besluiten genomen met rechtsgevolg of vergelijkbaar aanmerkelijk effect in de zin van AVG art. 22. De zakelijke klant blijft verantwoordelijk voor afspraken en toezeggingen.

Deze verklaring kan worden bijgewerkt, bijvoorbeeld bij wijzigingen in wetgeving of dienstverlening. Materiële wijzigingen kondigen wij minimaal 14 dagen vooraf aan via e-mail of dashboard.

Conform AVG art. 30 voeren wij een register van verwerkingsactiviteiten. Dit register is op verzoek beschikbaar voor toezichthouders en in vereenvoudigde vorm voor klanten.