Privacyverklaring

In deze privacyverklaring leggen wij uit welke persoonsgegevens wij verwerken bij het gebruik van Online MS (de webapplicatie op online-ms.io, de mobiele app en de website), waarom, hoe lang, met wie wij ze delen en welke rechten u heeft.

1. Wie zijn wij en welke rol hebben wij?

Online MS wordt aangeboden door WE Management International B.V., Grenulaan 40, 4531 AC Terneuzen (KvK 67012205). Wij hebben twee rollen:

• Verwerker voor de gegevens die onze klanten (organisaties) in hun eigen omgeving van Online MS invoeren, zoals gegevens van medewerkers, incidenten, certificaten en documenten. De klantorganisatie bepaalt waarom en hoe die gegevens worden verwerkt en is daarvoor verwerkingsverantwoordelijke. Wilt u uw rechten uitoefenen voor zulke gegevens, neem dan contact op met de organisatie waarvoor u werkt; wij helpen die organisatie daarbij. De afspraken staan in de verwerkersovereenkomst met de klant.
• Verwerkingsverantwoordelijke voor de gegevens die wij zelf nodig hebben om de dienst te leveren: accountgegevens van gebruikers, gegevens voor facturatie en klantcontact, beveiligingslogs en bezoekgegevens van de website. Daarover gaat deze verklaring vooral.

Het technisch beheer en de ontwikkeling van Online MS zijn ondergebracht bij Smoothware OÜ (registrikood 17596037, Tallinn), die als subverwerker in onze opdracht werkt (zie subverwerkers).

2. Welke gegevens verwerken wij, waarom en op welke grondslag?

Wij nemen geen besluiten met rechtsgevolgen uitsluitend op basis van geautomatiseerde verwerking. AI-uitkomsten zijn hulpmiddelen; een mens beslist.

3. Hoe lang bewaren wij gegevens?

• Account- en klantdata: zolang de overeenkomst loopt. Na afloop kan de klant 30 dagen exporteren; uiterlijk 60 dagen na afloop verwijderen wij de gegevens. Kopieën in back-ups worden daarna overschreven volgens de vaste back-upcyclus.
• Verwijderd account: direct verwijderd of geanonimiseerd, behalve gegevens die wij wettelijk moeten bewaren.
• Facturen en betaalgegevens: 7 jaar (fiscale bewaarplicht).
• Beveiligings- en inloglogs: maximaal 12 maanden, tenzij nodig voor het onderzoek naar een incident.
• Gesprekken met AI-assistenten: maximaal 12 maanden na de laatste activiteit, daarna automatisch verwijderd (of eerder bij het einde van de overeenkomst). Gebruiksgegevens van AI-verzoeken (tijdstip, functie, verbruikte credits) bewaren wij zolang nodig voor de verbruiksregistratie en facturatie.
• Gekoppelde Google/Microsoft-tokens: tot u ontkoppelt of uw account verwijdert. Tijdelijke bewerkbestanden in uw Drive of OneDrive verwijderen wij na het importeren.
• Marketing: tot u zich afmeldt.

4. Met wie delen wij gegevens?

Wij verkopen geen persoonsgegevens. Wij schakelen alleen partijen in die nodig zijn om de dienst te leveren. Met hen hebben wij afspraken over beveiliging en geheimhouding. De actuele lijst, met doel en locatie, staat op de pagina subverwerkers. Daarnaast verstrekken wij gegevens alleen als de wet ons daartoe verplicht.

5. Gegevens buiten de EU

Gaan uw gegevens naar Amerika? In principe niet. Online MS draait op servers in Duitsland en ook alle back-ups staan in de EU. Voor een paar onderdelen gebruiken wij een dienst van een Amerikaans bedrijf. Alleen dan kunnen gegevens in de Verenigde Staten worden verwerkt:

• AI-functies (Anthropic, Verenigde Staten): alleen als u een AI-functie gebruikt. Dan gaat wat u aan die functie aanbiedt, met de context uit uw omgeving die nodig is voor het antwoord, naar Anthropic. Anthropic gebruikt die gegevens niet om zijn modellen te trainen.
• E-mail (Resend, Verenigde Staten): naam, e-mailadres en de inhoud van de e-mails die Online MS verstuurt.
• Online betalen (Stripe, Ierland en Verenigde Staten): betaalgegevens als u online betaalt.
• Google en Microsoft: alleen als u zelf uw Google- of Microsoft-account koppelt.

Voor die doorgifte gelden de standaardcontractbepalingen (SCC) van de Europese Commissie en, voor zover van toepassing, het EU-VS Data Privacy Framework. Dat zijn de afspraken die de AVG voorschrijft, zodat uw gegevens daar passend beschermd blijven. Per partij staat het op de pagina subverwerkers.

AI uitzetten. Wilt u niet dat gegevens van uw organisatie naar de AI-leverancier gaan? Dan zet de beheerder van uw organisatie de AI-functies uit in de bedrijfsinstellingen (AI-functies). Er gaat dan niets meer van uw omgeving naar de AI-leverancier.

Uw eigen AI-assistent. Koppelt uw organisatie zelf een AI-assistent, zoals ChatGPT of Claude, via de MCP-koppeling, dan gaan gegevens naar de aanbieder die uw organisatie zelf heeft gekozen. Dat valt onder het contract van uw organisatie met die aanbieder, niet onder onze afspraken. De schakelaar AI-functies gaat daar niet over.

6. AI-functies

Online MS bevat AI-functies, zoals een AI-assistent voor vragen over de compliance-status, een setup-assistent voor het inrichten van een omgeving en het opstellen van blueprints, formulieren, documenten en eisen op basis van een opdracht of aangeleverde bronbestanden. Nog niet elke functie is voor iedere organisatie beschikbaar. Daarvoor geldt:

• Herkenbaar: u ziet altijd wanneer u met een AI-assistent werkt of wanneer inhoud met AI is gegenereerd (artikel 50 van de Europese AI-verordening).
• Welke gegevens: alleen wat u zelf aan een AI-functie aanbiedt (uw vraag, opdracht of geüpload bestand), aangevuld met de context uit uw eigen omgeving die nodig is om die te beantwoorden, en de uitkomst daarvan. Die gegevens kunnen persoonsgegevens bevatten als u die zelf invoert of als ze in de gebruikte context staan.
• AI-leverancier: de modellen worden geleverd door Anthropic, PBC in de Verenigde Staten, als subverwerker. De doorgifte vanuit de EU is geregeld met de verwerkersovereenkomst van Anthropic, de standaardcontractbepalingen (SCC) van de Europese Commissie en, voor zover van toepassing, het EU-VS Data Privacy Framework (zie hoofdstuk 5).
• Geen training: uw gegevens worden niet gebruikt om AI-modellen te trainen, niet door ons en niet door de AI-leverancier.
• Bewaren: gesprekken met de AI-assistenten worden maximaal 12 maanden na de laatste activiteit bewaard (zie hoofdstuk 3).
• Hulpmiddel, geen advies: AI-uitkomsten kunnen fouten bevatten en zijn geen juridisch of compliance-advies. U controleert de uitkomst; een mens beslist.
• Uitschakelen: de beheerder van uw organisatie kan de AI-functies per omgeving uitzetten in de bedrijfsinstellingen. Dan worden er voor die omgeving geen gegevens meer naar de AI-leverancier gestuurd.
• Eigen AI-assistent: koppelt uw organisatie een eigen AI-assistent, zoals ChatGPT of Claude, via onze MCP-koppeling, dan handelt die assistent na uw toestemming met uw rechten, niet meer. Gegevens die zo naar de assistent gaan, vallen onder het contract van uw organisatie met de aanbieder ervan (zie hoofdstuk 5).

Meer hierover staat in artikel 10 van de algemene voorwaarden.

7. Beveiliging

Wij beveiligen gegevens onder meer met versleutelde verbindingen (HTTPS), versleutelde opslag van wachtwoorden en koppeltokens, strikte scheiding tussen de omgevingen van klanten, tweestapsverificatie, rechten per rol, beveiligingsheaders, regelmatige back-ups en monitoring. Vermoedt u een beveiligingsprobleem, meld het dan via info@we-management.com.

8. Cookies

Wij gebruiken alleen cookies die nodig zijn om de dienst te laten werken en te beveiligen. Wij gebruiken geen tracking- of advertentiecookies. Zie de cookieverklaring.

9. De mobiele app

De app gebruikt dezelfde account en dezelfde omgeving als de webapplicatie. De app verwerkt alleen wat u zelf invult, zoals formulieren, foto's en bestanden, en uw inloggegevens. Toegang tot de camera of fotobibliotheek wordt alleen gevraagd als u een foto toevoegt. Wij gebruiken in de app geen advertentie- of trackingdiensten. Uw account en gegevens kunt u laten verwijderen zoals beschreven in hoofdstuk 10.

10. Uw rechten

U heeft het recht op inzage, correctie, verwijdering, beperking van de verwerking, gegevensoverdraagbaarheid en bezwaar, en u kunt een gegeven toestemming altijd intrekken. U kunt:

• uw profielgegevens zelf wijzigen en uw account zelf verwijderen via Profiel in de app;
• een verzoek sturen naar info@we-management.com. Wij reageren binnen één maand en kunnen u vragen uw identiteit aan te tonen.

Gaat het om gegevens die uw werkgever of opdrachtgever in Online MS beheert, dan behandelen wij uw verzoek samen met die organisatie.

Bent u het niet eens met hoe wij met uw gegevens omgaan, dan kunt u een klacht indienen bij de Autoriteit Persoonsgegevens. Wij stellen het op prijs als u eerst contact met ons opneemt.

11. Wijzigingen

Wij passen deze verklaring aan als onze verwerkingen veranderen. De datum en versie staan bovenaan. Bij belangrijke wijzigingen informeren wij gebruikers in de app of per e-mail.

12. Contact

WE Management International B.V. · Grenulaan 40, 4531 AC Terneuzen · info@we-management.com