Privacybeleid

1. Inleiding

Chat37 (“wij”, “ons”, “onze”) respecteert uw privacy en zet zich in voor de bescherming van uw persoonsgegevens. Dit privacybeleid legt uit hoe wij uw gegevens verzamelen, gebruiken en beschermen wanneer u ons AI-automatiseringsplatform gebruikt. Wij handelen in overeenstemming met de Algemene Verordening Gegevensbescherming (AVG/GDPR) en de Europese AI-verordening (EU AI Act).

2. Welke gegevens verzamelen wij

• Accountgegevens: E-mailadres, wachtwoord (versleuteld opgeslagen), organisatienaam
• Gebruiksgegevens: Prompts, instructies en bestanden die u invoert bij het gebruik van onze AI-diensten, sessiegeschiedenis en gegenereerde resultaten
• Verbonden accounts: OAuth tokens van externe diensten (versleuteld opgeslagen)
• Technische gegevens: IP-adres, browsertype, apparaatinformatie, loggegevens voor beveiliging
• Betalingsgegevens: Verwerkt via Stripe. Wij slaan geen creditcardgegevens op. Stripe is PCI DSS Level 1 gecertificeerd.

3. Hoe gebruiken wij uw gegevens

• Om onze AI-diensten te leveren: uw prompts worden verwerkt door AI-modellen om resultaten te genereren
• Om uw account te beheren en beveiligen
• Om de kwaliteit van onze dienst te monitoren en verbeteren (geaggregeerd, niet op individueel niveau)
• Om te communiceren over updates, ondersteuning en facturering
• Om contactverzoeken te verwerken: wanneer u ons contactformulier invult, verwerken wij uw naam, e-mailadres en bericht uitsluitend om uw verzoek te beantwoorden. Wij bewaren deze gegevens maximaal 12 maanden, tenzij een lopende correspondentie een langere bewaartermijn vereist.
• Om te voldoen aan wettelijke verplichtingen

4. AI-providers en geen-training-garantie

Chat37 maakt gebruik van externe AI-providers via hun commerciële API's. Dit is een cruciaal onderscheid: API-gebruik valt onder andere voorwaarden dan consumentenproducten (zoals ChatGPT, Gemini of Claude.ai). Alle providers waarmee wij werken garanderen contractueel dat data ingediend via hun API's niet wordt gebruikt voor het trainen of verbeteren van hun modellen.

Overzicht van onze AI-providers

Wij controleren doorlopend of onze providers hun no-training-beleid handhaven. Bij elke nieuwe provider-integratie verifiëren wij vooraf het trainingsbeleid. Mocht een provider zijn voorwaarden wijzigen ten nadele van uw privacy, dan schakelen wij over op een alternatieve provider.

5. Wat wordt naar AI-providers verstuurd

Wanneer u een opdracht uitvoert via Chat37, sturen wij het volgende naar de betreffende AI-provider:

• Uw prompt of instructie (de tekst die u invoert)
• Eventuele bijgevoegde bestanden (afbeeldingen, documenten) die nodig zijn voor de opdracht
• Systeeminstructies die de AI-assistent aansturen (door ons opgesteld, niet door u)
• Contextuele informatie zoals uw merknaam of organisatie-instellingen, indien van toepassing

Wij versturen nooit:

• Uw e-mailadres, wachtwoord of andere accountgegevens
• Uw betalingsgegevens
• Gegevens van andere gebruikers of organisaties
• Data die niet direct noodzakelijk is voor de gevraagde opdracht

6. Bewaartermijnen

• Gegenereerde resultaten: Bewaard zolang uw account actief is. U kunt resultaten op elk moment verwijderen.
• Sessiegegevens: Bewaard zolang uw account actief is, voor uw sessiegeschiedenis.
• Technische logs: Maximaal 30 dagen, alleen voor foutopsporing en beveiliging.
• Bij externe providers: OpenAI bewaart API-data maximaal 30 dagen voor misbruikmonitoring. Anthropic bewaart data niet langer dan noodzakelijk. Overige providers volgen vergelijkbaar beleid.
• Na accountverwijdering: Alle persoonsgegevens worden binnen 30 dagen verwijderd. Geaggregeerde, geanonimiseerde gebruiksstatistieken kunnen bewaard blijven.

7. Gegevensopslag en beveiliging

Uw gegevens worden opgeslagen in beveiligde datacenters binnen de Europese Unie (Supabase, gehost op AWS eu-central-1, Frankfurt). Wij hanteren de volgende beveiligingsmaatregelen:

• AES-256 versleuteling voor gevoelige gegevens in rust
• TLS 1.3 voor alle dataoverdracht
• Row Level Security (RLS) op databaseniveau: uw data is strikt gescheiden van andere organisaties
• Versleutelde API-sleutels: Indien u eigen API-sleutels koppelt, worden deze versleuteld opgeslagen (AES-256-GCM)
• Geen tracking cookies: Wij gebruiken alleen functionele cookies voor sessie en authenticatie. Geen advertentie-trackers.
• CSRF bescherming op alle muterende API-endpoints
• Rate limiting ter voorkoming van misbruik

8. Organisatie-isolatie

Chat37 is een multi-tenant platform. Uw data is strikt gescheiden van die van andere organisaties via database-level Row Level Security (RLS). Geen enkele gebruiker of medewerker van een andere organisatie kan uw data inzien, bewerken of verwijderen. Dit geldt voor alle opgeslagen gegevens: prompts, resultaten, bestanden, instellingen en factureringsgegevens.

9. Uw rechten (AVG/GDPR)

Op grond van de Algemene Verordening Gegevensbescherming heeft u de volgende rechten:

• Recht op inzage: U kunt opvragen welke persoonsgegevens wij van u verwerken
• Recht op correctie: U kunt onjuiste gegevens laten corrigeren
• Recht op verwijdering: U kunt verzoeken om verwijdering van uw gegevens ("recht om vergeten te worden")
• Recht op bezwaar: U kunt bezwaar maken tegen bepaalde verwerkingen
• Recht op dataportabiliteit: U kunt uw gegevens in een gestructureerd formaat opvragen
• Recht op beperking van verwerking: U kunt verzoeken om beperking van de verwerking onder bepaalde omstandigheden

Neem contact op via privacy@chat37.com om uw rechten uit te oefenen. Wij reageren binnen 30 dagen op uw verzoek. U heeft ook het recht om een klacht in te dienen bij de Autoriteit Persoonsgegevens.

10. EU AI Act transparantie

In overeenstemming met de Europese AI-verordening (EU AI Act) informeren wij u dat:

• Chat37 maakt gebruik van generatieve AI-systemen voor het produceren van tekst, afbeeldingen, video, audio en analyses
• Content gegenereerd door de Dienst is machinaal geproduceerd, niet door een mens
• Via het Activity Terminal in de Dienst kunt u inzien welke AI-modellen bij uw verzoek betrokken zijn
• Wij classificeren onze dienst als een AI-systeem met beperkt risico en handelen dienovereenkomstig

11. Cookies

Wij gebruiken uitsluitend functionele cookies die noodzakelijk zijn voor de werking van onze dienst (sessie- en authenticatiecookies). Wij gebruiken geen tracking cookies, geen advertentiecookies en geen cookies van derden voor analyse- of marketingdoeleinden.

12. Wijzigingen

Wij kunnen dit privacybeleid wijzigen. Materiële wijzigingen worden minimaal 30 dagen van tevoren aangekondigd via e-mail of een melding in de Dienst. De datum bovenaan dit document geeft aan wanneer het beleid voor het laatst is bijgewerkt.

13. Contact

Voor vragen over dit privacybeleid of over hoe wij uw gegevens verwerken:

• E-mail: privacy@chat37.com
• Website: chat37.com